Unzulässige Nutzung von privaten Mitarbeiterdaten

Einen interessanten Fall einer unzulässigen Datenverarbeitung beschreibt die Datenschutzbehörde in ihrem aktuellen Newsletter: Zur Koordination der internen Arbeitsabläufe des Personals verwendete eine Hotelbetreiberin eine digitale Plattform, auf der bei Dienstantritt Nutzerprofile für Mitarbeiter angelegt wurden, die ua auch private Telefonnummern und E-Mail-Adressen enthielten. Ein ehemaliger Arbeitnehmer erhob daraufhin Beschwerde bei der DSB und behauptete eine Verletzung im Recht auf Geheimhaltung insbesondere dadurch, dass diese Daten für andere Mitarbeiter ersichtlich gewesen und er hierüber nicht informiert worden sei. In ihrem (rechtskräftigen) Bescheid vom 2. 4. 2025, DSB-D124.0475/25 (2025-0.243.398), verwies die DSB ua auf das Urteil des EuGH vom 9. 1. 2025 in der Rs C-394/23, in dem dieser unzweideutig festhielt, dass im Rahmen des "berechtigten Interesses" des Verantwortlichen an der Datenverarbeitung zu prüfen sei, ob der Verantwortliche der betroffenen Person in der Phase der Datenerhebung ein berechtigtes Interesse iSv Art 13 Abs 1 lit d DSGVO mitgeteilt habe. Widrigenfalls könne die Datenverarbeitung nicht auf Art 6 Abs 1 lit f DSGVO gestützt werden.