Haushaltsausnahme vor dem BGH – DS News KW 31-2026

Transkript zur Folge:

Herzlich Willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosens.
Mein Name ist Laura Droschinski und bei mir ist heute...
Gregor Wortberg. Hallo Laura.
Hallo Gregor. Ja, heute ist Freitag, der 31. Juli 2026.
Redaktionsschluss war wie gewohnt um 10 Uhr und ja, gemeinsam schauen wir heute
auf die datenschutzrechtlichen Themen, die wir interessant fanden, um die Summe zu bringen.
Fassen wir es so zusammen, genau. Ich schadde auch mal einfach rein,
welche ich mitgebracht habe. Und zwar ein Urteil des Arbeitsgerichts Siegburg
zur Kommunikation bei Krankmeldungen.
Der hamburgische Datenschutzbeauftragte informiert zu Google Street View.
Und neben einem Lesetipp habe ich auch noch eine Neubeschwerde im Kontext von
Einwilligung in Cookies mitgebracht.
Ja, sehr gut. Bei mir hat es zweimal ein Gericht auf den Zettel geschafft und
zwar einmal der BGH, der beschäftigt sich mit der Weiterleitung von privaten Chatnachrichten.
Außerdem das OLG Schleswig. Hier geht es um die Herausgabe von Kundendaten zur
Kontrolle von Folgenbeseitigungen und ebenso auf meinen Zettel hat es noch geschafft
eine Lücke bei der KI Klot und auch,
ein kleiner Lesehinweis, sagen wir so, aus Berlin. Magst du dann starten?
Ja, gerne. Das Arbeitsgericht Siegburg hat in einem Urteil aus Mai eine Ärztin
zur Zahlung eines Schadensersatzes in Höhe von 1000 Euro verurteilt.
Die Ärztin hatte die Diagnose eines Kollegen, für welchen sie einen Vertretungsdienst
übernehmen musste, in einer WhatsApp-Gruppe der Klinik offengelegt.
Was war genau passiert? Das lohnt sich etwas auszuholen, finde ich, bei dem Urteil.
Kläger und Beklagte waren zum Zweiten des Sachverhalts im Jahr 2025 beide als
Ärzte an eben jeder Klinik beschäftigt.
Und der Kläger ließ sich Ende Mai in der Notaufnahme für eine Woche krank schreiben
und informierte daraufhin seine Kollegen und Kollegen in dieser WhatsApp-Gruppe
über den Ausfall und bat um Vertretung, welche eben die Beklagte übernehmen musste.
Die WhatsApp-Gruppe war privat organisiert und wurde aber so zur Organisation
von Abwesenheiten zur Urlaubsplanung genutzt.
Die Beklagte sendete daraufhin eine Nachricht in die Gruppe mit Teilen der Diagnose,
welche sie von der behandelnden Ärztin aus der Notaufnahme erfahren hatte und
stellte zudem die tatsächliche Krankheit infrage.
Zu späteren Zeitpunkten reichte der Kläger Schadensersatz und Unterlassungsklage ein.
Dass zumeist privat organisierte WhatsApp-Gruppen durch Beschäftigte genutzt
werden, kommt ja bekanntermaßen regelmäßig vor.
Die datenschutzrechtliche Relevanz sollte hier jedoch auch immer bedacht werden,
denn ganz so privat ist der Chat dann eben doch nicht.
Das Gericht ist darauf nämlich auch nochmal eingegangen und stellte zunächst
klar, dass die sogenannte Haushaltsausnahme
der DSGVO, die die Beklagte angeführt hatte, nicht greift.
Und die Ausnahme gilt eben nur für rein persönliche oder familiäre Datenverarbeitung
ohne beruflichen Bezug. Und diese WhatsApp-Gruppe war jedoch eben nicht ausschließlich privat.
Sie bestand nur aus Kolleginnen und Kollegen des selben Krankenhases und wurde
zumindest teilweise auch für dienstliche Themen genutzt.
Auch die konkrete Nachricht begraf den Arbeitsalltag.
Besonders wichtig auch nochmal darüber ist die datenschutzrechtliche persönliche
Verantwortlichkeit der Stationsärztin.
Die Beschäftigten werden ja in der Regel als solche eben nicht gesehen,
wenn sie das im Rahmen ihrer Tätigkeit tun, also ihre Aufgaben für den Arbeitgeber,
im Rahmen ihrer Aufgaben für den Arbeitgeber handeln.
