Verstoß gegen Datenschutz:
Hammer-Bußgeld für H&M: 35 Mio. Euro wegen Spitzelei
Mangelnder Datenschutz hat Konsequenzen: Die Hamburger Behörde drückte der Bekleidungskette H&M ein Bußgeld von 35 Millionen Euro auf, weil bei einem Servicecenter intime Daten gespeichert wurden.
Foto: H&M
Der schwedische Moderiese Hennes & Mauritz (H&M) soll wegen Ausspähens auch intimer Details von Mitarbeitern in Nürnberg ein Bußgeld in Höhe von 35,3 Millionen Euro zahlen. Mit der Überwachung von Hunderten Mitarbeitern des Servicecenters habe der Konzern gegen den Datenschutz verstoßen, begründete der Hamburgische Beauftragte für Datenschutz, Johannes Caspar, am Donnerstag den Erlass. Der Fall dokumentiere eine schwere Missachtung des Beschäftigtendatenschutzes: "Das verhängte Bußgeld ist dementsprechend in seiner Höhe angemessen und geeignet, Unternehmen von Verletzungen der Privatsphäre ihrer Beschäftigten abzuschrecken."
Nach Angaben seines Sprechers ist es das bisher höchste in Deutschland verhängte Bußgeld nach Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 und das zweithöchste in Europa. Im vergangenen Jahr waren dem Internet-Riesen Google von Frankreichs Datenschutzbehörde 50 Millionen Euro Bußgeld aufgebrummt worden.
H&M hat nun zwei Wochen Zeit, Einspruch gegen die Entscheidung einzulegen. Die schwedische Konzernzentrale kündigte an, den Bescheid eingehend zu prüfen. Der Fall liegt in der Zuständigkeit des Hamburgischen Beauftragten für den Datenschutz, weil das Unternehmen seine Deutschlandzentrale in der Hansestadt hat.
Datenschutz, Kundenansprache, Videokonferenzen, Cookie-Urteil oder E-Privacy - Sie wollen tiefer in das Thema DSGVO einsteigen? Unser W&V Report DSGVO Update hilft Ihnen dabei, Ihr Unternehmen rechtssicher aufzustellen.
Bekanntgeworden war der Fall im vergangenen Jahr. Laut Behörde wurden aber mindestens seit 2014 bei einem Teil der Beschäftigten Angaben zu ihren privaten Lebensumständen umfangreich erfasst und gespeichert. Nach Urlaubs- und Krankheitsabwesenheiten hätten Vorgesetzte einen "Welcome Back Talk" geführt und anschließend in etlichen Fällen nicht nur konkrete Urlaubserlebnisse, sondern auch Krankheitssymptome und Diagnosen dokumentiert.
Einige Vorgesetzte hätten sich auch "über Einzel- und Flurgespräche ein breites Wissen über das Privatleben ihrer Mitarbeitenden angeeignet, das von eher harmlosen Details bis zu familiären Problemen sowie religiösen Bekenntnissen reichte", hieß es.
Ausdrücklich positiv bewertete Caspar das Bemühen der Konzernleitung, "die Betroffenen vor Ort zu entschädigen und das Vertrauen in das Unternehmen als Arbeitgeber wiederherzustellen". Darin sei durchaus der Wille zu erkennen, "den Betroffenen den Respekt und die Wertschätzung zukommen zu lassen, die sie als abhängig Beschäftigte in ihrem täglichen Einsatz für ihr Unternehmen verdienen".
Die schwedische H&M Group bekräftigte nach Bekanntgabe des Bescheides, dass ein Umgang mit Beschäftigtendaten wie in Nürnberg, nicht mit den H&M-Richtlinien und -Anweisungen in Einklang stehe. Man übernehme die volle Verantwortung und entschuldige sich vorbehaltlos bei den betroffenen Mitarbeitern.
Gleich nach Bekanntwerden des Falls habe man Verbesserungen in dem Servicecenter vorgenommen, unter anderem seien die interne Kontrolle des Datenschutzes gestärkt und Führungskräfte und Mitarbeiter geschult worden, hieß es. Zudem kündigte der Konzern an, alle betroffenen Mitarbeiter zu entschädigen.
Rechtsanwältin Nina Diercks kommentiert den Vorfall in ihrem Blog: "Datenschutz ist endlich ernst zu nehmen. Ebenso Datensicherheit. Sehr zynisch könnte man hier gar vermerken, dass dieser Datenschutzverstoß vermutlich nie bekannt geworden wäre, wenn das Unternehmen seine IT-Systeme besser im Griff gehabt hätte."
