Urteil : Keine Haushaltsausnahme für die kollegiale WhatsApp-Chatgruppe : aus der RDV 5/2026, Seite 274 bis 277

Aus den Gründen:

Rn. 40 Die zulässige Klage ist teilweise begründet.

Rn. 41 1. Der Klageantrag zu 1) ist zulässig und begründet.

[…]

Rn. 46 3) Der Unterlassungsantrag ist auch begründet. Die Klägerin hat gegen die Beklagte einen Anspruch auf Unterlassung der Weitergabe personenbezogener Gesundheitsdaten des Klägers, ohne dass einer der im Antrag konkretisierten Rechtfertigungstatbestände vorliegt. Der Anspruch folgt aus § 1004 Abs. 1 BGB, § 823 Abs. 2 S. 1 BGB i.V.m. Art. 9 DS‑GVO.

Rn. 47 a) Nach allgemeinen Grundsätzen kann in entsprechender Anwendung des §  1004 Abs.  1 BGB die Unterlassung objektiv rechtswidriger Eingriffe in geschützte Rechtsgüter im Sinne des § 823 Abs. 2 S. 1 BGB verlangt werden. Demnach ist derjenige, der gegen ein den Schutz eines anderen bezweckendes Gesetz im Sinne des § 823 Abs. 2 S. 1 BGB verstößt, dem anderen entsprechend § 1004 Abs. 1 BGB zur Unterlassung verpflichtet. Ist nach dem Inhalt des Gesetzes ein Verstoß gegen dieses auch ohne Verschulden möglich, so tritt die Unterlassungspflicht – anders als die Ersatzpflicht (§ 823 Abs. 2 S. 2 BGB) – auch ohne ein Verschulden des Verletzers ein (vgl. BGH, Urt. v. 17.7.2008 – I ZR 219/05 – Rn. 13, juris; LAG Hamm, Urt. v. 14.12.2021 – 17 Sa 1185/20 –, Rn. 98, juris).

Rn. 48 b) Die Beklagte hat zu Lasten des Klägers ein Schutzgesetz verletzt.

Rn. 49 aa) Art. 9 DS-GVO ist ein Schutzgesetz im Sinne des § 823 BGB, da die Norm dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten dient (vgl. LAG Hamm, Urt. v. 14.12.2021 – 17 Sa 1185/20 –, Rn. 99 ff., juris; OLG Köln, Urt. v. 14.11.2019 – I-15 U 126/19 –, juris, Rn. 30, zum BDSG BGH, Urt. v. 27.2.2018 – VI ZR 489/16 –, juris, Rn. 42; BGH, Urt. v. 24.7.2018 – VI ZR 330/17 –, Rn. 30, juris; a.A. LG Lübeck, Urt. v. 27.11.2025 – 15 O 15/24 –, Rn. 150, juris).

[…]

Rn. 53 (c) Es ist entgegen der Auffassung der Beklagten auch nicht der Tatbestand einer Bereichsausnahme im Sinne des Art 2 Abs. 2 lit. c) DS‑GVO erfüllt. Danach findet die DS‑GVO keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. Als Ausnahmenorm ist Art. 2 Abs. 2 lit. c) DS‑GVO grds. restriktiv auszulegen (vgl. EuGH, Urt. v. 11.12.2014 – C-212/13, juris, Rn. 29 f.). Eine Verarbeitung von personenbezogenen Daten dient dann der Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten, wenn sie ohne jeden Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird (vgl. Paal/Pauly/Ernst, 4. Aufl. 2026, VO (EU) 2016/679 Art. 2 Rn. 16). Gemischte Verarbeitungen zu persönlichen und geschäftlichen Zwecken sind daher nicht privilegiert Die Verordnung ist dementsprechend anwendbar, wenn die Datenverarbeitung den privaten Bereich auch nur teilweise überschreitet (vgl. BeckOK DatenschutzR/Bäcker, 55. Ed. 1.8.2023, DS‑GVO Art. 2 Rn. 14). Zwar dürfte der Ausnahmetatbestand des Art. 2 Abs. 2 lit. c) DS‑GVO erfüllt sein, wenn Nutzende sozialer Netzwerke in geschlossenen Gruppen Daten austauschen, die keinen Bezug zu ihrer beruflichen oder wirtschaftlichen Tätigkeit haben (vgl. EuArbRK/Franzen, 5. Aufl. 2024, VO (EU) 2016/679 Art. 2 Rn. 7). Dies war vorliegend bezogen auf die Chatgruppe „Ärzte-AC“ jedoch gerade nicht der Fall. Denn bereits die Bezeichnung der Chatgruppe sowie deren Zusammensetzung ausschließlich aus Kolleginnen und Kollegen einer Abteilung des Krankenhauses lässt einen beruflichen Kontext erkennen. Es kann dahinstehen, ob bereits das ausreichen würde, um den rein persönlichen Zusammenhang zu überschreiten. Jedenfalls wenn wie vorliegend in einer Chatgruppe zu mindestens 30% arbeitsbezogene Inhalte (Organisationsfragen, Urlaubs- und Vertretungsplanung etc.) ausgetauscht werden und auch die streitgegenständliche Nachricht selbst einen eindeutig dienstbezogenen Hintergrund hat, dient die Datenverarbeitung nicht ausschließlich persönlichen Zwecken.