Anders ist es dann aber eben, wenn sie Daten eigenmächtig für ihre eigenen Zwecke
verwenden und ihre dienstlichen Befugnisse überschreiten. Und genau das nahm
das Gericht eben auch an, dass die Weitergabe von Diagnosen da jetzt nicht in
den beruflichen Kontext fällt.
Zudem hatte sich die Beklagte vor Gericht auch noch uneinsichtig gezeigt und
es wurde da auch Wiederholungsgefahr angenommen und dementsprechend wurde sie
zur Unterlassung und Zahlung von Schadensersatz verurteilt.
Das Urte zeigt, also wie es eigentlich zwischendurch schon mal gesagt hatte,
dass im Kollegenkreis oder auch einfach mal bei der Kommunikation von Krankmeldungen
im Team losgelöst, ob Chatgruppe oder E-Mail-Verteiler, sensibel darauf geachtet
werden sollte, welche Informationen da geteilt werden.
Und Mitarbeitende und Führungskräfte dementsprechend auch sensibilisiert sein
sollten, da korrekt mit Gesundheitsdaten umzugehen.
Ja, ich glaube besonders schade, wenn dann die Person auch noch so ein bisschen
uneinsichtig ist, vor allem so im Arm ihrer Rolle.
Also durchaus auch nachvollziehbar, wenn dann auch so Wiederholungsrisiken erkannt
werden durch das Gericht.
Ja, auch in meinem nächsten oder in meinem ersten Thema für heute geht es ja
um das Thema Haushaltsausnahme.
Und zwar verhandelt hier der BGH derzeit über die Weitergabe privater WhatsApp-Chats.
Also der Bundesgerichtshof hat in dieser Woche begonnen, diesen Fall zu verhandeln,
der durchaus für den Datenschutz im privaten Umfeld Bedeutung haben könnte.
Im Mittelpunkt steht dabei nämlich die Frage, ob die Weiterleitung privater
WhatsApp-Nachrichten an Dritte gegen die Datenschutz-Grundverordnung verstoßen.
Auslöser des Verfahrens war ein Streit zwischen zwei ehemaligen Freundinnen.
Eine von ihnen leitete private Chatverläufe an die Office-Managerin einer Arztpraxis
weiter, in der die andere beschäftigt war.
Die Office-Managerin war zugleich die Lebensgefährtin des Arbeitgebers.
In der Folge verlor die Klägerin ihren Arbeitsplatz und verlangt nun unter anderem
7.500 Euro Schadensersatz wegen eines Verstoßes gegen die DSGVO.
Eine Entscheidung hat der BGH zwar noch nicht getroffen, sie wird voraussichtlich
im September erwartet, aber was wir jetzt hier besonders spannend fanden,
war, dass er in der mündlichen Verhandlung
angedeutet hat, dass eben die entscheidende Rechtsfrage zunächst dem Europäischen
Gerichtshof wohl vorgelegt werden soll.
Also vielleicht nochmal zu datenschutzrechtlichen Einordnungen.
Im Zentrum des Verfahrens steht ja eben die sogenannte Haushaltsausnahme nach
Artikel 2 Absatz 2 Le C DSGVO
Und danach findet die DSGVO ja eben keine Anwendung auf Datenverarbeitung,
die ausschließlich persönlichen oder familiären Tätigkeiten dienen.
Also wieder da angeknüpft, Gregor, an deine Meldung.
Und genau an dieser Stelle gehen die Auffassungen der Vorinstanzen in diesem
Sachverhalt jetzt auseinander.
Denn das Landgericht Frankfurt am Main sah die Weiterleitung der Nachrichten
nicht mehr als rein persönliche Tätigkeit an und bejahte die Anwendbarkeit der DSGVO.
Und das Oberlandesgericht Frankfurt stellte dagegen auf die Motive der Beklagten ab.
Da sie nicht im Rahmen einer eigenen beruflichen oder wirtschaftlichen Tätigkeit
gehandelt habe, hielt das Gericht die Haushaltsausnahme für anwendbar.
Der BGH muss nun klären, ob allein die Handlung der weiterleitenden Person maßgeblich
ist oder ob auch die vorhersehbaren Folgen, etwa die Nutzung der Nachrichten
im Arbeitsverhältnis und die Kündigung der Klägerin, berücksichtigt werden müssen.
Sollte der BGH den EuGH anrufen, könnte erstmals auf europäischer Ebene genau
das Thema der Haushaltsausnahme geklärt werden.
Also vielleicht Handlungsempfehlung, wenn man das nochmal so aussprechen darf.
Also private Chatnachrichten natürlich grundsätzlich schwierig,
wenn man das halt ohne Einwilligung an Dritte weiterleitet.
