BECKMANN UND NORDA - Rechtsanwälte Bielefeld

VG Hannover
Urteil vom 07.08.2026
10 A 5144/23

Das VG Hannover hat entschieden, dass die Datenschutzbehörde darf eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO auch parallel zu einer Geldbuße aussprechen darf.

Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg, da sie unbegründet ist. Die Bescheide des Beklagten vom 14. September 2023 sind rechtmäßig und verletzen die Klägerin nicht in ihren Rechten (§ 113 Abs. 1 Satz 1 VwGO). Maßgeblicher Zeitpunkt ist der der letzten Behördenentscheidung (vgl. BVerwG, Urteil vom 29. Januar 2025 – 6 C 3/23 –, juris Rn. 21).

I. Die Klägerin wendet sich zuvorderst gegen den Bescheid des Beklagten, mit welchem dieser zwei Verstöße gegen Datenschutzrecht festgestellt sowie eine Verwarnung wegen eines weiteren Datenschutzrechtsverstoßen ausgesprochen (im Folgenden: Verwarnungsbescheid). Bei der Feststellung eines Rechtsverstoßes handelt es sich letztendlich ebenfalls um eine Verwarnung. Denn auch bei der Verwarnung handelt es sich um einen Verwaltungsakt, dessen Inhalt darin besteht, einen Verstoß gegen die DSGVO festzustellen (Matzke, in: Wolff/Brink/von Ungern-Sternberg, BeckOK DSGVO, 56. Edition 2026, Art. 58 Rn. 20 m.w.N.). Die Verwarnung beschränkt sich auf die objektive Feststellung eines Verstoßes; Aussagen über subjektive Merkmale bei den handelnden Personen oder die Vorwerfbarkeit sind damit nicht verbunden (Nguyen, in: Gola/Heckmann/Rost, DS-GVO BDSG, 4. Aufl. 2026, Art. 58 Rn. 14). Wie von den Vertretern des Beklagten in der mündlichen Verhandlung nachvollziehbar ausgeführt, wurde in der Vergangenheit darauf verzichtet, den Begriff „Verwarnung“ zu verwenden, wenn parallel ein Bußgeld wegen desselben Verstoßes verhängt wurde, um bei den Empfängern nicht den irrigen Eindruck zu erwecken, die Angelegenheit sei damit abgeschlossen.

1. Rechtsgrundlage für die verwarnenden Maßnahmen im Bescheid vom 14. September 2023 ist daher Art. 58 Abs. 2 Buchst. b DSGVO. Nach dieser Vorschrift ist es der Aufsichtsbehörde gestattet, einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat.

2. Der Bescheid ist in formeller Hinsicht nicht zu beanstanden. Ausweislich des Verwaltungsvorgangs ist die Klägerin insbesondere vor dem Erlass des Verwarnungsbescheids durch den Beklagten nach § 1 des Niedersächsischen Verwaltungsverfahrensgesetzes (NVwVfG) in Verbindung mit § 28 Abs. 1 des Verwaltungsverfahrensgesetzes (VwVfG) angehört worden.

3. Der Bescheid ist auch materiell rechtmäßig.

a. In der Videoüberwachung der Klägerin lag ein Verstoß gegen die Rechtmäßigkeit der Datenverarbeitung nach Art. 5 Abs. 1 Buchst. a, Art. 6 Abs. 1 DSGVO, denn sie lässt sich nicht auf eine taugliche Rechtsgrundlage stützen.

aa. Eine Rechtsgrundlage für die Videoüberwachung der Beschäftigten findet sich weder in § 26 BDSG noch in Art. 6 Abs. 1 Buchst. f DSGVO.

Unabhängig von der Frage, ob § 26 BDSG verordnungswidrig ist, wofür nach dem Urteil des Europäischen Gerichtshofs vom 30. März 2023 (C-34/21 – Hauptpersonalrat), einiges sprechen dürfte, lässt sich die Datenverarbeitung nicht auf diese Norm stützen.

Die Videoüberwachung der Beschäftigten stellt keine Datenverarbeitung dar, die für Zwecke des Beschäftigungsverhältnisses erfolgt ist.

Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten von Beschäftigten nur für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Erforderlich ist die Datenverarbeitung, wenn der Arbeitgeber diese zur Erfüllung seiner – gegenüber dem Beschäftigten oder Dritten – bestehenden gesetzlichen Pflichten, für die Erfüllung seiner vertraglichen Pflichten oder zur Wahrnehmung seiner gesetzlichen oder vertraglichen Rechte benötigt. Die streitgegenständliche Datenverarbeitung diente vorliegend nicht dem Beschäftigungsverhältnis. Sie war weder für die Begründung, die Durchführung noch die Beendigung der Beschäftigungsverhältnisse erforderlich. Zwar hat die Klägerin dargelegt, als lebensmittelverarbeitendes Unternehmen die Einhaltung von Hygienevorschriften durch die Beschäftigten kontrollieren zu wollen. Betriebe, die Lebensmittel – insbesondere tierischen Ursprungs – verarbeiten, sind nach der Lebensmittel-Hygieneverordnung (LMHV) zur Einhaltung von Hygienevorschriften verpflichtet. Dazu ist eine durchgehende Videoüberwachung, insbesondere auch in den Pausenräumen, jedoch nicht erforderlich. Die LMHV verpflichtet stattdessen in § 4 zu Schulungen der Mitarbeitenden. Es existieren mehrere Qualitätssicherungs-Konzepte, wie etwa das in der EG-Verordnung Nr. 852/2004 zur Lebensmittelhygiene geforderte HACCP-Konzept. Eine Videoüberwachung ist nicht Teil solcher Konzepte.

Die Videoüberwachung war auch zum Zwecke der Strafverfolgung nicht erforderlich. Nach § 26 Abs. 1 Satz 2 BDSG dürfen personenbezogene Daten von Beschäftigten zur Aufdeckung von Straftaten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. Die Klägerin hat bereits nicht in hinreichendem Ausmaße dargelegt, dass die Videoüberwachung zur Aufdeckung von Straftaten durch die Beschäftigten erfolgte, geschweige denn einen hinreichenden Verdacht geäußert. Selbst dann wäre eine Videoüberwachung zudem nur gegenüber einzelnen Beschäftigten möglich.

