Mitarbeiter ausspioniert: 35 Millionen DSGVO-Bußgeld für H&M

(1 Bewertung, 1.00 von 5)

Worum geht's?

Jahrelang hat H&M am Standort Nürnberg Gesundheit und Privatleben seiner Angestellten systematisch erfasst. Details zu familiären Hintergründen, persönlichen Krisen und Krankheitsdiagnosen konnten von bis zu 50 Führungskräften eingesehen werden. Mittlerweile hat der zuständige Datenschutz-Beauftragte die Vorgänge untersucht. Die Konsequenz: ein Bußgeld in Höhe von über 35 Millionen Euro.

Anzeige

Familienstreitigkeiten und medizinische Befunde

Betroffen sind mehrere Hundert Mitarbeiter des H&M-Servicecenters in Nürnberg. Mindestens seit 2014 waren hier sogenannte „Welcome Back Talks“ an der Tagesordnung: Nach jeder noch so kurzen Abwesenheit wegen Urlaub oder Krankheit baten die Vorgesetzten zum Gespräch. Detailliert wurde dabei über Reiseeindrücke, Krankheitssymptome oder Diagnosen gesprochen. Die Erkenntnisse wurden auf einem Netzlaufwerk gespeichert, auf das teilweise bis zu 50 Führungspersonen Zugriff hatten. Auch Inhalte scheinbar privater Gespräche auf dem Flur und in der Kaffeeküche wurden in die digitalen Verzeichnisse eingetragen. Dazu werteten die Vorgesetzten akribisch die derzeitige Leistung der Angestellten aus. Das Ergebnis: umfangreiche Profile über Privat- und Arbeitsleben, die bei wichtigen Entscheidungen zum beruflichen Fortkommen berücksichtigt wurden.

Ein Bug führt zur Aufdeckung

Möglicherweise würde im Nürnberger Servicecenter bis heute so verfahren, wäre nicht im Oktober 2019 ein Konfigurationsfehler aufgetreten. Der führte dazu, dass die brisanten Daten mehrere Stunden lang im gesamten Unternehmen sichtbar waren. Empörte Mitarbeiter informierten die Presse, kurz darauf leitete der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Johannes Caspar, ein Bußgeldverfahren ein. Das Unternehmen kooperierte und stellte die entsprechenden Daten umgehend zur Verfügung: rund 60 Gigabyte. Neben der Auswertung des Materials befragte Caspars Behörde auch zahlreiche Zeugen.

Entschuldigungen und Schadensersatz

Es habe sich um einen besonders intensiven Eingriff in die Rechte der Betroffenen gehandelt, bilanziert der Hamburger Datenschutz-Beauftragte: Persönliche Details aus dem Privatleben seien kontinuierlich mit den Leistungen am Arbeitsplatz kombiniert worden. Wegen schwerer Missachtung des Beschäftigten-Datenschutzes ging der H&M Hennes & Mauritz Online Shop A.B. & Co. KG nun ein Bußgeldbescheid in Höhe von 35.258.707,95 Euro zu. Ein umfassendes Datenschutz-Konzept für den Standort Nürnberg hat das Unternehmen bereits vorgelegt.

Fazit

Ausdrücklich positiv bewertet Johannes Caspar die Bemühungen der Konzernleitung nach Bekanntwerden der Missstände. Man habe sich bei allen Betroffenen entschuldigt und wolle unbürokratisch einen Schadensersatz „in beachtlicher Höhe“ auszahlen. Ein solches Bekenntnis zur Unternehmensverantwortung nach einem Datenschutz-Verstoß sei in Deutschland bisher einmalig.

Anzeige

Diese Beiträge könnten Sie ebenfalls interessieren:
Weiterlesen...
Clubhouse: Datenbank mit 3,8 Milliarden Telefonnummern gehackt
Weiterlesen...
Spieleplattform Roblox: Hacker greift auf Nutzerdaten zu
Weiterlesen...
Pegasus: BSI warnt vor Spionageangriffen auf deutsche Ziele
Weiterlesen...
Google vs. DSGVO: Datenschutzverein fordert Milliarden-Strafe
Weiterlesen...
DSGVO: WhatsApp muss Rekord-Bußgeld von 225 Millionen Euro zahlen
Weiterlesen...
Microsoft Office 365: Streit der Datenschutzbehörden
Weiterlesen...
Luca-App: Sicherheitslücke ermöglicht Malware-Angriffe auf Gesundheitsämter
Weiterlesen...
eID: Noch in diesem Jahr kommt der Perso aufs Handy
Weiterlesen...
Update des eRecht24 Datenschutz-Generators auf Version 1.16
Weiterlesen...
Corona-Virus und Handytracking: Robert-Koch-Institut plant App
eRecht24 - Unsere praktischen Tools und hilfreichen Tutorials

mitgliederbereich teaser

Exklusiv für unsere Mitglieder

Alles was Webseitenbetreiber, Agenturen und Selbständige wirklich brauchen: Tools, Wissen, Musterverträge, Erstberatung und Live-Webinare.

Mehr Informationen

dsgvo teaser

DSGVO Schnellstarter-Paket

Das Datenschutzrecht hat sich 2018 vollständig geändert. Haben Sie die DSGVO umgesetzt? Sichern Sie jetzt Ihre Webseite ab.

Jetzt absichern

webinar teaser

Online Schulung mit RA Siebert

Die 7 häufigsten Abmahnfallen auf Webseiten und wie Sie diese einfach und ohne teuren Anwalt vermeiden. So haben Abmahner keine Chance!

Mehr Details
Support