H&M: Hamburgischer Datenschutzbeauftragte verhängt deutsches Rekordbußgeld

Gegen die Modekette H&M (genauer gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG) hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Herr Prof. Dr. Johannes Caspar, einen Bußgeldbescheid in Höhe von 35.258.707,95 € erlassen.

Welcher Datenschutzverstoß wird H&M vorgeworfen?

Herr Prof. Dr. Caspar wirft H&M darin vor, mindestens seit 2014 in großem Umfang Daten über die privaten Lebensumstände der Mitarbeiter und Mitarbeiterinnen des Servicecenters in Nürnberg erfasst zu haben. Diese privaten Lebensumstände sollen dabei von den vorgesetzten Teamleadern zusammengetragen und dauerhaft im System gespeichert worden sein. Insbesondere hat es wohl sogenannte „Welcome Back Talks“ gegeben, wenn Mitarbeiter und Mitarbeiterinnen nach einem Urlaub oder einer Krankheit zurückkamen. Die in solchen „Talks“ oder auch in einfachen Flurgesprächen ausgetauschten Details zu Urlaubsereignissen, dem Krankheitsverlauf, religiösen Bekenntnissen oder familiären Problemen sollen notiert und bis zu 50 Führungskräften im Unternehmen zugänglich gemacht worden sein. Diese Daten seien neben den akribischen Auswertungen der individuellen Arbeitsleistung genutzt worden, um Personalentscheidungen zu treffen.

Bekannt wurde der Vorwurf dadurch, dass der Zugriff auf die Notizen durch einen technischen Fehler im Oktober 2019 für einige Stunden dem gesamten Unternehmen zugänglich war. Der Hamburgische Datenschutzbeauftrage, der durch Presseberichte davon erfuhr, verlangte daraufhin von H&M, alle Daten auf dem Netzwerk herauszugeben. Geliefert wurden daraufhin rund 60 Gigabyte Daten.
Die Höhe des Bußgeldes ist nach Aussage von Prof. Dr. Caspar darauf zurückzuführen, dass hier eine schwere Missachtung des Beschäftigtendatenschutzes vorliege und es eine abschreckende Wirkung für andere Unternehmen entalte. Positiv wurde hingegen bewertet, dass die Konzernleitung die betroffenen Personen finanziell entschädigen möchte.

Was bedeutet das für andere Unternehmen?

Unternehmen dürfen nur die Daten über ihre Mitarbeiter speichern, die sie für die Erfüllung der arbeitsvertraglichen Pflichten benötigen oder für deren Verarbeitung es eine andere Rechtfertigung gibt. Private Details und insbesondere solche zu Krankheiten sollten nicht verarbeitet werden. Selbstverständlich dürfen auch Arbeitgeber und Arbeitgeberinnen mit ihren Arbeitnehmern und Arbeitnehmerinnen private Gespräche führen, doch gehören Notizen zu diesen Gesprächen weder in die Personalakte noch in sonstige Listen und andere Dokumente des Arbeitgebers.