Ferner kann die Videoüberwachung auch nicht auf eine Einwilligung der Beschäftigten gestützt werden. Einerseits hat die Klägerin lediglich eine beispielhafte Einwilligungserklärung eines Beschäftigten vorgelegt. Es wäre jedoch eine Einwilligung jedes Beschäftigten notwendig. Die Einwilligung enthält auch nicht die in § 26 Abs. 2 Satz 4 DSGVO vorgesehenen Vorgaben. Zudem muss eine Einwilligung für ihre Wirksamkeit insbesondere freiwillig sein, wobei § 26 Abs. 2 BDSG besondere Voraussetzungen für die Freiwilligkeit im Beschäftigtenkontext festlegt. Für die Beurteilung der Freiwilligkeit der Einwilligung sind demnach insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Als Beispiele für Vorteile nennt die Gesetzesbegründung die Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung oder die Erlaubnis zur Privatnutzung betrieblicher IT-Systeme (BT-Drs. 18/11325 vom 24. Februar 2017, S. 97). Gleichgerichtete Interessen können zudem vorliegen, wenn der Arbeitgeber eine Video- oder GPS-Überwachung zum Schutz vor Überfällen installiert (Riesenhuber, in: Wolff/Brink/von Ungern-Sternberg, BeckOK Datenschutzrecht, 56. Edition 2026, § 26 BDSG Rn. 47).

Gemessen daran kann von einer Freiwilligkeit der Beschäftigten nicht ausgegangen werden. Vorteile für die Beschäftigten oder gleichgelagerte Interessen sind nicht ersichtlich. Einen eventuellen Generalverdacht der Klägerin als Arbeitgeberin gegen ihre Beschäftigten auszuräumen, dass diese Hygienevorschriften missachten oder Straftaten begehen könnten, kann dabei nicht als Vorteil für die Beschäftigten angesehen werden. Wie bereits oben festgestellt, ist es vielmehr die Pflicht der Arbeitgeberin, die Einhaltung von Vorschriften durch andere, weniger eingriffsintensive Maßnahmen zu gewährleisten, ohne direkt auf eine Videoüberwachung zurückzugreifen. Wenn es in der Einwilligungserklärung heißt, die Überwachung diene dem Schutz vor Diebstahl für das Unternehmen sowie die Mitarbeitenden, so dürfte es sich höchstens um sekundäre Ziele handeln, da sich die Klägerin im Klageverfahren stets auf Hygienevorschriften als Grund für die Videoüberwachung berufen hat. Zur Aufdeckung von Straftaten der Beschäftigten darf die Videoüberwachung zudem nur auf § 26 Abs. 1 Satz 2 BDSG gestützt werden.

Ferner kann bei lebensnaher Betrachtung der Betriebsorganisation davon ausgegangen werden, dass die Einwilligungserklärung von den Beschäftigten im Zusammenhang mit der Begründung des Arbeitsverhältnisses abgegeben wurde. Auch dies spricht gegen eine Freiwilligkeit.

Des Weiteren kommt auch die Rechtsgrundlage des Art. 6 Abs. 1 Buchst. f DSGVO vorliegend nicht in Betracht. Unabhängig davon, ob für diese Norm wegen § 26 BDSG noch ein Anwendungsbereich gegeben ist, lässt sich die Videoüberwachung jedenfalls nicht auf diese Rechtsgrundlage stützen. Nach Art. 6 Abs. 1 Buchst. f DSGVO ist die Verarbeitung unter anderem dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Die Klägerin hat in einem ersten Schritt eine solche Interessenabwägung bereits nicht erkennbar vorgenommen. Darüber hinaus ist eine Videoüberwachung – wie bereits dargelegt – zur Überwachung der Hygiene oder zum Schutz vor Straftaten nicht erforderlich.

bb. Auch die Überwachung des öffentlichen Verkehrsraums erfolgte ohne taugliche Rechtsgrundlage.

Die Klägerin hat dargelegt, die Videokamera im Außenbereich gegen Einbrüche bzw. Vandalismus installiert zu haben. Dennoch erfolgte die Datenverarbeitung nicht zur Wahrung der berechtigten Interessen der Klägerin im Sinne des Art. 6 Abs. 1 Buchst. f DSGVO.

Grundsätzlich kann ein berechtigtes Interesse vorliegen, wenn der Inhaber des Hausrechts sich vor Diebstählen oder Hausfriedensbruch schützen will (vgl. DSK, Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen vom 17. Juli 2020, Ziff. 2.2.1.). Eine Videoüberwachung zum Schutz vor Einbrüchen und Vandalismus lässt sich jedoch nur dann als objektiv begründbar rechtfertigen, wenn eine Gefährdungslage besteht, die über das allgemeine Lebensrisiko hinausgeht. Eine solche Gefährdungslage kann sich nur aus tatsächlichen Erkenntnissen ergeben; subjektive Befürchtungen oder ein Gefühl der Unsicherheit reichen nicht aus. Konkrete Vorfälle müssen nicht in jedem Fall beim Überwachenden selbst stattgefunden haben, sondern die Gefahrenlage kann sich auch daraus ergeben, dass vergleichbare Vorfälle oder Übergriffe in der unmittelbaren Nachbarschaft stattgefunden haben (VG Hannover, Urteil vom 10. Oktober 2023 – 10 A 3472/20 –, juris Rn. 50; VG Berlin, Urteil vom 20. April 2026 – 42 K 51.25 –, juris Rn. 18). Hierzu hat die Klägerin bereits nicht substantiiert vorgetragen. Selbst wenn es in der Vergangenheit vergleichbare Vorfälle in der Nachbarschaft gegeben hätte, so war jedenfalls eine dauerhafte Überwachung des öffentlichen Verkehrsraums auch während der Geschäftszeiten zum Schutz vor Einbrüchen und Vandalismus nicht erforderlich.

b. Die Klägerin hat gegen den Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 Buchst. e DSGVO verstoßen, indem sie die Aufzeichnungen aus der Videoüberwachung länger als notwendig gespeichert hat.

Nach dieser Vorschrift dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Nach der Rechtsprechung des Europäischen Gerichtshofs kann selbst eine ursprünglich zulässige Verarbeitung von Daten im Lauf der Zeit gegen die DSGVO verstoßen, wenn diese Daten für die Erreichung der Zwecke, für die sie erhoben oder später verarbeitet wurden, nicht mehr erforderlich sind, sodass diese Daten gelöscht werden müssen, wenn diese Zwecke erreicht sind (EuGH, Urteil vom 4. Oktober 2024 – C-446/21 – Schrems/Meta Platforms Ireland Ltd, juris Rn. 56 m.w.N.). Der Verantwortliche muss die Daten nicht nur dann löschen, wenn der Betroffene dies gemäß Art. 17 Abs. 1 DSGVO verlangt, sondern auch aus eigener Initiative (EuGH, Urteil vom 13. Mai 2014 – C-131/12 – Recht auf Vergessenwerden, juris Rn. 72).