Rn. 54 cc) Die Beklagte ist im Hinblick auf die streitgegenständliche Datenübermittlung “Verantwortliche” i.S.d. Art. 4 Nr. 7 DS‑GVO.

Rn. 55 (a) Nach Art. 4 Ziff. 7 Hs. 1 DS‑GVO ist Verantwortlicher jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der DS‑GVO liegt ein allgemeines Funktionsträgerprinzip zugrunde: Verarbeiten natürliche Personen im Rahmen der weisungsgemäßen Ausübung ihrer Tätigkeit Daten für ein Unternehmen, so wird die Datenverarbeitung dem Unternehmen zugerechnet. Mitarbeitende von Unternehmen sind daher grundsätzlich nicht Verantwortliche nach Art.  82 Abs.  1 DS‑GVO, auch wenn sie intern für die schadensverursachende Datenverarbeitung zuständig sind (vgl. Meyer, ZD 2025, 200, 201; Ambrock, ZD 2020, 492, 493; Kühling/Buchner/Bergt, 4. Aufl. 2024, DS‑GVO Art. 82 Rn. 2; BeckOK DatenschutzR/Quaas, 55. Ed. 1.2.2026, DS‑GVO Art.  82 Rn.  39a; Gola/Heckmann/Gola/Piltz, 3. Aufl. 2022, DS‑GVO Art. 82 Rn. 4).

Rn. 56 (b) Etwas anderes gilt dann, wenn Beschäftigte personenbezogene Daten für eigene Zwecke verarbeiten, die sich von denen der arbeitgebenden Partei unterscheiden, das Handeln also nicht den zugewiesenen Aufgaben entspricht. Im Falle eines solchen Exzesses wird der oder die Mitarbeitende nach den Art.  4 Nr. 7 DS‑GVO selbst zum Verantwortlichen (vgl. OLG Stuttgart, Beschl. v. 25.2.2025 – 16 Ss 336/24, juris, Rn. 10 unter Bezugnahme auf die Leitlinien des Europäischen Datenschutzausschuss (European Data Protection Board) vom 7.7.2021; Meyer, ZD 2025, 200, 201; Ambrock, ZD 2020, 492, 493; Sura, in NZA-RR 2025, 528 ff.; Köppen, CuA 2025, Nr 5, 30 ff.; BeckOK DatenschutzR/Quaas, 55. Ed. 1.2.2026, DS‑GVO Art.  82 Rn.  39c; Gola/Heckmann/Gola/ Piltz, 3. Aufl. 2022, DS‑GVO Art. 82 Rn. 4)

Rn. 57 (c) Ein solcher Fall ist hier gegeben. Denn die Beklagte dürfte zwar im Rahmen der Ausübung ihrer Tätigkeit für ihre Arbeitgeberin gehandelt haben, indem sie in der Chatgruppe „Ärzte-AC“ zu Fragen der Dienstplangestaltung und Vertretungsregelungen kommunizierte. Soweit sie darüber hinaus jedoch – nachdem der Vertretungsfall bereits abgeschlossen war – Informationen zu den medizinischen Gründen für den krankheitsbedingten Ausfall des Klägers, dessen Krankheitsgeschichte sowie den Einzelheiten der ärztlichen Behandlung offenbarte, war dies für dienstliche Zwecke weder erforderlich noch sinnvoll. Es entsprach weder den arbeitsvertraglichen Aufgaben der Klägerin noch lag es objektiv im Interesse der Arbeitgeberin. Vielmehr erfolgte die Mitteilung in den Worten der Beklagten „Nur zu jedermanns Info“, letztlich um den Kläger in der Abteilung bloßzustellen.

