Der Fall
Der Kläger war bei der Beklagten als Außendienstmitarbeiter tätigt und arbeitete im Übrigen im Homeoffice. Im Rahmen einer Änderungskündigung bot die Beklagte dem Kläger ab dem 1. Dezember 2021 die Position des Account Managers mit Arbeitsort Competence Center Süd in O an. Seine neue Aufgabe nahm der Kläger krankheitsbedingt erst am 10. Januar 2022 auf. In der Folgezeit kam es immer wieder zu Differenzen zwischen den Parteien, unter anderem hinsichtlich der vertragsgemäßen Beschäftigung des Klägers. Unter Vorlage von Arbeitsunfähigkeitsbescheinigungen meldete sich der Kläger für die Zeit vom 4. Februar bis zum 4. März 2022 krank. Die Beklagte ließ den Kläger wegen des Verdachts einer vorgetäuschten Arbeitsunfähigkeit in der Zeit vom 25. Februar bis zum 4. März 2022 durch eine Detektei stichprobenartig überwachen. Deren Bericht enthielt Passagen zur körperlichen Verfassung des Klägers, unter anderem beim Treppensteigen und beim Anheben und Tragen von Lasten. Am 23. März 2022 wurde der Kläger zu dem Vorwurf der Vortäuschung einer Arbeitsunfähigkeit angehört.
Der Kläger klagte auf Schmerzensgeld in Höhe von 25.000 Euro. Er war der Ansicht, die Beklagte habe gegen die Vorgaben der Datenschutz-Grundverordnung (DS-GVO) verstoßen. Er habe keinen Anlass für einen Verdacht gegeben. Die Arbeitsunfähigkeitsbescheinigungen seien ordnungsgemäß ausgestellt gewesen. Die Observierung sei ein schwerwiegender Eingriff, weil er nicht nur in der Öffentlichkeit, sondern auch in seinem Treppenhaus beobachtet wurde und seine nicht beteiligte Hausarztpraxis sowie seine ehemalige Lebensgefährtin ohne Bezug zur Arbeitsunfähigkeit aufgesucht wurden.
Die Beklagte erwidert, dass der Kläger am 3. und 4. Februar 2022 in O hätte arbeiten müssen, so dass ein Besuch des MVZ im 600 km entfernte B Anlass zu Zweifeln an der Arbeitsunfähigkeit gegeben habe. Der Medizinische Dienst der gesetzlichen Krankenkassen (MDK) habe nicht eingeschaltet werden können, weil der Kläger privat versichert sei. Außerdem habe sich der Kläger bereits früher in Arbeitsunfähigkeit geflüchtet. Die Überwachung habe an nur vier Tagen die Woche und nur im frei einsehbaren Raum stattgefunden. Die Detektei habe erwiesen, dass der Kläger nicht arbeitsunfähig gewesen sei. Ein Schaden sein vom Kläger nicht nachgewiesen worden.
In der Berufungsinstanz erhielt der Kläger ein Schmerzensgeld in Höhe von 1.500 Euro. Mit der Revision begehrte der Kläger die Zahlung der übrigen 23.500 Euro.
Die Entscheidung
Das BAG wies die Revision und die Anschlussrevision als unbegründet zurück. Es stellte fest, dass gemäß § 26 Bundesdatenschutzgesetz (BDSG) zwar Gesundheitsdaten von Arbeitnehmern verarbeitet werden können, diese Verarbeitung müsse jedoch zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten erforderlich sein. Der Verarbeitung dürfen schutzwürdige Interessen nicht entgegenstehen. Arbeitgeber, die Zweifel am Vorliegen einer ärztlich bescheinigten Arbeitsunfähigkeit hegen, dürfen Detektive einschalten, wenn der Beweiswert einer vorgelegten Arbeitsunfähigkeitsbescheinigung erschüttert ist und eine Untersuchung durch den MDK nicht möglich ist oder objektiv keine Klärung erwarten lässt. Maßgeblich seien dabei die Umstände des Einzelfalls.
Richtigerweise sei das Landesarbeitsgericht (LAG) im Berufungsverfahren zu dem Ergebnis gekommen, dass der Beweiswert der Arbeitsunfähigkeitsbescheinigungen nicht durch die früheren Erkrankungen oder die Differenzen zwischen den Parteien erschüttert wurde. Das BAG führt weiter aus, dass der Verlust der Kontrolle über personenbezogene Daten, so gering er auch sein möge, einen „immateriellen Schaden“ im Sinne der DS-GVO darstellt, wenn dieser tatsächlich erlitten wurde. Es müssen konkrete Umstände vorliegen, die einen solchen Verlust begründen. Das LG habe zu Recht angenommen, der Schaden liege hier in dem durch die Überwachung erlittenen Kontrollverlust und insbesondere im Verlust der Sicherheit vor Beobachtung im privaten Umfeld. Dies stehe in Bezug zu einer konkreten mehrtägigen heimlichen Überwachung. In einer solchen Konstellation seien der Verlust von Kontrolle und die daraus folgende Befürchtung weiterer Überwachung selbsterklärend und bedürften keiner weiteren näheren Darlegung.
Die Schadenshöhe solle den konkret aufgrund des Datenschutzverstoßes erlittenen Schaden ausgleichen. Sie habe keine Abschreckungs- oder Straffunktion, stehe im Ermessen des Gerichts und sei in der Höhe von 1.500 Euro angemessen. Das LAG habe nachvollziehbar auf die Beobachtung und das Fotografieren des Klägers in seiner privaten Umgebung, auf die zeitliche Dimension und auf die Erhebung von Gesundheitsdaten abgestellt. Zu Gunsten der Beklagten habe es gewürdigt, dass diese den Detektivbericht nicht an Dritte weitergegeben und der Kläger weitere psychische Belastungen nicht dargelegt habe.
Fazit
Auch nach Inkrafttreten der DS-GVO sind die bereits zuvor gültig gewesenen Grundsätze zur Überwachung von Arbeitnehmern und die dazu ergangene Rechtsprechung weiterhin anwendbar. Bevor ein Arbeitnehmer heimlich beobachtet werden darf, muss ein objektiver Verdacht existieren. Die Verdachtsmomente dürfen nicht aus der Überwachung selbst folgen. Ein Kontrollverlust über die personenbezogenen Daten kann einen immateriellen Schaden begründen.