Die Klägerin hat angegeben, die Videoüberwachung zur Einhaltung der Hygienevorschriften sowie zum Schutz vor Einbrüchen, Diebstählen und Vandalismus durchgeführt zu haben. Ob eine solche Straftat begangen wurde, lässt sich in der Regel innerhalb weniger Stunden feststellen. Die Klägerin hätte unter diesem Gesichtspunkt bereits nach höchstens zwei Tagen das Überwachungsmaterial derjenigen Zeiträume, in denen keine Straftat begangen wurde, löschen können und müssen. Gleiches gilt für die Einhaltung von Hygienevorschriften.

Die Klägerin hat jedoch Daten teilweise jahrelang aufbewahrt. Bei der Beschlagnahme des Videoservers am 15. Dezember 2022 fanden sich Aufnahmen von September 2021 auf dem Server, die mithin über ein Jahr alt waren. Auch nach Rückgabe des Servers hat die Klägerin die Daten erst im September 2023 nach mehrmaliger Aufforderung gelöscht.

c. Schließlich hat die Klägerin auch gegen Art. 30 Abs. 1 DSGVO verstoßen, da sie weder ein Verarbeitungsverzeichnis geführt noch auf (mehrmalige) Aufforderung des Beklagten vorgelegt hat.

Nach Art. 30 Abs. 1 Satz 1 DSGVO hat jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die seiner Zuständigkeit unterliegen. Art. 30 Abs. 1 Satz 2 DSGVO konkretisiert, welche Angaben das Verzeichnis zu enthalten hat. Nach Art. 30 Abs. 3 DSGVO ist das Verzeichnis schriftlich zu führen, wobei auch das elektronische Format gewählt werden kann. Unbestritten hat die Klägerin ein solches Verzeichnis während der Dauer der Videoüberwachung nicht geführt und dem Beklagten erst am 11. September 2023 vorgelegt.

Zur Führung und Vorlage des Verzeichnisses war sie jedoch verpflichtet. Zwar ist hierzu nach Art. 30 Abs. 5 DSGVO ein Unternehmen mit weniger als 250 Mitarbeitenden nicht verpflichtet. Dies gilt jedoch nicht, wenn die vorgenommene Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO bzw. personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet werden. Nicht „nur gelegentlich“ ist eine Datenverarbeitung, wenn sie regelmäßig erfolgt, also fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommt, immer wieder oder wiederholt zu bestimmten Zeitpunkten auftritt oder ständig oder regelmäßig stattfindet (DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten vom 26. Februar 2025, Ziff. 5; Hartung, in: Kühling/Buchner, DS-GVO BDSG, 4. Aufl. 2024, Art. 30 Rn. 37).

Die Dauerüberwachung der Beschäftigten sowie des öffentlichen Verkehrsraums stellt demnach keine Datenverarbeitung dar, die nur gelegentlich erfolgt. Gleiches gilt für die Überwachung mittels der Klingelkamera, die regelmäßig immer beim Betätigen der Klingel auslöst.

d. Die Verwarnungen ergingen auch ermessensfehlerfrei. Der Beklagte war sich seines Auswahl- und Entschließungsermessens bewusst und hat dies fehlerfrei ausgeübt.

Die Verwarnungen dienen dem Ziel, einen vergangenen datenschutzwidrigen Zustand festzustellen. Wenn die Verstöße inzwischen abgestellt sind, der Adressat aber nach wie vor davon ausgeht, sein Verhalten sei nicht rechtswidrig gewesen, sind sie auch geeignet und erforderlich, um den Rechtsverstoß verbindlich festzustellen.

Was die Verwarnungen zu Ziffer 1) angeht, so hat der Beklagte nachvollziehbar erläutert, weshalb er sich im Verwaltungsverfahren lediglich für die Feststellung des Verstoßes in Form einer Verwarnung entschieden hat und darüber hinaus von der Möglichkeit, bei einem nicht nur geringfügigen Verstoß auch eine Geldbuße verhängen zu können, Gebrauch gemacht hat. Entgegen der Ansicht der Klägerseite ist die Verwarnung parallel zur Verhängung einer Geldbuße auch nicht unverhältnismäßig und verstößt nicht gegen das Verbot der Doppelbestrafung aus Art. 103 Abs. 3 GG.

Vom Verbot der Doppelbestrafung sind nur erneute Sanktionen aufgrund der allgemeinen Strafgesetze umfasst. Unabhängig davon, ob Geldbußen als Sanktionen des Ordnungswidrigkeitenrechts darunterfallen, handelt es sich jedenfalls bei der datenschutzrechtlichen Verwarnung nicht um eine Sanktion aufgrund allgemeiner Strafgesetze. Wie bereits dargelegt, beinhaltet eine Verwarnung die Feststellung eines Rechtsverstoßes. Eine Sanktionierung ist hierin nicht zu erblicken. Denn während Geldbußen gemäß Art. 83 DSGVO einen Strafzweck haben, ist die Verwarnung eine verwaltungsrechtliche Maßnahme, die die Missbilligung der Aufsichtsbehörde zum Ausdruck bringt. Es handelt sich insbesondere nicht um eine Verwarnung nach § 56 OWiG, wie in dem Bescheid auch deutlich zum Ausdruck gekommen ist.

Die kumulative Anwendung der Verwarnung und des Bußgelds ist auch verhältnismäßig. Nach der Auffassung des Gerichts können Geldbußen nach Art. 58 Abs. 2 Buchst. i in Verbindung mit Art. 83 DSGVO und Verwarnungen nach Art. 58 Abs. 2 Buchst. b DSGVO kumulativ eingesetzt werden, je nachdem, was nach den Umständen des Einzelfalls sachlich geboten ist.