Rn. 58 dd) Es liegt ein Verstoß gegen Art. 9 Abs. 1 DS‑GVO vor. Nach dieser Vorschrift ist die Verarbeitung von Gesundheitsdaten untersagt, sofern nicht eine Ausnahme nach Art. 9 Abs. 2 DS‑GVO vorliegt. Gesundheitsdaten sind gemäß Art. 4 Nr. 15 DS‑GVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person einschließlich der Erbringung von Gesundheitsdienstleistungen beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Rn. 59 (a) Gesundheitsdaten sind hier die Informationen über die Tatsache der Behandlung des Klägers im Krankenhaus, dessen Laborwerte und Diagnosen.

Rn. 60 (b) Eine Ausnahme im Sinne von Art.  9 Abs.  2 DS‑GVO greift nicht ein. Insbesondere handelt es sich vorliegend nicht im Sinne des Art. 9 Abs. 2 lit. e) DS‑GVO um personenbezogene Daten, die der Kläger selbst öffentlich gemacht hat. Dabei kann dahinstehen, ob der Kläger, wie von der Beklagten behauptet, einzelnen Mitgliedern der Chatgruppe bereits von seiner Erkrankung berichtet hatte. Denn dass der Kläger sämtliche der von der Beklagten preisgegebene Einzelheiten bereits gegenüber allen Mitgliedern der Gruppe bekannt gegeben hatte, hat die Beklagte gerade nicht behauptet. Auch hatte der Kläger weder ausdrücklich noch konkludent in die Verarbeitung eingewilligt (Art. 9 Abs. 2 lit. a) DS‑GVO) noch war die Verarbeitung im Rahmen der ärztlichen Tätigkeit der Beklagten erforderlich (Art. 9 Abs. 2 lit. e) DS‑GVO). Die Beklagte war gerade nicht die behandelnde Ärztin des Klägers. Das Vorliegen anderer Ausnahmetatbestände ist weder von der Beklagten behauptet noch ersichtlich.

Rn. 61 c) Es besteht auch die erforderliche Wiederholungsgefahr.

Rn. 62 aa) Die Besorgnis weiterer Beeinträchtigungen (§ 1004 Abs. 1 S. 2 BGB) ist Tatbestandsmerkmal des auf §§ 1004, 823 BGB gestützten Unterlassungsanspruchs und damit materielle Anspruchsvoraussetzung (vgl. BAG, Urt. v. 20.11.2012 – 1 AZR 179/11 –, juris, Rn. 82). Für sie besteht eine tatsächliche Vermutung, wenn es bereits zu einer Verletzung des geschützten Rechts gekommen ist. Sie ist allerdings dann ausgeschlossen, wenn aus tatsächlichen oder rechtlichen Gründen keine erneute Verletzungshandlung zu erwarten ist (vgl. BAG, Beschl. v. 7.6.2017 – 1 ABR 32/15, juris, Rn. 24; LAG Niedersachsen, Urt. v. 7.4.2025 – 15 SLa 855/24 –, Rn. 72, juris; LAG Hamm, Urt. v. 14.12.2021 – 17 Sa 1185/20 –, Rn. 144, juris).

Rn. 63 bb) Unter Zugrundelegung dieser Grundsätze besteht vorliegend entgegen der Auffassung der Beklagten eine Wiederholungsgefahr. Angesichts des Verstoßes der Beklagten gegen Art. 9 Abs. 1 DS‑GVO besteht hierfür eine tatsächliche Vermutung. Diese ist nicht dadurch ausgeschlossen, dass der Kläger und die Beklagte mittlerweile keine Kollegen mehr sind und der Kläger aus der Chatgruppe „Ärzte-AC“ ausgetreten ist. Denn es besteht weiterhin die Gefahr, dass die Beklagte sich, wie in der Vergangenheit geschehen, in ihrer Funktion als Ärztin Zugriff auf Gesundheitsinformationen des Klägers verschafft, sollte dieser sich erneut in dem Krankenhaus behandeln lassen, in dem die Beklagte beschäftigt ist. Es erscheint auch nicht ausgeschlossen, dass die Beklagte diese Daten erneut „zur Info“ an die – nun ehemaligen – Kolleginnen und Kollegen des Klägers weitergibt. Für eine Wiederholungsgefahr spricht insbesondere, dass die Beklagte weiterhin geltend macht, dass die streitgegenständliche Datenübermittlung rechtmäßig gewesen sei und sie sich keiner Schuld bewusst sei.

