Der Einsatz von Smartphones und Messengerdiensten, wie beispielsweise Whatsapp, ist im beruflichen Umfeld häufig nicht mehr wegzudenken. In einigen Branchen wird ein internetfähiges Mobiltelefon als Teil der Grundausstattung angesehen, das Arbeitnehmern oftmals vom Unternehmen zur Verfügung gestellt wird. Unter Umständen kann dieses auch privat genutzt werden. Doch auch wenn ein Diensthandy mit der Option einer privaten Nutzung sowohl für Unternehmen als auch für die Beschäftigten einige Vorteile bietet, müssen zuvor die rechtlichen Rahmenbedingungen dafür geschaffen werden. Dabei sind insbesondere verschiedene Aspekte des Datenschutzes und der Datensicherheit zu berücksichtigen. Dies wird jedoch häufig vernachlässigt oder nur unzureichend umgesetzt. Erst im vergangenen Jahr hat das Mannheimer Arbeitsgericht einen Arbeitgeber zur Zahlung eines DSGVO-Schadensersatzes in Höhe von 7.500 EUR verurteilt, weil der Arbeitgeber die Whatsapp-Kommunikation eines Beschäftigten auf einem sowohl dienstlich als auch privat genutzten Geschäftshandy ausgewertet hat (ArbG Mannheim Urt. v. 20.5.2021 – 14 Ca 135/20).
Das Wichtigste in Kürze
- Die Auswertung von Whatsapp-Nachrichten auf einem Diensthandy durch den Arbeitgeber kann einen Verstoß gegen § 26 BDSG darstellen.
- Gemäß § 26 BDSG dürfen personenbezogene Daten Beschäftigter nur verarbeitet werden, wenn dies zum Zwecke des Beschäftigungsverhältnisses erforderlich ist.
- Fehlt es an einer organisatorischen Anordnung des Arbeitgebers hinsichtlich einer Trennung von privater und beruflicher Kommunikation, darf der Arbeitnehmer berechtigterweise ein Mindestmaß an Privatsphäre erwarten.
- Im Hinblick auf die Auswertung und Verwertung von (auch) privaten Whatsapp-Nachrichten steht dem Arbeitnehmer ein Anspruch auf Schadensersatz nach Art. 82 DSGVO zu.
Hintergrund
In dem zu entscheidenden Rechtsstreit ging es um eine außerordentliche und vorsorgliche ordentliche Arbeitgeberkündigung eines Arbeitnehmers, der unternehmensinterne Informationen und Betriebsgeheimnisse über E-Mail und Whatsapp-Nachrichten an Dritte weitergab. Der Arbeitgeber trug vor, dass der Beschäftigte sich dadurch pflicht- und vertragswidrig verhalten habe und zog zur Untermauerung der ausgesprochenen Kündigung die sich auf dem Diensthandy befindliche private Whatsapp-Korrespondenz des Beschäftigten heran.
Verstoß gegen § 26 BDSG mangels Regelung der privaten Nutzung des Diensthandys
Das Gericht stellte fest, dass der Arbeitgeber in die Whatsapp-Kommunikation des Arbeitnehmers auf einem sowohl dienstlich als auch privat genutzten Smartphone unter Verstoß gegen geltendes Datenschutzrecht Einsicht genommen und die Kommunikation ausgewertet hat. Dieses Vorgehen ist nicht durch Art. 6 DSGVO i.V.m. § 26 BDSG zu rechtfertigen.
Gemäß § 26 BDSG dürfen personenbezogene Daten Beschäftigter verarbeitet werden, wenn dies zum Zwecke des Beschäftigungsverhältnisses erforderlich ist. Dies gilt auch für die Beendigung des Beschäftigungsverhältnisses. Jedoch stellt die Auswertung der Whatsapp-Kommunikation eines Arbeitnehmers durch den Arbeitgeber auf einem sowohl dienstlich als auch privat genutzten Dienstgerät einen Verstoß gegen § 26 BDSG dar, wenn sie nicht zur Wahrung legitimer Interessen des Arbeitgebers, insbesondere zur Aufklärung des Verdachts einer schwerwiegenden Pflichtverletzung, erforderlich und verhältnismäßig ist.
Das Gericht führte im vorliegenden Fall aus, dass es im konkreten Fall andere Möglichkeiten gab, die geringer in das Persönlichkeitsrecht des Arbeitnehmers eingegriffen hätten, sodass der Eingriff in die Privatsphäre des Arbeitnehmers durch den Arbeitgeber in Ergebnis unverhältnismäßig war. Alternativ und als milderes Mittel hätte dem Arbeitnehmer etwa die Auswertung des Handys vorab bekannt gegeben werden können, sodass er die Möglichkeit gehabt hätte, zuvor einen Rechtsanwalt zur Vertretung seiner Interessen heranzuziehen.
Verwertungsverbot bezüglich der gesamten Auswertung sowohl dienstlicher als auch privater Nachrichten
Ein solcher Eingriff in die Privatsphäre des Arbeitnehmers zieht nach Auffassung des Gerichts ein Sachvortragsverwertungsverbot bezüglich sämtlicher im Prozess vorgetragener Ergebnisse der Auswertung sowohl dienstlicher als auch privater Nachrichten nach sich. Trotz dienstlichen Bezugs der Kommunikation handelte es sich bei den Äußerungen im Großen und Ganzen um einen Gedankenaustausch im privaten Rahmen. Da es an einer organisatorischen Anordnung des Arbeitgebers hinsichtlich einer Trennung von privater und beruflicher Kommunikation fehlte, durfte der Arbeitnehmer berechtigterweise ein Mindestmaß an Privatsphäre erwarten. Daher wäre auch eine Auswertung der Kommunikation mithilfe von Schlüsselbegriffen unzulässig gewesen.