Dafür spricht zuvorderst der Wortlaut von Art. 58 Abs. 2 Buchst. i und Art. 83 Abs. 2 Satz 1 DSGVO. Nach Art. 58 Abs. 2 Buchst. i DSGVO können Geldbußen „zusätzlich zu oder anstelle von“ Maßnahmen gemäß Art. 58 Abs. 2 DSGVO verhängt werden. Dieselbe Formulierung findet sich in Art. 83 Abs. 2 Satz 1 DSGVO, wenn es heißt, dass Geldbußen „je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art. 58 Abs. 2 Buchst. a bis h und j verhängt“ werden. Beide Vorschriften nehmen explizit auch auf die Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO Bezug. Hätte der Verordnungsgeber die parallele Verhängung eines Bußgelds neben der Aussprache einer Verwarnung nicht gewollt, so hätte er Art. 58 Abs. 2 Buchst. b DSGVO exkludiert. Die explizite Bezugnahme in zwei Vorschriften spricht auch gegen ein redaktionelles Versehen. Wenn es in Erwägungsgrund 148 Satz 2 zur DSGVO auch heißt, dass bei geringfügigen Verstößen „anstelle einer Geldbuße eine Verwarnung“ erteilt werden kann, so liegt darin noch nicht das explizite Verbot, beide Abhilfemaßnahmen parallel zur Anwendung zu bringen. Immerhin heißt es in Satz 1 des Erwägungsgrundes, dass bei Verstößen gegen die DSGVO „zusätzlich zu den geeigneten Maßnahmen, die die Aufsichtsbehörde gemäß dieser Verordnung verhängt, oder an Stelle solcher Maßnahmen Sanktionen einschließlich Geldbußen verhängt werden“. Selbst wenn ein Alternativverhältnis zwischen der Verwarnung und der Geldbuße in Satz 2 des Erwägungsgrundes 148 zum Ausdruck gebracht würde, so könnte der Erwägungsgrund, weil er dann offensichtlich im Widerspruch zum Wortlaut der Verordnung stünde, nicht zur Auslegung der Verordnung herangezogen werden (vgl. EuGH, Urteil vom 19. Juni 2014 – C-345/13 – Karen Millen Fashions, juris Rn. 31).

Im kumulativen Ergreifen beider Maßnahmen liegt auch ein Mehrwert, sodass die Verwarnung neben der Verhängung eines Bußgelds nicht überflüssig erscheint, sondern erforderlich sein kann: Im Falle der Verwarnung erwächst die eindeutige Feststellung des Rechtsverstoßes als Teil des Bescheidtenors in Rechtskraft. Die explizite Feststellung des Verstoßes erfolgt im Fall einer Geldbuße lediglich in der Begründung. Ist hingegen auch der Rechtsverstoß rechtskräftig festgestellt, lassen sich daran für Betroffene der rechtswidrigen Datenverarbeitung leichter Folgen wie beispielsweise die Geltendmachung von Schadensersatz knüpfen.

II. Zuletzt ist auch der ebenfalls angegriffene Kostenfestsetzungsbescheid rechtmäßig.

Die Kostentragungspflicht der Klägerin folgt aus §§ 1, 3, 5 des Niedersächsischen Verwaltungskostengesetzes (NVwKostG) in Verbindung mit Ziffern 23.1.6, 23.1.9 des Kostentarifs zu § 1 der Verordnung über die Gebühren und Auslagen für Amtshandlungen und Leistungen (Allgemeine Gebührenordnung (AllGO)).

Die Höhe der geltend gemachten Kosten entspricht den Ziffern 23.1.6, 23.1.9 des Kostentarifs zu § 1 der AllGO in der maßgeblichen Fassung von 2023.

Untersuchungen nach Art. 58 Abs. 1 Buchst. b DSGVO sind nach Ziffer 23.1.6 grundsätzlich nach Zeitaufwand zu berechnen, wenn aufgrund der Datenschutzüberprüfung ein Rechtsverstoß festgestellt wird. Verwarnungen nach Art. 58 Abs. 2 Buchst. b DSGVO sind nach Ziffer 23.1.9 ebenfalls nach Zeitaufwand zu berechnen. Nach der Anmerkung zu Ziffer 23 sind je angefangene halbe Stunde erforderlichen Zeitaufwands 50 EUR zu berechnen.

Der Beklagte hat für das Verwaltungsverfahren einen Zeitaufwand von insgesamt zehn Stunden berechnet. Die aufgewandte Zeit erscheint plausibel und nachvollziehbar. Die Abrechnung von 1.000 EUR ist auch rechnerisch richtig, wenn der Beklagte für zwanzig halbe Stunden jeweils 50 EUR in Rechnung gestellt hat.

Entgegen der Ansicht der Klägerseite hat der Beklagte ausweislich des Kostenfestsetzungsbescheids auch gerade nicht seinen Zeitaufwand sowohl im Bußgeldverfahren als auch im Verwaltungsverfahren doppelt geltend gemacht. Ausweislich der als Anlage zum Bescheid geführten Gebührenermittlung hat der Beklagte vielmehr zwischen Bußgeld- und Verwaltungsverfahren getrennt. Amtshandlungen im Bußgeldverfahren finden sich weder in den Verwaltungsvorgängen noch in der Auflistung der berechneten Amtshandlungen.

Den Volltext der Entscheidung finden Sie hier:

LG Köln
Teilurteil vom 13.11.2025
30 O 146/25

Das LG Köln hat entschieden, dass ein Arbeitgeber datenschutzrechtlich verpflichtet sein kann, einem Personalvermittler Auskunft über die Gehaltsbestandteile eines vermittelten Arbeitnehmers zu erteilen. Dies gilt selbst dann, wenn der Arbeitnehmer der Datenweitergabe ausdrücklich widersprochen hat. Das Gericht führt aus, dass das berechtigte Interesse des Vermittlers an der Berechnung seines Honorars das allgemeine Geheimhaltungsinteresse des Arbeitnehmers überwiegt.

Aus den Entscheidungsgründen:
I. Die Stufenklage ist zulässig.

Der geltend gemachte Anspruch auf Auskunft über sämtliche Gehaltsbestandteile des Zeugen H. ist zulässiger Gegenstand der ersten Stufe einer Stufenklage nach § 254 ZPO.

Bei einer Stufenklage wird ein der Höhe oder dem Gegenstand nach noch unbekannter und deshalb nicht iSv § 253 II Nr. 2 ZPO bestimmbarer Leistungsanspruch mit den zu seiner Konkretisierung erforderlichen Hilfsansprüchen (auf Auskunft und gegebenenfalls Richtigkeitsversicherung) verbunden. Die Stufenklage ist nicht auf die in § 254 ZPO genannten Gegenstände beschränkt. Sie kann auch dann erhoben werden, wenn eine andere Form der geordneten Auskunft über Tatsachen begehrt wird, die für den Kläger einen gesetzlichen oder vertraglichen Anspruch begründen (NZA 2022, 261 Rn. 24, 25, beck-online).