Rn. 64 2. Der unproblematisch zulässige Klageantrag zu 2) ist teilweise begründet. Der Kläger hat gegen die Beklagte Anspruch auf die Zahlung von 1.000,00 EUR als Entschädigung nach Art. 82 Abs. 1 DS‑GVO.

Rn. 65 1) Der Kläger ist für den geltend gemachten Anspruch aktivlegitimiert. Denn anspruchsberechtigt ist nach Art. 82 Abs. 1 DS‑GVO jede Person, der wegen eines Verstoßes gegen die DS‑GVO ein Schaden entstanden ist.

Rn. 66 2) Die Beklagte ist als Verantwortliche im Sinne von Art. 4 Nr. 7 DS‑GVO passivlegitimiert im Sinne von Art. 82 Abs. 1 DS‑GVO. Es wird insoweit auf die Ausführungen unter I.1.2)b)cc) verwiesen.

Rn. 67 3) Es liegt auch ein Verstoß gegen die DS‑GVO im Sinne von Art. 82 Abs. 1 DS‑GVO vor. Die Beklagte hat gegen Art. 9 Abs. 1 DS‑GVO verstoßen, indem sie am 31.5.2025 eine WhatsApp-Nachricht an den Gruppenchat „Ärzte-AC“ schickte, in welcher sie mitteilte, der Kläger habe sich im Krankenhaus behandeln lassen, es sei bei ihm Adipositas und eine Fettleber bei fraglichem Durchfall diagnostiziert worden und die Laboruntersuchung sei im Übrigen unauffällig und ohne Hinweis auf eine Elektrolytstörung gewesen. Es wird insoweit auf die Ausführungen unter I.1.2)b)dd) verwiesen.

Rn. 68 4) Die Beklagte ist für den Verstoß gegen die DS‑GVO verantwortlich i.S.v. Art.  82 Abs.  3 DS‑GVO. Entgegenstehendes hat sie nicht dargetan.

Rn. 69 5) Der Kläger hat einen immateriellen Schaden i.S.d. Art. 82 Abs. 1 DS‑GVO erlitten.

Rn. 70 a) Der Begriff des “immateriellen Schadens” ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DS‑GVO auf das innerstaatliche Recht der Mitgliedstaaten i.S.d. Bestimmung autonom unionsrechtlich zu definieren. Dabei soll nach ErwG 146 S. 3 DS‑GVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht jedoch nicht aus, um einen Schadenersatzanspruch zu begründen, vielmehr ist darüber hinaus – im Sinne einer eigenständigen Anspruchsvoraussetzung – der Eintritt eines Schadens durch den Verstoß erforderlich. Es ist allerdings nicht erforderlich, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat (st. Rspr., vgl. EuGH, Urteile vom 20.6.2024 – C-590/22, juris, Rn. 25; v. 11.4.2024 – C-741/21, juris, Rn. 34 – juris; v. 4.5.2023 – C-300/21, juris, Rn. 42). Schon der Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden darstellen, ohne dass dieser Begriff des “immateriellen Schadens” den Nachweis zusätzlicher spürbarer negativer Folgen erfordert (vgl. EuGH, Urt. v. 4.10.2024 – C-200/23, juris, Rn. 145, 156 m.w.N.).

Rn. 71 Durch die Weitergabe von Daten an nicht berechtigte Dritte wird ein Kontrollverlust in dem Sinne verursacht, dass unbefugte Dritte Zugriff auf personenbezogene Daten erhalten (vgl. BGH, EuGH-Vorlage vom 6.5.2025 – VI ZR 53/23 -, Rn. 46, juris). Ein Schaden kann daher ohne Hinzukommen weiterer Umstände allein darin liegen, dass personenbezogene Daten hierzu nicht berechtigten Dritten überlassen werden (vgl. BGH, Urt. v. 11.2.2025 – VI ZR 365/22 –, Rn. 16, juris; OLG Hamm, Urt. v. 20.1.2023 – I-11 U 88/22 –, Rn. 121, juris; OLG Düsseldorf, Urt. v. 28.10.2021 – I-16 U 275/20 –, juris), etwa im Falle eines Datenlecks bzgl. Gesundheitsdaten (vgl. BAG, Urt. v. 20.2.2025 – 8 AZR 61/24 -, Rn. 22, juris).

