MA-Gespräch wg. Datenschutzverstoß

Eine fristlose Kündigung würde ich nach erstem Nachdenken verneinen. Aber der Vorfall betrifft gemäß Art. 9 DSGVO besonders schützenswerte personenbezogene Daten. Ich sehe in meiner Glaskugel die Pflicht zur Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO.

A: Wenn lediglich ein Verdacht besteht, sind keinerlei m.E.n. arbeitsrechtliche Maßnahmen zulässig. Eine Ermahnung/ Abmahnung wäre rechtlich nicht haltbar.

B: Datenschutzverstoß. Wenn Einsicht und kooperatives Verhaltens dann eine Ermahnung oder – je nach Schwere – eine Abmahnung als verhältnismäßige Reaktion. Eine Kündigung wäre in der Regel nicht gerechtfertigt, sofern keine Wiederholungsgefahr besteht.

C: Ohne Einsicht und Wiederholungsgefahr, dann Abmahnung bis hin zu einer ordentliche verhaltensbedingte Kündigung. Ne´ fristlose Kündigung wäre nur dann haltbar, wenn ein vorsätzliches, gezielt schädigendes Verhalten nachweisbar ist.

Wovon reden wir hier überhaupt?

Es gibt Firma A und B und GL A und B ... worum geht es jetzt? MA von A, steckt das GL von B? Oder MA von B der GL von B? Oder noch anders?

Ein ehemaliger Kollege aus Betrieb A schickt es an die GL vom "aufnehmenden" Unternehmen B, mit dem er augenscheinlich nichts zu tun hat. Zumindest nach außen hin, eventuelle private Connections sind nicht bekannt.

wie öffentlich hat denn der Kollege seine Krankheiten gemacht? Woher hat denn der Kollege sein Wissen?

Der Arbeitgeber muss untersuchen wo das Datenleck genau liegt und, da in diesem Fall ein Nachteil für den betreffenden Exmitarbeitenden entstehen kann, diesen verstoß muss bei der zuständige Aufsichtsbehörde gemeldet werden. In der DSGVO §33 heißt es:

"Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der […] zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt."

Es kann sein, dass der zuständige Behörde dann selbst ermittelnd aktiv wird. Die Frage die sich stellt ist, ob der Arbeitgeber ausreichend Maßnahmen getroffen hatte um das Risiko auf ein Verstoß möglichst gering zu halten (Auszuschließen ist praktisch unmöglich). Ist dies nach Meinung der Behörde nicht der Fall, kann auch der das Unternehmen Maßnahmen erwarten.

Es würde in meinem Interesse als AG liegen eine möglichst lückenlose Aufklärung des Sachverhalts herbei zu führen. Steht fest wer die Daten weiter gegeben hat, ist mein vertrauen in der betreffende Mitarbeitenden schwer erschüttert und mindestens eine Versetzung an einem Arbeitsplatz mit garantiert keinen Zugriff auf vertrauliche Unterlagen fällig, wenn nicht sogar eine fristlose Kündigung. Ich hätte als AG keine Lust Bußgelder wegen ein Verstoß gegen dem DSGVO zu kassieren, nur weil ein Mitarbeitenden ein persönliche Vendetta hat.

Im Übrigen: Würde mich jemand vertrauliche Krankenunterlagen aus einem anderen Unternehmen zustecken, so würde ich diese umgehend dem Herkunftsunternehmen aushändigen mit dem freundlichen Hinweis ihr Datenschutzkonzept zu überprüfen.

woher wissen wir denn, dass die Daten beim AG abgeflossen sind? Vielleicht hat der Kollege einen regen Austausch mit seiner Nachbarin und die hat es weitergegeben? Es gibt da einige Möglichkeiten. Bisher ist es ein nicht erhärteter Verdacht

@ ganther: Wenn etwas aussieht wie ein Huhn, sich bewegt wie ein Huhn, gackert wie ein Huhn und Eier legt, wie groß ist dann wie Wahrscheinlichkeit, dass es ein Pferd ist?

Wie groß ist also die Wahrscheinlichkeit, dass die Nachbarin ode jemand von außerhalb des Unternehmens die Krankengeschichte an den neuen Arbeitgeber weiter gegeben hat? Und genau das ist der Grund, dass der AG selbst untersuchen soll ob es ein Datenleck gegeben hat und wenn, wer dafür verantwortlich ist und daraus die entsprechende Konsequenzen ziehen sollte.

alles Spekulationen. Da würde ich als Geschädigter zu erstmal Anzeige erstatten. Was auch immer ein harter Verdacht sein soll, solange der "Verdächtige" alles abstreitet und keine irgendwie gearteten Beweise vorliegen kann doch niemand was machen. Es muss ja tatsächlich nicht zwingend jemand aus dem Betrieb gewesen sein auch wenn der Verdacht naheliegend ist/sein kann, vor allem wenn es Streitereien gab.