Die hiesige Klägerin begründet ihren Auskunftsanspruch zulässigerweise damit, dass sich die mit der Beklagten vereinbarte Höhe ihres Honorars für die Vermittlung des Zeugen H. gem. § 3 des zwischen den Parteien geschlossenen Vertrages nach einem Prozentsatz des Bruttojahreseinkommens des Zeugen H. bestimmt. Zur Berechnung ihres Anspruchs ist die Klägerin daher auf die begehrte Auskunft angewiesen, über die sie derzeit noch nicht verfügt.

Der Antrag ist auch hinreichend bestimmt im Sinne von § 253 Abs. 2 Nr. 2 ZPO, da für die Beklagte ohne Weiteres erkennbar ist, über welche Gehaltsbestandteile sie die begehrte Auskunft erteilen soll.

II. Die Stufenklage ist auf der ersten Stufe begründet.

Die Klägerin hat gegen die Beklagte einen Anspruch auf Erteilung der beantragten Auskunft über das Bruttojahreseinkommen des Zeugen H. einschließlich aller Gehaltsbestandteile aus § 3 i.V.m. § 6 des zwischen den Parteien geschlossenen Vertrages vom 05./08.05.0000 i.V.m. § 242 BGB.

Dass der Vertrag wirksam geschlossen wurde und die Klägerin die Vermittlungstätigkeit erbracht hat, die den Honoraranspruch auslöst, ist zwischen den Parteien unstreitig.

An der Wirksamkeit der in § 6 des Vertrages vereinbarten Auskunftspflicht der Beklagten bestehen ebenfalls keine Zweifel. Eine derartige Vereinbarung ist nicht deshalb gem. §§ 134 bzw. 138 BGB gesetzes- oder sittenwidrig, weil die Beklagte sich als Arbeitgeberin verpflichtet, Gehaltsdaten ihres Arbeitnehmers der Klägerin zu offenbaren. Wie der Fall der Vermittlung einer anderen Arbeitnehmerin an die Beklagte zeigt, haben Arbeitnehmer häufig keine Bedenken gegen die entsprechende Weitergabe ihrer Daten an die Klägerin als Personalvermittlerin. Auch der BGH geht davon aus, dass eine Honorarabrede, die sich am Bruttojahresgehalt des vermittelten Arbeitnehmers orientiert, in der Arbeitsvermittlungsbranche branchenüblich ist. So hat er im Fall eines im Wege der Arbeitnehmerüberlassung vermittelten Mitarbeiters in ein festes Arbeitsverhältnis hinsichtlich des Anspruchs auf Vermittlungshonorar Folgendes ausgeführt: „Für eine Anknüpfung des Vermittlungsentgelts an die Verleihgebühr spricht auch nicht, dass diese den Vertragsparteien geläufig ist, während der Verleiher den Arbeitsvertrag zwischen dem Entleiher und dem (früheren) Leiharbeitnehmer naturgemäß nicht kennt, er mithin auf eine Information des (vormaligen) Entleihers angewiesen ist. Etwaigen damit verbundenen Schwierigkeiten ließe sich jedenfalls durch eine vertraglich vereinbarte Pflicht des Entleihers oder des Arbeitnehmers zur Offenbarung begegnen“ (BGH Urt. v. 10.3.2022 – III ZR 51/21, BeckRS 2022, 8082 Rn. 25, beck-online). Er erachtet somit das Bruttoeinkommen des Arbeitnehmers als adäquate Bemessungsgröße für die Vergütung des Vermittlers. Es ist nicht ersichtlich, warum außerhalb des Bereichs der Arbeitnehmerüberlassung für die Vermittlung von Arbeitnehmern durch Arbeitsvermittler bzw. Headhunter etwas Anderes gelten sollte. Im Hinblick auf den Datenschutz haben Leiharbeitnehmer dieselben Rechte wie jeder andere Arbeitnehmer auch.

Die Erteilung der Auskunft ist der Beklagten auch nicht gem. § 275 Abs. 1 BGB rechtlich unmöglich. Rechtliche Unmöglichkeit liegt vor, wenn der geschuldete Erfolg aus Rechtsgründen nicht herbeigeführt werden kann oder nicht herbeigeführt werden darf.

Eine rechtliche Unmöglichkeit der Auskunftserteilung ergibt sich bei einem Widerspruch des Arbeitnehmers gegen die Datenweitergabe nicht ohne Weiteres aus § 26 BDSG, der die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses regelt. Im Zusammenspiel zwischen dem BDSG und der DS-GVO sind auch die in letzterer geregelten Erlaubnistatbestände zu beachten.

Als Erlaubnistatbestände kommen – neben der Einwilligung und der Betriebsvereinbarung – vor allem Art. 6 Abs. 1 lit. b, zur Aufdeckung einer Straftat § 26 Abs. 1 S. 2 sowie, für Zwecke außerhalb des Beschäftigungsverhältnisses, Art. 6 Abs. 1 lit. b, f DS-GVO in Betracht (BeckOK DatenschutzR/Riesenhuber, 53. Ed. 1.8.2025, BDSG § 26 Rn. 179, beck-online).

Die Erlaubnis der Beklagten zur Erteilung der Auskunft trotz der Untersagung durch den Zeugen H. ergibt sich aus Art. 6 Abs. 1 S. 1 lit f DS-GVO. Nach dieser Vorschrift ist die Datenverarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Art. 21 DS-GVO sieht ebenfalls vor, dass bei einem Widerspruch der betroffenen Person gegen die Datenverarbeitung eine weitere Verarbeitung zu unterlassen ist, es sei denn, es liegen zwingende schutzwürdige Gründe für die Verarbeitung vor, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Die insoweit vorzunehmende Abwägung führt hier zu dem Ergebnis, dass die Interessen der Klägerin an dem Erhalt der Gehaltsdaten die Interessen des Zeugen H. an deren Geheimhaltung gegenüber der Klägerin überwiegen.

Die Datenverarbeitung in Form der Weitergabe der Daten an die Klägerin dient hier der Klägerin als Drittem zur Wahrung ihrer berechtigten Interessen und zur Geltendmachung von Ansprüchen. Denn die Klägerin hat gegen die Beklagte grundsätzlich einen Anspruch auf Honorar und kann dessen Höhe nur anhand der Gehaltsdaten des Zeugen berechnen. Die Geltendmachung und Beitreibung von Forderungen ist ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 S. 1 lit.f DS-GVO.