Rn. 72 b) Vorliegend hat der Kläger unter Zugrundelegung dieser Grundsätze den Eintritt eines immateriellen Schadens hinreichend dargelegt. Durch das Handeln der Klägerin sind Gesundheitsdaten des Klägers an jedenfalls sieben Mitglieder der Chatgruppe „Ärzte-AC“ – exklusive des Klägers und der Beklagten selber – übermittelt worden, die insoweit nicht zugriffsberechtigt waren. Es handelte sich dabei um detaillierte und intime Informationen zu Diagnosen und Laborwerten. Es entstand ein Kontrollverlust bezüglich der Gesundheitsdaten des Klägers, die er dem Krankenhaus bzw. den ihn behandelnden Personen ausschließlich zum Zwecke der Durchführung der medizinischen Behandlung anvertraut hatte. Darüber hinaus wurde der Kläger durch die mit der Datenweitergabe verknüpfte Andeutung der Beklagten, dass eine tatsächliche Arbeitsunfähigkeit nicht vorgelegen habe („meint […] höchstkrank zu sein“, „vielleicht sitzt […] ein Pups quer “), im Kollegenkreis herabgesetzt.

Rn. 73 6) Zum Ersatz dieses immateriellen Schadens hält die Kammer einen Betrag i.H.v. 1.000,00 EUR für geboten, aber auch ausreichend.

Rn. 74 a) Bei der Bemessung der Höhe des nach Art. 82 I DS‑GVO geschuldeten Schadenersatzes haben die nationalen Gerichte in Ermangelung einer Bestimmung in der Datenschutz-Grundverordnung die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden. Art. 82 I DS‑GVO verlangt dabei nicht, dass die Schwere des Verschuldens des Verantwortlichen bzw. des Auftragsverarbeiters berücksichtigt wird. Die Ausgleichsfunktion des in Art.  82 I DS‑GVO verankerten Schadenersatzanspruchs schließt es sogar aus, dass eine etwaige Vorsätzlichkeit des Verstoßes gegen die Datenschutz-Grundverordnung bei der Bemessung des Schadenersatzes berücksichtigt wird. Der Betrag ist jedoch so festzulegen, dass er den konkret aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung erlittenen Schaden in vollem Umfang ausgleicht (vgl. EuGH 20.6.2024 – C-182/22, C-189/22, ECLI:EU:C:2024:531, juris, Rn. 27 ff. m.w.N.). Bei der nach diesen Maßgaben vorzunehmenden Bemessung der Höhe eines Schadenersatzes steht den Tatsachengerichten nach § 287 Abs. 1 ZPO ein weiter Ermessensspielraum zu, innerhalb dessen sie die Besonderheiten jedes einzelnen Falls zu berücksichtigen haben (vgl. BAG, Urt. v. 25.7.2024 – 8 AZR 225/23, juris, Rn. 37).

Rn. 75 Maßgeblich sind die Intensität der Verletzung, die betroffenen Kategorien personenbezogener Daten sowie die konkreten Folgen für die betroffene Person (vgl. BAG, Urt. v. 25.7.2024 – 8 AZR 225/23, juris, Rn. 38).

Rn. 76 b) Vorliegend war nach Auffassung der erkennenden Kammer zu Gunsten des Klägers zu berücksichtigen, dass bei dem Verstoß die besonders geschützte Kategorie der Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DS‑GVO betroffen war. Innerhalb dieser Kategorie handelte es sich weiter um besonders sensible Daten, nämlich konkrete Diagnosen und Laborergebnisse. Auch hat der Kläger zur Überzeugung der Kammer glaubhaft geschildert, dass der streitgegenständliche Vorfall seine Stellung im Kollegenkreis beschädigt hat und mitursächlich für seine Entscheidung war, den Arbeitsplatz zu wechseln. Auf der anderen Seite war der Personenkreis, an welchen die Weitergabe erfolgte mit sieben Personen überschaubar. Zudem hat die Beklagte keine Dokumente der Krankenakte weitergeleitet sondern lediglich einzelne Informationen preisgegeben. Vor diesem Hintergrund war davon auszugehen, dass der Schaden mit einem Betrag in Höhe von 1.000,00 EUR hinreichend ausgeglichen ist.

Rn. 77 7) Der Anspruch auf Prozesszinsen folgt aus § 291, § 288 Abs. 1 S. 2, § 247 BGB.

Rn. 78 3. Im Übrigen war die Klage abzuweisen. Der Kläger hat gegen die Beklagte keinen Anspruch auf die Zahlung von weiteren 1.000,00 EUR. Es wird insoweit auf die Ausführungen unter I.2.6) verwiesen.

Zur Vertiefung

Praxisfälle zum Datenschutzrecht XXX: Datenschutzrechtliche Folgen im Fall des Mitarbeiterexzesses = RDV 5/2024