Insbesondere ja auch eben auch dann nicht, wenn dadurch berufliche oder persönliche
Nachteile für die betroffene Person entstehen konnten oder können, besser gesagt.
Ja, Arbeitgeber sollten private Nachrichten, die ihnen von Dritten,
aber auch wiederum übermittelt werden, nicht ungeprüft für arbeitsrechtliche
Maßnahmen heranziehen.
Also neben den datenschutzrechtlichen Fragen können ja eben auch hier diese
sogenannten Persönlichkeitsrechte betroffen sein.
Der Fall zeigt eben auch hier wieder die Grenze zwischen,
privater Kommunikation, aber auch datenschutzrechtlich relevanter Datenverarbeitung,
dass das nicht, auch heute noch nicht abschließend geklärt ist,
aber vielleicht hilft uns da ja bald der EuGH.
Der hamburgische Datenschutzbeauftragte für Datenschutz und Informationsfreiheit
hat in dieser Woche eine Pressemitteilung zu Google Street View veröffentlicht.
Wie vermutlich einigen bekannt, kann man ja sein Wohnhaus bei Google Street
View verpixeln lassen und der Veröffentlichung der Aufnahmen grundsätzlich auch widersprechen.
Das gilt für Eigentümer, aber auch für Bewohnerinnen und Bewohner.
Eine Begründung ist dafür nicht erforderlich. Neu ist allerdings seit Ende dieses
Monats, seit 28. Juli, dass Google für solche Anträge zwingend einen Adressnachweis verlangt.
Damit soll verhindert werden, dass Gebäude irrtümlich oder missbräuchlich von
unbeteiligten Personen unkenntlich gemacht werden, da Google nach Widerspruch
die Originalaufnahmen dann wohl auch löscht und diese nicht wiederherstellbar sind.
Nach Einschätzung des Hamburgischen Datenschutzbeauftragten ist diese Nachweispflicht
datenschutzrechtlich zulässig, solange Google nur die Informationen erhebt,
die für die Prüfung tatsächlich auch notwendig sind.
Als Nachweis kann zum Beispiel auch eine aktuelle Stromrechnung oder ein Behördenbescheid dienen.
Entscheidend ist, dass die dort genannte Anschrift mit der Adresse des betroffenen
Hauses eben übereinstimmt.
Andere Angaben müssen nicht sichtbar sein und sollten natürlich dann auch geschwärzt
werden, dass da alles nicht erforderlich ist und dementsprechend nicht erkennbar ist.
Ein amtlicher Ausweis sollte ausdrücklich eben auch nicht hochgeladen werden.
Dahingehens sensibilisieren die Hamburger dann natürlich auch.
Die eingereichten Nachweise sollen nach Angaben von Google auch innerhalb von
60 Tagen gelöscht werden.
Ja, ich war ja überhaupt überrascht, dass er es jetzt zu tragen war.
Ja, natürlich auch.
Hätte ich das mal eher gewusst.
Kommen wir bei meiner nächsten Nachricht nach Schleswig-Holstein und zwar das
Oberlandesgericht dort begrenzt die Herausgabe von Kundendaten durch Pseudonymisierung.
Also das schleswig-holsteinische Oberlandesgericht hat am 1.
Juli über die unzulässige Vertragsverlängerung eines Telekommunikationsunternehmens entschieden.
Ein Verbraucherschutzverband hatte dabei ein Telekommunikationsunternehmen wegen
unzulässiger Vertragsverlängerung verklagt.
Nachdem das Gericht das Unternehmen verpflichtet hatte, die betroffenen Kundinnen
und Kunden über die Unwirksamkeit der Verlängerung zu informieren,
stellte sich eine datenschutzrechtlich relevante Folgefrage und deshalb haben
wir das Urteil heute mit dabei.
Denn welche Kundendaten darf der Verband denn nun erhalten, um diese Information
tatsächlich kontrollieren zu können?
Das Gericht bestätigte den Auskunftsanspruch grundsätzlich, begrenzte ihn aber
wegen der DSGVO auf pseudonymisierte Daten und stichprobenartige Kontrollen.
Die Übermittlung von Kundendaten sollte auf Artikel 6 Absatz 1 Lit F DSGVO gestützt werden.
Der Verbraucherschutzverband habe ein berechtigtes Interesse daran,
kontrollieren zu können, ob das Telekommunikationsunternehmen die betroffenen
Kundinnen und Kunden tatsächlich über die Unwirksamkeit der Vertragsverlängerung informiert.