Da der Klägerin die Gehaltsdaten zur Berechnung ihres Honorars nicht vorliegen, ist die Weitergabe der Daten an sie auch erforderlich. Sofern die Beklagte ausführt, dass die Klägerin auch ein anderes Honorarmodell hätte wählen können, lässt dies die Erforderlichkeit der Datenübermittlung nicht entfallen, da der Vertrag mit eben diesem, auf die Gehaltshöhe bezogenen Honorarmodell geschlossen wurde und die Klägerin sich nicht auf eine Neuverhandlung des bereits abgeschlossenen Vertrags einlassen muss, die für sie einem Teilverzicht auf ihren Anspruch gleichkäme. Hinzu kommt, dass – wie bereits ausgeführt – ein nach dem Gehalt des vermittelten Arbeitnehmers berechnetes Honorar in der Rechtsprechung anerkannt und zudem branchenüblich ist.

Im Rahmen der Interessenabwägung spielen u.a. der mit der Datenverarbeitung verfolgte Zweck und die dahinter stehenden Interessen, Art, Inhalt und Aussagekraft der Daten sowie die Folgen derer Verarbeitung und (potenziellen) Verwendung und die davon betroffenen oder sonst involvierten Interessen eine Rolle. Mit Blick auf die Kriterien für die Abwägung lassen sich der DS-GVO sodann verschiedene Anhaltspunkte entnehmen. Zu berücksichtigen sind demnach insbesondere die vernünftige Erwartungshaltung der betroffenen Person (reasonable expectations) bzw. die Absehbarkeit (Branchenüblichkeit) der Verarbeitung (BeckOK DatenschutzR/Albers/Veit, 53. Ed. 1.8.2025, DS-GVO Art. 6 Rn. 72, beck-online).

Der Zeuge H. hat im Rahmen seiner Vernehmung angegeben, dass er die Weitergabe seiner Gehaltsdaten aus grundsätzlichen Erwägungen nicht wünscht. Ein daneben bestehendes spezielles Geheimhaltungsinteresse wie beispielsweise die Sorge vor behördlichen Maßnahmen oder vor Streitigkeiten mit Arbeitskollegen hat er verneint. Er hat vielmehr angegeben, dass er generell nicht wolle, dass jemand sein Gehalt kenne und dass er dies auch beispielsweise seinen Geschwistern nicht nennen würde, sondern allenfalls seinem engsten Freund. Konkrete Befürchtungen, dass sein Gehalt veröffentlicht werden könnte, hat er ebenfalls verneint.

Dieses allgemeine Geheimhaltungsinteresse des Zeugen H. muss im Rahmen der Abwägung nach Ansicht der Kammer vorliegend gegenüber dem Interesse der Klägerin am Erhalt der Gehaltsdaten zurückstehen.

Dabei ist zu berücksichtigen, dass der Zeuge H. der Klägerin seine konkreten Gehaltsvorstellungen bereits von sich aus mitgeteilt hatte. Dass er ein Gehalt von 110.000 € anstrebte, hatte er der Klägerin ebenso mitgeteilt wie seinen Wunsch nach einem Dienstwagen. Hinzu kommt, dass – auch wenn der Zeuge die konkrete Vereinbarung zwischen der Klägerin und der Beklagten möglicherweise nicht kannte – ihm aufgrund der Branchenüblichkeit der Bemessung eines Vermittlerhonorars nach dem Gehalt des vermittelten Arbeitnehmers bewusst sein musste, dass die Klägerin die konkreten Gehaltsdaten erfragen und benötigen würde. Auch in anderen Bereichen der Vermittlung wie z.B. bei Immobilien, Fahrzeugen, Krediten o.ä. ist eine prozentual an dem vermittelten Gegenstand bemessene Vergütung üblich.

Hinzu kommt, dass die Klägerin auch nicht die derzeit aktuellen Gehaltsdaten benötigt, sondern nur die aus dem ersten Jahr der Beschäftigung, das bereits abgelaufen ist, also nur Daten, die die Vergangenheit betreffen.

Des Weiteren ist die Klägerin vertraglich ebenfalls zur Verschwiegenheit verpflichtet, wie sich aus § 2 des Vermittlungsvertrags sowie aus § 1.4 der AGB der Klägerin ergibt. Diese Verschwiegenheitspflicht geht auch ausdrücklich über die Beendigung des Vermittlungsvertragsverhältnisses hinaus. Eine weitere Verbreitung oder gar deren öffentliche Bekanntgabe ist damit äußerst unwahrscheinlich. Dementsprechend hat der Zeuge H. nach eigenem Bekunden auch keine konkrete Befürchtung in dieser Richtung, sondern allenfalls ein allgemeines Unbehagen derart, dass man ja nie wisse, was mit den eigenen Daten passiere. Eine Veröffentlichung der der Klägerin bereits vorliegenden Daten des zeugen wie z.B. dessen Gehaltsvorstellungen ist auch nicht erfolgt, so dass es auch keine Anhaltspunkte für in der Zukunft liegende Datenverstöße der Klägerin gibt.

Im Übrigen kann dem Datenschutzinteresse des Zeugen auch dadurch Rechnung getragen werden, dass die Klägerin dessen Gehaltsdaten unmittelbar nach Berechnung und gerichtlicher Geltendmachung ihres Honoraranspruchs löscht.

Aus den vorgenannten Gründen kommt auch ein Leistungsverweigerungsrecht gem. § 275 Abs. 2 BGB nicht in Betracht.

Ein Leistungsverweigerungsrecht der Beklagten gem. § 275 Abs. 3 BGB besteht schon deshalb nicht, weil es sich bei der Auskunftserteilung nicht um eine persönlich zu erbringende Leistung handelt.

Weitere Gründe, die der Erteilung der Auskunft entgegenstehen könnten, vermag die Kammer nicht zu erkennen.

Den Volltext der Entscheidung finden Sie hier:

BAG
Beschluss vom 22.09.2022
8 AZR 209/21

Wir hatten bereits in dem Beitrag "BAG legt EuGH Fragen zur Auslegung von Art. 82 DSGVO und Art. 88 DGSVO vor - Immaterieller Schadensersatz bei Verarbeitung personenbezogener Daten im Rahmen eines Beschäftigungsverhältnisses" über die Entscheidung berichtet.

Tenor der Entscheidung:

I. Der Gerichtshof der Europäischen Union wird gemäß Art. 267 AEUV um Vorabentscheidung über die Fragen ersucht:

1. Ist eine nach Art. 88 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung; im Folgenden DSGVO) erlassene nationale Rechtsvorschrift – wie etwa § 26 Abs. 4 Bundesdatenschutzgesetz, im Folgenden BDSG -, in der bestimmt ist, dass die Verarbeitung personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten – von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen unter Beachtung von Art. 88 Abs. 2 DSGVO zulässig ist, dahin auszulegen, dass stets auch die sonstigen Vorgaben der DSGVO – wie etwa Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO – einzuhalten sind?