Ungutes Gefühl des Arbeitnehmers als immaterieller Schaden i.S.d. Art. 82 DSGVO
Im Hinblick auf die Auswertung der Whatsapp-Kommunikation des Arbeitnehmers und der Verwertung der (unter anderem auch) privaten Whatsapp-Nachrichten im Verfahren steht dem Arbeitnehmer ein Anspruch auf Ersatz des immateriellen Schadens nach Art. 82 DSGVO zu. Den Schaden begründet das Gericht im Wesentlichen mit einem unguten Gefühl des Arbeitnehmers, das aus dem Vertrauensverlust zu seinem Arbeitgeber resultiere.
Für einen Anspruch nach Art. 82 DSGVO sei es gerade nicht erforderlich, dass es sich um eine schwerwiegende Persönlichkeitsrechtsverletzung handelt, so das Gericht. Aus diesem Grund könne ein immaterieller Schaden bereits in dem unguten Gefühl liegen, dass Unbefugte Kenntnis von den personenbezogenen Daten erlangt haben und nicht ausgeschlossen werden kann, dass die Daten unerlaubt weiterverwendet werden.
Schadensersatz in Höhe eines Bruttomonatsentgelts
Bei der Berechnung der Höhe des Schadensersatzes hat das Gericht einerseits die Persönlichkeitsrechtsverletzung zulasten des Arbeitnehmers durch die Auswertung und Verwertung der (auch) privaten Nachrichten berücksichtigt. Andererseits, dass der Arbeitgeber nur solche Whatsapp-Korrespondenz in den Prozess eingeführt hat, die einen Bezug zum Arbeitsverhältnis aufweist. Jedoch wurde auch die Tatsache, dass der Arbeitnehmer Informationen über seinen Arbeitgeber in nicht berechtigterweise an Dritte weitergegeben hat, nicht außer Acht gelassen. Angesichts dessen erschien dem Gericht ein Schadensersatz in Höhe eines Bruttomonatsgehalts als angemessen.
Reichweite des DSGVO-Schadensersatzes ist umstritten
Ob ein „ungutes Gefühl“ bzw. ein Kontrollverlust zur Begründung eines immateriellen Schadensersatzes ausreichend ist, bleibt insgesamt abzuwarten. Die Rechtsprechung zum immateriellen Schadensersatz nach Art. 82 DSGVO ist bislang noch uneinheitlich und unklar. In dem derzeit beim EuGH anhängigen Vorabentscheidungsverfahren wegen Schadensersatzansprüchen aus DSGVO-Verstößen der österreichischen Post AG ist die Frage, ob bereits der bloß abstrakte Verstoß gegen die DSGVO einen immateriellen Schaden des Betroffenen darstellt, wesentliches Thema. Der EuGH-Generalanwalt vertritt dabei in seinem Schlussantrag die Auffassung, dass ein Anspruch auf Schadensersatz nach Art. 82 DSGVO einen tatsächlich erlittenen materiellen oder immateriellen Schaden voraussetzt. Die bloße Verärgerung über eine Pflichtverletzung des Verantwortlichen oder der Kontrollverlust des Betroffenen über seine Daten wäre demnach nicht ausreichend, um einen Schadensersatzanspruch zu begründen.
Der hier geschilderte Fall dürfte aufgrund der Bedeutung von privater Kommunikation und der Tatsache, dass die Kenntnis des Arbeitgebers einen direkten Bezug zum Arbeitnehmer darstellt zwar möglicherweise anders liegen, als in dem beim EuGH liegenden Fall. Nichtsdestotrotz stellt auch hier das Arbeitsgericht primär auf ein ungutes Gefühl des Arbeitnehmers und der DSGVO-widrigen Verarbeitung an sich ab. Aufgrund der grundsätzlichen Bedeutung dieser Frage wurde die Berufung zum Landesarbeitsgericht im Hinblick auf den Schadensersatzanspruch auch gesondert zugelassen.
Ausblick
Das Urteil macht deutlich, dass die Option einer privaten Nutzung von Smartphones, die vom Unternehmen zur Verfügung gestellt werden, nicht nur Vorteile mit sich bringt und klare Regeln und technische Vorkehrungen erfordert. Sofern man den eigenen Arbeitnehmern dennoch die Möglichkeit eröffnen möchte, dienstliche Geräte auch privat zu nutzen, sollte man hierfür zunächst besonders unter Beachtung datenschutzrechtlicher Aspekte die Rahmenbedingungen schaffen. In Betracht kommt etwa eine technische Trennung der privaten Daten mittels einer Containerlösung. Der Organisationsaufwand, der in diesem Zusammenhang zur Gewährleistung von Datenschutz und Datensicherheit erforderlich ist, sollte nicht unterschätzt werden und reduziert die vermeintlichen Vorteile gegebenenfalls wieder deutlich. Im Zweifel sollte daher auf eine gemischte Nutzung von Dienstgeräten verzichtet werden.