wissen wir welche Daten beim neuen AG gelandet sind? Im Post heißt es Krankengeschichte. Es gibt nun jemanden gegen den gibt es einen Verdacht. Der AG hat offenbar keinen Nachweis. Da stellt sich schon die Frage, wer es noch alles gewesen sein kann. Aber meine Frage wie freizügig der Betroffene mit seinen Daten war, ist nicht beantwortet. Da darf der AG sicher ermitteln, das habe ich nicht in Abrede gestellt. Aber als AG würde ich noch keine Anzeige ans LDA geben, da ich nicht weiß, ob bei mir Daten überhaupt abgeflossen sind. Und wie groß ist die Wahrscheinlichkeit, dass es die Nachbarin war? Vielleicht genauso hoch wie bei dem beschuldigten MA. Ich nehme Datenschutzverstöße sehr ernst, aber ich habe in meinem Leben gelernt, dass man Sachen auf den Grund gehen und sich vor vorschnellen Beschuldigungen hüten sollte. Wie sagt Sherlock Holmes: "Wenn du das Unmögliche ausgeschlossen hast, dann ist das, was übrig bleibt, die Wahrheit, wie unwahrscheinlich sie auch ist"

"Ein ehemaliger Kollege aus Betrieb A schickt es an die GL vom "aufnehmenden" Unternehmen B, mit dem er augenscheinlich nichts zu tun hat."

Meine Fragezeichen sind nicht wirklich kleiner geworden ... dieser ehemalige Kollege aus A ... arbeitet jetzt bei B? Oder immer noch bei A?

Und wer soll jetzt Ärger bekommen? Der MA von A in Firma A?

Wenn ich es richtig verstanden habe, arbeitet Kollege A immer noch im "alten" Betrieb. Kollege B ist in ein anderes Unternehmen gewechselt. Nun hat irgend ein Mitarbeitender aus Unternehmen in dem Kollege B mal arbeitete, dem GF vom "neuen" Unternehmen die Krankengeschichte des Kollegen B erzählt. Ärger bekommen soll nun Mitarbeiter A aus dem "alten" Betrieb von Kollege B.

Es gab eine WhatsApp-Gruppe, die keine offizielle Krankmeldung ersetzen sollte, sondern lediglich die Abteilung über die Abwesenheit informieren sollte. Parallel gingen die AU-Bescheinigungen jedoch den offiziellen betrieblichen Weg.

Abwesenheiten wurden hier lediglich zu dem Zweck gepostet, dass die Abteilung die Aufgaben umverteilen kann und alle auf dem kurzen Dienstweg Bescheid wissen.

Bis hierhin ist das eventuell noch als Privatvergnügen zu sehen.

Der Chatverlauf ist dann leider als gedruckter Screenshot durch die elektronische Frankierstraße des Betriebs gelaufen. Aufgrund des dort gesetzten Zeit- und Ortsstempels kann der Absender nachvollzogen werden, was in etwa genau so dämlich ist wie z.B. gleich ein Outlook-Postfach zu verwenden.

Die Datenpanne sehe ich daher an dieser Stelle als gegeben an.

Da hier eine bewusste Schädigung des Ex-Kollegen anzunehmen ist, wäre ich hier gedanklich auch bei einer Abmahnung.

"Ein ehemaliger Kollege aus Betrieb A schickt es an die GL vom "aufnehmenden" Unternehmen B, mit dem er augenscheinlich nichts zu tun hat."

Meine Fragezeichen sind nicht wirklich kleiner geworden ... dieser ehemalige Kollege aus A ... arbeitet jetzt bei B? Oder immer noch bei A?

Und wer soll jetzt Ärger bekommen? Der MA von A in Firma A?"

Also.

• A und B arbeiten bei Fa. Müller.
• Da A bei Fa. Müller Stress hatte, wechselt er zu Fa. Schulze.
• A hatte bei Fa. Müller viele Fehlzeiten
• B arbeitet immer noch bei Müller
• B schickt aber die Daten zu Fa. Schulze, wo A jetzt arbeitet
• B war so blöd, die Informationen aus der betrieblichen Infrastruktur von Fa. Müller heraus zu schicken

Fa. Schulze könnte dadurch ein schlechteres Bild von A haben und ihm schaden (z.B. durch Kündigung in der Probezeit).

Nun könnte A wohl sauer auf B sein. Aufgrund welchen Tatbestands er ihn belangen könnte, weiß ich nicht. Ist ein anderes Thema.

B hat aber einen Datenschutzverstoß begangen, augenscheinlich um A zu schaden.

Daher die Gedanken, welche Konsequenzen angemessen wären.

"Da hier eine bewusste Schädigung des Ex-Kollegen anzunehmen ist, wäre ich hier gedanklich auch bei einer Abmahnung."