2. Sofern die Frage zu 1. bejaht wird:

Darf eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Rechtsvorschrift – wie § 26 Abs. 4 BDSG – dahin ausgelegt werden, dass den Parteien einer Kollektivvereinbarung (hier den Parteien einer Betriebsvereinbarung) bei der Beurteilung der Erforderlichkeit der Datenverarbeitung im Sinne der Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO ein Spielraum zusteht, der gerichtlich nur eingeschränkt überprüfbar ist?

3. Sofern die Frage zu 2. bejaht wird:

Worauf darf in einem solchen Fall die gerichtliche Kontrolle beschränkt werden?

4. Ist Art. 82 Abs. 1 DSGVO dahin auszulegen, dass Personen ein Recht auf Ersatz des immateriellen Schadens bereits dann haben, wenn ihre personenbezogenen Daten entgegen den Vorgaben der DSGVO verarbeitet wurden oder setzt der Anspruch auf Ersatz des immateriellen Schadens darüber hinaus voraus, dass die betroffene Person einen von ihr erlittenen immateriellen Schaden – von einigem Gewicht – darlegt?

5. Hat Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter und muss dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtigt werden?

6. Kommt es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters an? Insbesondere, darf ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden?

II. Das Revisionsverfahren wird bis zur Entscheidung des Gerichtshofs der Europäischen Union über das Vorabentscheidungsersuchen ausgesetzt.

Den Volltext der Entscheidung finden Sie hier:

BAG
Beschluss vom 22.09.2022
8 AZR 209/21

Der BAG hat dem EuGH Fragen zur Auslegung von Art. 82 DSGVO und Art. 88 DSGVO zur Entscheidung vorgelegt. Es geht dabei um die Zulässigkeit der Verarbeitung personenbezogener Daten im Rahmen eines Beschäftigungsverhältnisses und möglichen Ansprüchen auf immateriellen Schadensersatz.

Die Vorlagefragen:

I. Der Gerichtshof der Europäischen Union wird gemäß Art. 267 AEUV um Vorabentscheidung über die Fragen ersucht:

1. Ist eine nach Art. 88 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung; im Folgenden DSGVO) erlassene nationale Rechtsvorschrift – wie etwa § 26 Abs. 4 Bundesdatenschutzgesetz, im Folgenden BDSG – in der bestimmt ist, dass die Verarbeitung personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten – von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen unter Beachtung von Art. 88 Abs. 2 DSGVO zulässig ist, dahin auszulegen, dass stets auch die sonstigen Vorgaben der DSGVO – wie etwa Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO – einzuhalten sind?

2. Sofern die Frage zu 1. bejaht wird:
Darf eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Rechtsvorschrift – wie § 26 Abs. 4 BDSG – dahin ausgelegt werden, dass den Parteien einer Kollektivvereinbarung (hier den Parteien einer Betriebsvereinbarung) bei der Beurteilung der Erforderlichkeit der Datenverarbeitung im Sinne der Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO ein Spielraum zusteht, der gerichtlich nur eingeschränkt überprüfbar ist?

3. Sofern die Frage zu 2. bejaht wird:
Worauf darf in einem solchen Fall die gerichtliche Kontrolle beschränkt werden?

4. Ist Art. 82 Abs. 1 DSGVO dahin auszulegen, dass Personen ein Recht auf Ersatz des immateriellen Schadens bereits dann haben, wenn ihre personenbezogenen Daten entgegen den Vorgaben der DSGVO verarbeitet wurden oder setzt der Anspruch auf Ersatz des immateriellen Schadens darüber hinaus voraus, dass die betroffene Person einen von ihr erlittenen immateriellen Schaden – von einigem Gewicht – darlegt?

5. Hat Art. 82 Abs. 1 DSGVO spezial- bzw. generalpräventiven Charakter und muss dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO zulasten des Verantwortlichen bzw. Auftragsverarbeiters berücksichtig werden?

6. Kommt es bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens auf der Grundlage von Art. 82 Abs. 1 DSGVO auf den Grad des Verschuldens des Verantwortlichen bzw. Auftragsverarbeiters an? Insbesondere, darf ein nicht vorliegendes oder geringes Verschulden auf Seiten des Verantwortlichen bzw. Auftragsverarbeiters zu dessen Gunsten berücksichtigt werden?

II. Das Revisionsverfahren wird bis zur Entscheidung des Gerichtshofs der Europäischen Union über das Vorabentscheidungsersuchen ausgesetzt.

ArbG Berlin
Urteil vom 16.10.2019
29 Ca 5451/19

Das ArbG Berlin hat entschieden, dass die Arbeitszeiterfassung mittels Fingerprint nicht erforderlich gemäß § 26 Abs. 1 BDSG ist und daher nur mit Einwilligung des Betroffenen zulässig ist.

Aus den Entscheidungsgründen:

"Die Abmahnung vom 05. Oktober 2018 sowie die Abmahnung vom 26. März 2019 wegen Nichtbenutzung des Zeiterfassungssystems ZEUS sind aus der Personalakte des Klägers zu entfernen.

Arbeitnehmer können in entsprechender Anwendung von §§ 242, 1004 Abs. 1 Satz 1 BGB die Entfernung einer zu Unrecht erteilten Abmahnung aus ihrer Personalakte verlangen. Der Anspruch besteht, wenn die Abmahnung inhaltlich unbestimmt ist, unrichtige Tatsachenbehauptungen enthält, auf einer unzutreffenden rechtlichen Bewertung des Verhaltens des Arbeitnehmers beruht oder den Grundsatz der Verhältnismäßigkeit verletzt (ständige Rechtsprechung des BAG, hier nur herausgreifend Urteil vom 20. Januar 2015, 9 AZR 860/13, juris).

Diese Voraussetzungen liegen im Streitfall vor. Der Kläger ist nicht verpflichtet, das Zeiterfassungssystem ZEUS zu nutzen.

Erfolgte die Zeiterfassung früher üblicherweise analog mittels Stechuhr, ist heute eine digitale Zeiterfassung, zum Beispiel über softwarebasierte oder webbasierte Zeiterfassungssysteme, teilweise auch per Smartphone oder Tablet, die Regel. Relativ neu ist die digitale Zeiterfassung mittels Fingerprint. Diese Form der Arbeitszeiterfassung soll unter anderem verhindern, dass Mitarbeiter für Kollegen „mitstempeln“ und hierdurch Arbeitszeitbetrug begehen.