Dieses berechtigte Interesse rechtfertigt nach Auffassung des Gerichts jedoch
nicht die Herausgabe sämtlicher Namen und Anschriften im Klartext.
Eine solche vollständige Datenübermittlung
sei für die Kontrolle der Folgenbeseitigung nicht erforderlich.
Es reiche aus, die ordnungsgemäße Information der Betroffenen anhand von Stichproben zu überprüfen.
Das Gericht berücksichtigt dabei insbesondere den Grundsatz der Datenminimierung,
die Erforderlichkeit der Verarbeitung im Rahmen der Rechtsgrundlage des berechtigten
Interesses, aber auch das Recht der Kundinnen und Kunden auf informationelle Selbstbestimmung.
Die Risiken einer Übermittlung großer Menge von Namen und Anschriften,
etwa durch Datenverlust oder Missbrauch für Phishing-Angriffe,
sowie den Umstand, dass die betroffenen Personen,
weder am Verfahren beteiligt waren, noch an die Übermittlung eingewickelt haben,
kamen sozusagen in das Negativtöpfchen auf der Waage.
Und ja, die Auskunft muss daher zunächst in pseudonymisierter Form und gegenüber
einer zur Verschiegenheit verpflichteten Person erfolgen, so die Regeln.
Erst für einzelne zur Kontrolle ausgewählte Stichproben dürfen Klarnamen und
Anschriften offengelegt werden.
Auch ein Verstoß gegen den Zweckbindungsgrundsatz aus Artikel 5 Absatz 1 Lit
B DSGVO verneinte das Gericht.
Die Weiterverarbeitung stehe weiterhin laut ihren Aussagen im engen Zusammenhang
mit den Vertragsverhältnissen und diene der Beseitigung der heraus entstandenen Rechtsverstöße.
Ich fand das unterstürtter schön, eben weil es so klar ist, was darf und was
darf nicht und wie gut doch auch so ein,
stufenmäßiger Schutz von Daten
denn funktionieren kann, ohne halt den Kern aus dem Auge zu verlieren.
Ja, die Erforderlichkeit sollte da immer irgendwo im Blick behalten werden,
egal was ich tue und gerade bei so Auskunft gegenüber Dritten dann insbesondere.
Die Datenschutzorganisation Neub hat bei der österreichischen Datenschutzbeschwerde
gegen das Online-Wörterbuch DICT.cc eingereicht. Das ist ein Wörterbuch für
Deutsch-Englisch, nur so zur Information.
Im Mittelpunkt steht schon für mich fast ein Kuriosum. Nutzerinnen und Nutzer
sollen mit nur einem Klick dem Checking durch insgesamt 1741 Partnerunternehmen zustimmen.
Das ist schon eine ungewöhnliche Zahl und wirft natürlich auch die Frage auf,
ob eine solche Einwilligung überhaupt noch als informiert gelten kann.
Und die Frage stellt sich eben auch Neub, denn nach Berechnung von Neub würde
es mindestens 170 Stunden dauern, die Datenschutzerklärung aller beteiligten Unternehmen zu lesen.
Wer hat das denn wohl geprüft? Ich weiß auch nicht, was man da für einen Richtwert annimmt.
Haben Sie eine KI gefragt.
Ja, wahrscheinlich. Aus Sicht der Organisation ist es deshalb eher praktisch
ausgeschlossen, dass Nutzerinnen und Nutzer tatsächlich verstehen,
wer ihre Daten zu welchen Zwecken verarbeitet.
Und dementsprechend hält Neub die Einwilligung dann natürlich auch für unwirksam
und wirft dick.cc vor, personenbezogene Daten ohne Rechtsklage zu verarbeiten.
Gefordert werden unter anderem dann die Löschung der betroffenen Daten,
eine vernünftige Information der Datenempfänger und die Verengung einer Geldbuße
durch die Aufsichtsbehörde.
Der Fall zeigt aber natürlich auch ein ganz grundsätzliches Problem,
wo wir natürlich auch bei diversen Webseiten regelmäßig feststellen oder man
das einfach feststellen kann,
dass da viele Partner dann natürlich dranhängen und sich da immer dann die Frage
stellt, ob da die Transparenz ausreichend gewürdigt wird, um es mal so zu formulieren.
Von daher kann der Entscheidung des österreichischen Datenschutzbehörden,
da die noch aussteht, natürlich dann noch mit Spannung entgegengeblickt werden,
weil es könnte auch einen gewissen Grundsatzcharakter dann am Ende des Tages dann bekommen.
Definitiv.