Selbst wenn man das annehmen würde (was ich nicht tue) ... wäre das mEn kein Stück abmahnwürdig.

Kollege gg. Kollege ... da hat der AG von mMn nichts mit am Hut. Vor allem schon deshalb nicht, weil der MA um den es geht, gar nicht mehr bei A angestellt ist.

"Der Chatverlauf ist dann leider als gedruckter Screenshot durch die elektronische Frankierstraße des Betriebs gelaufen. Aufgrund des dort gesetzten Zeit- und Ortsstempels kann der Absender nachvollzogen werden, was in etwa genau so dämlich ist wie z.B. gleich ein Outlook-Postfach zu verwenden."

An dieser Stelle könnte (KÖNNTE) ggf. das Verhalten abgemahnt werden ... weil ein Betriebsmittel "privat" verwendet wurde.

Weshalb sollte der alte AG Person B überhaupt abmahnen, was hat er davon?!

Das hat zum Glück kein BR zu entscheiden, sondern nur der AG und der wird ein Teufel tun, sich da einzumischen.

Wenn die Krankheitstage von Person A nun so übertrieben hoch sind, holt einen die Vergangenheit immer wieder ein. Kann man dem neuen AG von Person A nur wünschen, sich zeitnah innerhalb der Probezeit zu trennen.

"Weshalb sollte der alte AG Person B überhaupt abmahnen, was hat er davon?!"

Vermutlich wird er eine Datenpanne melden müssen, weil über die Infrastruktur des Unternehmens schützenswerte Daten nach außen gelangt sind.

Wenn das mit einem Bußgeld verbunden sein sollte, könnte ich eine Abmahnung zumindest nachvollziehen.

Eine Ermahnung/Abmahnung könnte uns als BR theoretisch auch egal sein, aber ich finde es durchaus löblich dass der AG mit dem BR in den Austausch geht. Da es ein Positivbeispiel für vertrauensvolle Zusammenarbeit ist, will der BR sich auch gern drauf einlassen.

Ich sehe hier überhaupt keinen Handlungsbedarf des ArbGeb in Bezug auf die Datenweitergäbe. Es ist eine reine private Chatgruppe. Da muss der "geschädigte" Kollege selbst tätig werden. Wenn betriebliche Mittel dafür genutzt wurden, ist es der einzige Ansatzpunkt für den ArbGeb, das Betriebsmittel nicht zum zwecke des Unternehmerischen Zieles genutzt wurden.

Wir haben eine BV, wo untersagt ist, sämtliche IT-Infrastruktur privat zu nutzen. Hierfür würde mir persönlich als Konsequenz ein erhobener Zeigefinger reichen.

Aber ich werde gedanklich den Datenschutzverstoß nicht los. Das aufnehmende Unternehmen hat aus Kreisen des alten Unternehmens besonders schützenswerte Daten erhalten.

Okay, eben mit der Kollegin hier im Büro nochmal diskutiert: Angaben über Krankmeldungen („Ich bin krank“, „Ich habe Rückenprobleme“,...) sind nach Art. 9 Abs. 1 DSGVO Gesundheitsdaten, die zu den besonderen Kategorien personenbezogener Daten gehören. So weit, so klar.

Wenn ein Mitarbeiter aus dieser privaten Gruppe Gesundheitsdaten (in dem Fall Krankmeldungen) eines ehemaligen Kollegen an einen Dritten weitergibt, ist das ein klarer Verstoß gegen Art. 9 DSGVO – denn: es handelt sich um Gesundheitsdaten, es liegt keine Einwilligung vor, die Weitergabe erfolgt nicht privat, sondern im beruflichen Kontext an einen neuen Arbeitgeber.

Nun meint grad die Kollegin: Der Arbeitgeber ist nicht Verantwortlicher im Sinne der DSGVO für diese WA- Gruppe. Die Verantwortung liegt bei den Teilnehmenden als Privatpersonen. Wenn aber nu Gebabbel in dieser Gruppe in engem Bezug zur Arbeit steht (z. B. Koordination von Schichten, Krankmeldungen usw.), dann könnte eine faktische dienstliche Nutzung vorliegen. Somit dann auch ein gewisses Risiko für Datenschutzverstöße. -> wären wir wieder bei Deinem Zitat: "Aber ich werde gedanklich den Datenschutzverstoß nicht los."

Wenn die WA- Gruppe faktisch zur Arbeitsorganisation dient (z. B. Krankmeldungen, Diensttausch etc.) und der ArbGeb das auch weiß oder sie duldet, dann könnte der ArbGeb mittelbar mitverantwortlich sein. dann sieht es in der tat so aus, als müsse er reagieren.

Ich persönlich bin aus diesen WA- Gruppen raus.

