H&M soll wegen Datenschutzverstössen 35 Millionen Euro zahlen

Mit der Überwachung von Hunderten Mitarbeitern des Servicecenters habe der Konzern gegen den Datenschutz verstossen, begründete der Hamburgische Beauftragte für Datenschutz, Johannes Caspar, am Donnerstag den Erlass. Der Fall dokumentiere eine schwere Missachtung des Beschäftigtendatenschutzes: «Das verhängte Bussgeld ist dementsprechend in seiner Höhe angemessen und geeignet, Unternehmen von Verletzungen der Privatsphäre ihrer Beschäftigten abzuschrecken.»

Nach Angaben seines Sprechers ist es das bisher höchste in Deutschland verhängte Bussgeld nach Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 und das zweithöchste in Europa. Im vergangenen Jahr waren dem Internet-Riesen Google von Frankreichs Datenschutzbehörde 50 Millionen Euro Bussgeld aufgebrummt worden.

H&M hat nun zwei Wochen Zeit, Einspruch gegen die Entscheidung einzulegen. Die schwedische Konzernzentrale kündigte an, den Bescheid eingehend zu prüfen. Der Fall liegt in der Zuständigkeit des Hamburgischen Beauftragten für den Datenschutz, weil das Unternehmen seine Deutschlandzentrale in der Hansestadt hat.

Bekanntgeworden war der Fall im vergangenen Jahr. Laut Behörde wurden aber mindestens seit 2014 bei einem Teil der Beschäftigten Angaben zu ihren privaten Lebensumständen umfangreich erfasst und gespeichert. Nach Urlaubs- und Krankheitsabwesenheiten hätten Vorgesetzte einen «Welcome Back Talk» geführt und anschliessend in etlichen Fällen nicht nur konkrete Urlaubserlebnisse, sondern auch Krankheitssymptome und Diagnosen dokumentiert.

Einige Vorgesetzte hätten sich auch «über Einzel- und Flurgespräche ein breites Wissen über das Privatleben ihrer Mitarbeitenden angeeignet, das von eher harmlosen Details bis zu familiären Problemen sowie religiösen Bekenntnissen reichte», hiess es.

Ausdrücklich positiv bewertete Caspar das Bemühen der Konzernleitung, «die Betroffenen vor Ort zu entschädigen und das Vertrauen in das Unternehmen als Arbeitgeber wiederherzustellen». Darin sei durchaus der Wille zu erkennen, «den Betroffenen den Respekt und die Wertschätzung zukommen zu lassen, die sie als abhängig Beschäftigte in ihrem täglichen Einsatz für ihr Unternehmen verdienen».

Die schwedische H&M Group bekräftigte nach Bekanntgabe des Bescheides, dass ein Umgang mit Beschäftigtendaten wie in Nürnberg, nicht mit den H&M-Richtlinien und -Anweisungen in Einklang stehe. Man übernehme die volle Verantwortung und entschuldige sich vorbehaltlos bei den betroffenen Mitarbeitern.

Gleich nach Bekanntwerden des Falls habe man Verbesserungen in dem Servicecenter vorgenommen, unter anderem seien die interne Kontrolle des Datenschutzes gestärkt und Führungskräfte und Mitarbeiter geschult worden, hiess es. Zudem kündigte der Konzern an, alle betroffenen Mitarbeiter zu entschädigen.