Ausspähung von Mitarbeitern: Modekette H&M muss mehr als 35 Millionen Euro Bußgeld zahlen

Die schwedische Modekette H&M muss wegen der Erfassung privater Daten von hunderten Mitarbeitern ein Bußgeld in Höhe von 35,3 Millionen Euro zahlen. Die Entscheidung hab der hamburgische Datenschutzbeauftragte Johannes Caspar bekannt. Er ist zuständig, weil der Modekonzern seine Deutschlandzentrale in der Hansestadt hat. H&M kündigte an, den Bescheid zu prüfen.

Skandal flog nur durch Konfigurationsfehler auf

INFO-BOX: Hennes & Mauritz (H&M)
Hennes & Mauritz (H&M) wurde im Oktober 1947 im schwedischen Västerås gegründet. Heute hat das Unternehmen seinen Sitz in Stockholm und beschäftigt weltweit mehr als 160.000 Mitarbeiter. Zu H&M gehören neben der Hausmarke die Labels COS, Monki, Cheap Monday, Weekday, & other Stories sowie Arket.
mehr dazu

Das Unternehmen hatte in einem Servicecenter des Online-Shops in Nürnberg seit mindestens 2014 Notizen nach Mitarbeitergesprächen gemacht und auf einem Netzlaufwerk dauerhaft gespeichert. Konkret ging es dabei um Gespräche, die Führungskräfte mit hunderten Mitarbeitern führten, nachdem diese aus dem Urlaub oder nach krankheitsbedingten Ausfällen zurückkehrten. Die Vorgesetzten sollen auch Krankheitssymptome oder Arztdiagnosen aufgezeichnet haben. Hinzu kamen überdies private Details wie familiäre Probleme oder religiöse Bekenntnisse. Auch diese wurden digital gespeichert und waren für bis zu weitere 50 Führungskräfte einsehbar. Die Daten nutzten die Vorgesetzten offenbar auch, um Entscheidungen im Arbeitsverhältnis zu treffen. Im vergangenen Jahr wurden die Missstände öffentlich. Der vorliegende Fall dokumentiere eine schwere Missachtung des Beschäftigtendatenschutzes. Daher sei das verhängte Bußgeld dementsprechend in seiner Höhe angemessen und geeignet, Unternehmen von Verletzungen der Privatsphäre ihrer Beschäftigten abzuschrecken, so Caspar.

Bekannt wurde die Datenerhebung im Oktober 2019 nur durch einen Konfigurationsfehler. Durch diesen waren die Daten unternehmensweit für einige Stunden zugänglich. Anschließend gab es erste Presseberichte, die den Datenschutzbeauftragten alarmierten. Er ordnete an, den Inhalt des Netzlaufwerks „einzufrieren“ und verlangte dann die Herausgabe. H&M legte daraufhin einen Datensatz von rund 60 Gigabyte zur Auswertung vor. Vernehmungen zahlreicher Zeuginnen und Zeugen hätten zudem nach Analyse der Daten die dokumentierten Praktiken bestätigt. Caspar fand jedoch auch lobende Worte für das Unternehmen. So habe H&M mittlerweile ein „umfassendes Konzept vorgelegt, wie von nun an am Standort Nürnberg Datenschutz umgesetzt werden soll“. Außerdem habe sich die Unternehmensleitung „ausdrücklich bei den Betroffenen entschuldigt“ und sich bereit erklärt, den „Beschäftigten einen unbürokratischen Schadensersatz in beachtlicher Höhe auszuzahlen“. Ein solcher ist in der Datenschutz-Grundverordnung (DSGVO) allerdings in solchen Fällen ohnehin vorgesehen. H&M hat nun zwei Wochen Zeit, gegen den Bußgeldbescheid vorzugehen.

H&M will 2021 rund 250 Filialen dichtmachen

Geschäftlich soll es für die Modekette indes bald wieder besser laufen. Nach dem Geschäftseinbruch im Frühjahr im Zuge der Corona-Pandemie machte H&M von Juni bis August weltweit einen Gewinn von rund 172 Millionen Euro. Im Vorjahreszeitraum verdiente der schwedische Modegigant allerdings noch mehr als das Doppelte. Aktuell sind nach Konzernangaben noch 166 der weltweit insgesamt rund 5.000 H&M-Filialen geschlossen. Gleichwohl rechnet das Unternehmen damit, trotz der wirtschaftlichen Erholung im kommenden Jahr die Zahl der Filialen um rund 250 reduzieren zu müssen.