Es gibt in hinsicht auf dem "Petzer" noch ein anderen Aspekt in Bezug auf den AG. Ich muss als AN darauf achten, dass mein Verhalten im privaten Umfeld kein Schaden für den AG verursacht. Die Weitergabe von ein Chatverlauf (oder Teile davon) mit darin enthalten vertrauliche Daten (i.c. Krankheitsdaten) kann für den AG Geschäftsschädigend sein. Auch wenn er möglicherweise nicht direkt für ein Datenschutzverletzung verantwortlich ist, so kann alleine die Tatsache, dass eine Anzeige beim LDB erfolgt, nachteilig sein für den AG. Somit könnte der AN gegen sein "vertragliche Nebenpflichten" verstoßen haben. Dies ist möglicherweise keinen Grund zur Kündigung, kann allerdings eine Abmahnung erfolgen.

Eine Anzeige bedeutet nicht, dass ein Schaden entstanden ist somit wäre eine Abmahnung völlig haltlos.

Verstehe ich nicht… wieso eine Anzeige? Und seit wann muss für eine Abmahnung ein „Schaden“ entstanden sein?

Das Verhalten beinhaltet zumindest das Risiko eines Reputationsschadens. Zum einen für den Mitarbeiter wegen der Fehlzeiten, zum anderen für das Unternehmen wegen der Datenpanne.

Eine Abmahnung würde ich zwar unzweckmäßig finden, aber ganz abwegig wäre sie sicher nicht. Das hängt dann sicher auch davon ab, wie der Mitarbeiter auf die Konfrontation mit den Vorwürfen reagiert.

Was für eine Datenpanne? Jemand hat Daten aus einer privaten Whats App Gruppe weitergetragen, so what? Bitte die Kirche im Dorf lassen, der AG ist hier raus, dass wäre, wenn überhaupt, etwas fürs Zivilrecht zwischen 2 Privatparteien. Die weitergegebenen Daten entsprechen ja der Wahrheit oder etwa nicht?

Felix und Falk ihr zwei Schlingel... ?

Es sieht nun so aus, dass der Kollege mit den Fehlzeiten, der jetzt im anderen Betrieb arbeitet, Anzeige erstattet hat und seine Arbeitsrechtlerin Schadensersatzansprüche gegen das ehemalige Unternehmen (Absender der Informationen) prüft.

Der Beschuldigte hat zugegeben, aus persönlicher Aversion heraus gehandelt zu haben und behauptet unterschätzt zu haben, welche Wellen sein Verhalten schlägt. Er wollte einfach den neuen Arbeitgeber warnen, dass der MA wohl des öfteren zu Hause bleibt. Reue war seinen Aussagen allerdings keine zu entnehmen. Sein Problem war eben die Nutzung der betriebseigenen IT zur Versendung der Informationen. Hätte er einen privaten Freemailer genommen oder mir der klassischen Briefmarke gearbeitet, hätte er bestenfalls persönlich ein Problem bekommen.

Nun steht ein Gespräch aus, in dem die Konsequenzen eruiert werden. Von einer mündlichen Ermahnung bis hin zu einer fristlosen Kündigung ist theoretisch alles denkbar, das muss der BR nun auf sich zukommen lassen.

Das Geständnis wiegt erstmal positiv - aber die Fehlende Reue gehen genau so in die andere Waagschale wie ein eventueller finanzieller Schaden durch Entschädigungszahlung (sofern die Juristin hier Recht bekommt). Es bleibt die Erkenntnis, jemandem bewusst Schaden zugefügt zu haben, und das aus den Geschäftsräumen und unter Nutzung der IT des Arbeitgebers. Der zeitliche Ablauf spricht leider für eine geplante Aktion und keine Affekthandlung. Reputationsverlust des Unternehmens und die Tatsache, dass der MA besonders schutzbedürftige Informationen über die IT-Infrastruktur nach außen getragen hat, wiegen ebenfalls schwer.

Was sollte man dem MA als BR nun raten? Nehmen wir den schlimmsten Fall an: Der AG will ihn loswerden. Sollte man ihm die Möglichkeit der Kündigungsschutzklage erläutern, oder wäre er ggf. mit einem Aufhebungsvertrag (ich denke z.B. auch an die Formulierungen im Arbeitszeugnis) evtl. besser dran?

"Von einer mündlichen Ermahnung bis hin zu einer fristlosen Kündigung ist theoretisch alles denkbar, das muss der BR nun auf sich zukommen lassen."

Der BR hat damit eigentlich nichts zu tun.

"Was sollte man dem MA als BR nun raten?"

Ich würde zuallererst einmal dem BR etwas raten ... abwarten ... bis überhaupt klar ist, was genau passieren wird.

Der BR sollte Ruhe bewahren und der Kollege mit den hohen Mitteilungsbedürfnis gegenüber neuen Arbeitgebern sollte sich ggf. anwaltlichen Rat holen.