Datenschutz: Millionenbußgeld gegen H&M wegen Ausspähung in Callcenter

Nach dem Big Brother Award nun ein Bußgeld in Rekordhöhe: Der Modekette H&M könnte das Ausspähen von Mitarbeitern teuer zu stehen kommen.

Artikel veröffentlicht am 1. Oktober 2020, 14:46 Uhr, Friedhelm Greis/ dpa

Der Modekette H&M droht ein hohes DSGVO-Bußgeld. (Bild: Mike Segar/Reuters)

Der schwedische Modekonzern Hennes & Mauritz (H&M) soll wegen Ausspähens auch intimer Details von Beschäftigten in Nürnberg ein Bußgeld in Höhe von 35,3 Millionen Euro zahlen. Mit der Überwachung von Hunderten Mitarbeitern des Servicecenters habe der Konzern gegen den Datenschutz verstoßen, sagte der Hamburgische Beauftragte für Datenschutz, Johannes Caspar, am Donnerstag zur Begründung des Erlasses. Der Fall dokumentiere eine schwere Missachtung des Beschäftigtendatenschutzes.

"Das verhängte Bußgeld ist dementsprechend in seiner Höhe angemessen und geeignet, Unternehmen von Verletzungen der Privatsphäre ihrer Beschäftigten abzuschrecken", sagte Caspar weiter. Der Verein Digitalcourage hat H&M vor zwei Wochen wegen der Vorfälle den Big Brother Award 2020 verliehen. Damit werde ein "jahrelanges, hinterhältiges und rechtswidriges Erheben und Verarbeiten von datenschutzrechtlich herausragend geschützten Beschäftigtendaten im H&M-Kundencenter in Nürnberg" ausgezeichnet, hieß es zur Begründung.

Zweithöchstes DSGVO-Bußgeld in Europa

Nach Angaben von Caspars Sprechers ist es das bisher höchste in Deutschland verhängte Bußgeld nach Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 und das zweithöchste in Europa. Im vergangenen Jahr war gegen den IT-Konzern Google von Frankreichs Datenschutzbehörde CNIL ein Bußgeld in Höhe von 50 Millionen Euro verhängt worden.

H&M hat zwei Wochen Zeit, Einspruch gegen die Entscheidung einzulegen. Die schwedische Konzernzentrale kündigte an, den Bescheid eingehend zu prüfen. Der Fall liegt in der Zuständigkeit des Hamburgischen Beauftragten für den Datenschutz, weil das Unternehmen seine Deutschland-Zentrale in der Hansestadt hat.

Fälle seit 2014 bekannt

Bekannt geworden war der Fall im vergangenen Jahr. Laut Behörde wurden aber mindestens seit 2014 bei einem Teil der Beschäftigten Angaben zu ihren privaten Lebensumständen umfangreich erfasst und gespeichert. Nach Urlaubs- und Krankheitsabwesenheiten hätten Vorgesetzte einen "Welcome Back Talk" geführt und anschließend in etlichen Fällen nicht nur konkrete Urlaubserlebnisse, sondern auch Krankheitssymptome und Diagnosen dokumentiert.

Einige Vorgesetzte hätten sich auch "über Einzel- und Flurgespräche ein breites Wissen über das Privatleben ihrer Mitarbeitenden angeeignet, das von eher harmlosen Details bis zu familiären Problemen sowie religiösen Bekenntnissen reichte", hieß es.

Ausdrücklich positiv bewertete Caspar das Bemühen der Konzernleitung, "die Betroffenen vor Ort zu entschädigen und das Vertrauen in das Unternehmen als Arbeitgeber wiederherzustellen". Darin sei durchaus der Wille zu erkennen, "den Betroffenen den Respekt und die Wertschätzung zukommen zu lassen, die sie als abhängig Beschäftigte in ihrem täglichen Einsatz für ihr Unternehmen verdienen".

Die schwedische H&M Group bekräftigte nach Bekanntgabe des Bescheides, dass ein Umgang mit Beschäftigtendaten wie in Nürnberg nicht mit den Richtlinien und Anweisungen des Unternehmens in Einklang stehe. Man übernehme die volle Verantwortung und entschuldige sich vorbehaltlos bei den betroffenen Mitarbeitern.

Gleich nach Bekanntwerden des Falls habe man Verbesserungen in dem Servicecenter vorgenommen, unter anderem seien die interne Kontrolle des Datenschutzes gestärkt und Führungskräfte und Mitarbeiter geschult worden, hieß es. Zudem kündigte der Konzern an, alle betroffenen Mitarbeiter zu entschädigen.