Vielleicht hat es der ein oder andere die Woche mitbekommen,
dass es eine Datenleck ist eigentlich das falsche Wort, sondern es gab bei den
Cloud-Chats ein Problem, nämlich dass diese in Suchmaschinen öffentlich auffindbar waren.
Also tausende öffentlich erreichbare Chat-Vorläufe des KI-Dienstes Cloud waren
zeitweise über Suchmaschinen auffindbar.
Das berichtete unter anderem Heise Anfang dieser Woche.
Eine Suche nach freigegebenen Clot-Links führte unter anderem zu Unterhaltungen
mit Kryptostüsseln, Sozialversicherungsnummern und vertrauliche rechtliche Fragestellungen.
Ursache war offenbar die Funktion zum Teilen von Chats. Dabei wird ein öffentlicher
Link erzeugt, über den die Unterhaltung aufgerufen werden kann.
Und Entroffic erklärte, solche Links seien nur auffindbar, wenn Nutzerinnen
und Nutzer sie selbst öffentlich verbreitet hätten.
Unklar dabei ist allerdings, in welchem Umfang die Betroffenen die Veröffentlichung
tatsächlich beabsichtigt hatten.
Google zeigt entsprechende Treffer inzwischen zwar nicht mehr an,
wie viele Chats insgesamt betroffen waren und ob sie auch über andere Suchmaschinen
abrufbar waren, ist derzeit wohl nicht abschließend geklärt.
Der Vorfeld zeigt, dass die Freigabe eines KI-Chats schnell zu einer Veröffentlichung
personenbezogener oder auch vertraulicher Informationen führen kann und besonders
problematisch ist dies nun mal eben, wenn Nutzerinnen und Nutzer
nicht eindeutig erkennen, dass ein Freigabelink so richtig öffentlich zugänglich
macht und dann möglicherweise durch Suchmaschinen auffindbar ist.
Was nehmen wir wieder mit für die Praxis? Also als Unternehmen,
also Privatperson auch, aber als Unternehmen sollten natürlich die Mitarbeitenden
ausdrücklich darauf hingewiesen werden, hier mit sensibel umzugehen.
Also auch da eine gewisse Sicherheit in der Anwendung von einzelnen KI-Programmen,
wir haben ja grundsätzlich, aber bei KI-Programmen erst recht,
um halt die Auswirkungen zu verstehen.
Natürlich gepaart mit entsprechenden Richtlinien, welche Art von Daten überhaupt
rein dürfen in solche Programme.
Das ist, glaube ich, schon mal der erste Schritt, um gegebenenfalls auch Datenschutz-
und Freigabe-Einstellungen auch vorzunehmen, zentral zu dokumentieren und da
den Mitarbeitenden auch eine ordentliche Handlungsempfehlung mit auf den Weg zu geben.
Wunderbar, dann komme ich mal zu meinem ersten Lesetipp für diese Woche.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit startet
eine neue Publikationsreihe zum sogenannten Datenschutzbarometer.
Da hatten wir ja in der Vergangenheit schon mal drüber berichtet.
Unter dem Titel Datenbarometer Hintergrund will die Behörde künftig Methoden
und Werkzeuge ihrer repräsentativen Umfragen transparenter machen und auch weiterentwickeln.
Den Auftakt bildet eine neue Kurzzkala zur Messung von Datenschutzkompetenz.
Das Besondere, statt umfangreicher Fragebögen soll die Einschätzung künftig
mit nur vier Fragen möglich sein.
Und dazu hat das BFDI gemeinsam mit Forschenden der Uni Würzburg eben ein jenes
Verfahren veröffentlicht.
Die ausführliche Ausarbeitung verlinken wir euch gerne in den Shownotes.
Genau, ebenso in den Shownotes werdet ihr finden aus Berlin,
von der Berliner Datenschutzbeauftragten, ein praxisbezogenes FAQ sowie eine
kurze rechtliche Einordnung zum Umgang mit personenbezogenen Daten bei Zahlungsaufforderungen
von Inkasso-Unternehmen.
Also behandelt werden insbesondere die Zulässigkeit der Datenübermittlung,
Informationspflichten, Auskunftsrechte und der Umgang mit fehlerhaften Forderungsdaten.
Vielleicht ein bisschen ein spezielles Randthema, aber auch das vielleicht für
den einen oder anderen Schluss hat.
Dann sind wir am Ende angekommen. Danke dir.
Danke dir.
Liebe Zuhörer und Zuhörerinnen, schön, dass ihr wieder mit dabei wart.
Wir freuen uns auf die nächste Woche, wünschen euch ein schönes sommerliches
Wochenende und bis zum nächsten Mal.
Bis bald.