Bei der Zeiterfassung mittels Fingerprint meldet sich der Mitarbeiter durch Abgleich seines Fingerabdrucks mit den im Zeiterfassungsterminal gespeicherten Daten im Zeiterfassungsprogramm an und ab. Hierfür werden aus dem Fingerabdruck des Mitarbeiters zunächst sogenannte Minutien (individuelle, nicht vererbbare Fingerlinienverzweigungen) mittels eines speziellen Algorithmus extrahiert. Der Minutiendatensatz wird sodann im Zeiterfassungsterminal gespeichert und zum Abgleich des Fingerabdrucks des Mitarbeiters bei der An- und Abmeldung verwendet. Nicht gespeichert wird grundsätzlich der Fingerabdruck des Mitarbeiters. Aus dem gespeicherten Minutiendatensatz kann der Fingerabdruck des Mitarbeiters auch nicht wieder generiert werden.

Datenschutzrechtlich handelt es sich bei dem Minutiendatensatz um biometrische Daten nach Artikel 9 Abs. 1 DSGVO und besondere Kategorien personenbezogener Daten im Sinne von § 26 Abs. 3 BDSG. Diesen Daten ist eigen, dass eine Verarbeitung die Privatsphäre des Mitarbeiters und damit das Recht auf informationelle Selbstbestimmung im besonderen Maße verletzen kann. Die Verarbeitung von biometrischen Daten – und somit auch von Minutiendatensätzen – ist daher nach Artikel 9 Abs. 1 GSGVO grundsätzlich verboten. Allerdings enthält Artikel 9 Abs. 2 GSGVO mehrere Erlaubnistatbestände, bei deren Vorliegen eine Verarbeitung (ausnahmsweise) doch zulässig ist. Arbeitsrechtlich relevant sind insbesondere die Erlaubnistatbestände „Erforderlichkeit“, „Freiwillige Einwilligung“ und „Kollektivvereinbarung“.

Eine Einwilligung und eine Kollektivvereinbarung liegen hier nicht vor.

Folglich ist zu prüfen, ob die Verarbeitung der biometrischen Daten im Rahmen der Zwecke der Beschäftigungsverhältnisses im Sinne des § 26 Abs. 1 BDSG erforderlich ist, damit der Verantwortliche (Arbeitgeber) den ihm „aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes“ erwachsenden Rechte und Pflichten nachkommen kann. Es darf kein Grund zu der Annahme bestehen, dass das schutzwürdige Interesse der betroffenen Person (des Beschäftigten) an dem Ausschluss der Verarbeitung überwiegt. Biometrische Merkmale eines Beschäftigten darf der Arbeitgeber nach § 26 Abs. 3 BDSG somit nur dann verarbeiten, wenn dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Die Erhebung und Verwendung von biometrischen Merkmalen muss im Rahmen der dreistufigen Prüfung folgende Voraussetzungen erfüllen:

1. Das biometrische Verfahren muss für die Zwecke des Beschäftigungsverhältnisses geeignet sein, das heißt, der jeweils auf das Beschäftigungsverhältnis bezogene Zweck muss tatsächlich gefördert werden können.

2. Es darf kein anderes, gleich wirksames, das Persönlichkeitsrecht weniger beeinträchtigendes Mittel existieren.

3. Als Ergebnis einer umfassenden Abwägung der schutzwürdigen Interessen und Grundrechte des Arbeitnehmers und des Arbeitgebers muss die Beeinträchtigung des Persönlichkeitsrechts des Beschäftigten durch das Biometrische Verfahren in einem angemessenen Verhältnis zu dem angestrebten Zweck der Datenverwendung stehen (Weth/Herberger/Wächter/Sorge-Kramer B XI. Rn.-Nr. 9f mit weiteren Nachweisen).

Dabei gilt folgende Regel: Je intensiver in das Persönlichkeitsrecht eingegriffen werden soll, desto schwerer muss der vom Arbeitgeber mit dem Verfahren verfolgte konkrete Zweck wiegen. So wird das Interesse des Arbeitgebers an einer biometrischen Zugangskontrolle zu Bereichen mit sensiblen Geschäfts-, Produktions- und Entwicklungsgeheimissen eher überwiegen als bei einer angestrebten Zugangs-sicherung zu normalen Bürobereichen. So können biometrische Daten zwar zur Kontrolle beim Eintritt in Sicherheitsbereiche, nicht jedoch im Rahmen der Arbeitszeiterfassung verwendet werden (Gola / Heckmann, 13. Auflage 2019, Rn.-Nr. 157 zu § 26 BDSG).

Vorliegend stellt sich die Frage, ob die Arbeitszeiterfassung durch Fingerprint wirklich erforderlich ist. Dabei ist zu berücksichtigen, dass dadurch die Grundrechte und Grundfreiheiten der betroffenen Personen erheblich beeinträchtigt werden. Wenn auch vereinzelt Missbrauch von Zeiterfassungssystemen durch Falscheintragungen oder im Falle einer Stempelkarte durch „mitstempeln“ durch Kollegen auftreten mögen, so ist dennoch in der Regel davon auszugehen, dass sich die weit überwiegende Mehrheit der Arbeitnehmer rechtstreu verhält, also für eine solche Art von Kontrollen keinerlei Anlass gegeben ist, es sei denn, dass konkrete Umstände im Einzelfall (Nachweise über Missbräuche in nicht unerheblichem Umfang) die Erforderlichkeit einer solchen Maßnahme begründen können.

Derartiges hat die Beklagte jedoch nicht vorgetragen. Sie hat weder vorgetragen, dass durch das bisherige „händische“ System der Zeiterfassung erheblicher Missbrauch betrieben worden ist, noch hat sie darlegen können, dass im Fall der Einführung eines anderen Zeiterfassungssystems (ohne die Speicherung biometrischer Daten) Missbrauch in erheblichem Umfang oder auch nur in nennenswertem Umfang zu befürchten ist. Es ist auch nicht dargetan, dass etwa der Kläger in der Vergangenheit durch Falschangaben betreffend seine Arbeitszeit negativ aufgefallen ist.

Nach alledem vermag die Kammer nicht festzustellen, dass vorliegend die Interessen der Beklagten das schutzwürdige Interesse des Klägers an dem Ausschluss der Verarbeitung überwiegen.

Daher sind diese Abmahnungen aus der Personalakte des Klägers zu entfernen."

Den Volltext der Entscheidung finden Sie hier: