Hintergrund des Falls
In dem Verfahren ging es um einen medizinischen Eingriff bei dem ein Mitarbeiter der Firma, die das eingesetzte Implantat hergestellt hat, anwesend war und beratend für das Klinikpersonal tätig war. Die Patientin ersuchte das Gericht mit einem Auskunftsverlangen über den Namen des Mitarbeiters. Denn sie behauptete der Mitarbeiter hätte durch seine Anwesenheit bei dem medizinischen Eingriff ihre persönlichen Daten durch die Wahrnehmung des Geschehens und der späteren Erinnerung hieran gemäß der DS-GVO verarbeitet. Das Gericht beschäftigte sich deshalb mit der Frage, ob die menschliche Wahrnehmung einen Datenverarbeitungsvorgang im Sinne der DS-GVO darstellt.
Die Entscheidungen der Gerichte
Der Fall war zuvor am Landgericht (LG) Siegen verhandelt worden. Das Oberlandesgericht Hamm (OLG) bestätigte mit seinem Urteil die Ansicht des LG und stellte folgendes fest:
- Kein Datenverarbeitungsvorgang: Die Wahrnehmung und die Erinnerung im Vorstellungsvermögen eines Menschen ist kein Datenverarbeitungsvorgang gemäß der DS-GVO. Dies lasse sich aus Art. 2 Abs. 1 DS-GVO schließen.
- Die zusätzlichen Mutmaßungen, der Mitarbeiter der Herstellerfirma hätte bei seiner Anwesenheit Schulungsvideos aufgenommen, liefen ebenfalls ins Leere, da keine Anhaltspunkte hierfür vorlagen.
Datenverarbeitungsvorgang im Sinne der DS-GVO
Die Datenverarbeitungsvorgänge ergeben sich aus Art. 2 Abs.1 DS-GVO. Dies sind alle automatisierten Verarbeitungen von personenbezogenen Daten sowie spezielle manuelle Verarbeitungen.
Bei automatisierten Verarbeitungen werden automatische Mittel eingesetzt also alle rechnergestützten Verarbeitungen von personenbezogenen Daten. Manuelle Verarbeitungen hingegen sind nur von der DS-GVO erfasst, wenn ein Dateisystem zur Speicherung der personenbezogenen Daten eingesetzt wird oder künftig eingesetzt werden soll. In Art. 4 Nr. 6 DS-GVO wird der Begriff Dateisystem konkret definiert:
„Dateisystem“ ist jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird"
Eine manuelle Verarbeitung von personenbezogenen Daten, die in den Anwendungsbereich der DS-GVO fällt, wäre beispielsweise die Tätigkeit von Detektiven. Die Beobachtung von Personen an sich stellt noch keinen Anwendungsfall des Art. 2 Abs.1 DS-GVO dar. Die anschließende Erstellung eines nichtautomatisierten Beobachtungsberichts und die Speicherung in einem Dateisystems allerdings schon.
Auch mündliche Auskünfte können eine Verarbeitung im Sinne des Art. 2 Abs.1 DS-GVO darstellen, sollten diese Informationen in einem Dateisystem gespeichert sein oder gespeichert werden sollen. Hiermit beschäftigte sich der Europäische Gerichtshof (EuGH) in seinem Urteil(vom 07.03.2024 C-740/22). Hintergrund war die Frage, ob eine mündliche Übermittlung von Informationen eine Verarbeitung von personenbezogenen Daten im Sinne der DS-GVO ist. Wie in dem EuGH-Fall beispielsweise die mündliche Auskunft über verhängte oder verbüßte Strafen. Der EuGH legte in diesem Urteil fest, dass die Verarbeitung im Sinne der DS-GVO weit auszulegen ist und das mündlichen Auskünfte davon erfasst werden. Folglich ist der sachliche Anwendungsbereich der DS-GVO auch für mündliche Übermittlungen eröffnet, sollten diese in einem Dateisystem gespeichert sein oder werden sollen.
Persönlichkeitsrechte
Die Patientin klagte ebenfalls auf Schadensersatz, weil sie die Anwesenheit des Mitarbeiters der Herstellerfirma als Verletzung ihrer Persönlichkeitsrechte gesehen hat. Die Persönlichkeitsrechte eines Menschen ergeben sich in Deutschland aus dem Grundgesetz (GG) sowie weiteren spezielleren Gesetzen. Sie sollen die Würde und Identität der Menschen schützen. Außerdem sichern sie das Recht auf Selbstbestimmung eines jeden Menschen. Die Persönlichkeitsrechte wurden in dem Fall vor dem OLG Hamm nach Ansicht des Gerichts nicht verletzt, da die Anwesenheit des Mitarbeiters der Herstellerfirma wegen der beratenden Tätigkeit fachlich begründet war da er beratend fungiert hat. Somit sei er nicht mit der Anwesenheit eines unbeteiligten Zuschauers zu vergleichen.
Handlungsempfehlungen für Unternehmen
Das Urteil des OLG Hamm unterstreicht die Notwendigkeit der klaren Abgrenzung zwischen bloßer menschlicher Wahrnehmung und Erinnerung sowie der systematischen Erfassung dieser in einem Dateisystem. An dieser Schnittstelle entsteht für Unternehmen ein rechtliches Risiko. Daher sollten Unternehmen folgende Punkte beachten:
Sensibilisierung der Mitarbeitenden:
- Regelmäßige Datenschutzschulungen sollten verdeutlichen, wann Beobachtungen oder Gespräche im Unternehmenskontext datenschutzrechtlich relevant werden. Ziel ist ein Bewusstsein dafür, dass nicht jede Wahrnehmung, wohl aber deren Dokumentation oder Weitergabe, eine Verarbeitung im Sinne der DS-GVO darstellen kann.
Klare Verfahrensdokumentation:
- Das Verzeichnis von Verarbeitungstätigkeiten (VVT) sollte eindeutig zwischen Tätigkeiten mit und ohne Datenverarbeitungsbezug unterscheiden. Dadurch wird transparent, wo tatsächlich ein Verarbeitungsvorgang im Sinne von Art. 2 Abs. 1 DS-GVO vorliegt.
Interne Kommunikationsrichtlinien:
- Unternehmen sollten interne Vorgaben schaffen, wie Mitarbeitende mit mündlichen Auskünften umgehen dürfen – insbesondere dann, wenn personenbezogene Informationen weitergegeben oder protokolliert werden.
Abgrenzung in Schulungs- und Beobachtungssituationen:
- Bei Tätigkeiten mit beobachtendem Charakter (z. B. Schulungen, Audits, Produktdemonstrationen) sollte vorab geprüft werden, ob personenbezogene Daten wahrgenommen, gespeichert oder ausgewertet werden. Gegebenenfalls ist ein datenschutzkonformer Umgang zu definieren.
Rechtskonforme Nachvollziehbarkeit:
- Prozesse sollten so dokumentiert sein, dass im Auditfall nachvollzogen werden kann, warum bestimmte Handlungen nicht als Datenverarbeitung im Sinne der DS-GVO eingestuft wurden.
Fazit
Das Urteil des OLG Hamm schafft eine wichtige Klarstellung im Datenschutzrecht: Die reine menschliche Wahrnehmung oder Erinnerung stellt für sich genommen keine Datenverarbeitung im Sinne der DS-GVO dar. Erst wenn wahrgenommene Informationen systematisch erfasst, gespeichert oder in strukturierter Form verarbeitet werden, greift der sachliche Anwendungsbereich der Verordnung. Für Unternehmen bedeutet dies einerseits Entlastung, da nicht jede Interaktion automatisch datenschutzrechtliche Pflichten auslöst. Andererseits entsteht ein erhöhter Bedarf an klarer Abgrenzung und Dokumentation, um Missverständnisse und Compliance-Risiken zu vermeiden. Ein strukturiertes Datenschutzmanagement – insbesondere eine präzise Führung des Verzeichnisses von Verarbeitungstätigkeiten und gezielte Schulungen der Mitarbeitenden – bleibt somit entscheidend, um die Grenze zwischen Wahrnehmung und Verarbeitung rechtssicher zu ziehen.
