Das Arbeitsgericht Siegburg hat mit Urteil vom 22. Mai 2026 (1 Ca 1741/25) einer Kollegin untersagt, Gesundheitsdaten eines Arztes ohne Einwilligung weiterzugeben, und sie zur Zahlung von 1.000,00 EUR Entschädigung verurteilt. Wer als Beschäftigte Gesundheitsdaten zu eigenen Zwecken in einem Kollegen-Chat offenlegt, haftet persönlich als Verantwortliche.
Kern der Entscheidung
- Frage: Haftet eine Beschäftigte persönlich auf Unterlassung und immateriellen Schadensersatz, wenn sie Diagnosen und Laborwerte eines erkrankten Kollegen in einer WhatsApp-Gruppe der Abteilung offenlegt?
- Antwort: Ja. Das Arbeitsgericht Siegburg hat mit Urteil vom 22. Mai 2026 (1 Ca 1741/25) entschieden, dass die Beschäftigte bei einem Exzess selbst Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO ist und aus § 1004 Abs. 1, § 823 Abs. 2 Satz 1 BGB in Verbindung mit Art. 9 DSGVO auf Unterlassung sowie nach Art. 82 Abs. 1 DSGVO auf Entschädigung haftet.
Kurze Zusammenfassung des Sachverhaltes
Der Kläger war als Arzt in Weiterbildung in einem Klinikum beschäftigt, in dem die Beklagte als Stationsärztin tätig ist; im Mai 2025 arbeiteten beide in der Abteilung Allgemeinchirurgie. In einer WhatsApp-Gruppe mit neun Ärztinnen und Ärzten der Abteilung, in der es unter anderem um Urlaubsplanung, Krankmeldungen und Dienstübernahmen ging, teilte die Beklagte am 31. Mai 2025 „nur zu jedermanns Info“ Einzelheiten zur Behandlung, zu Diagnosen und zu Laborwerten des Klägers mit und stellte dessen Arbeitsunfähigkeit in Frage. Der Kläger verlangte Unterlassung und eine Entschädigung von 2.000,00 EUR.
Inhalt der Entscheidung: Beschäftigtenexzess, Art. 9 DSGVO und Wiederholungsgefahr
Das Arbeitsgericht Siegburg gibt der Klage teilweise statt und stützt die Rechtswegzuständigkeit auf § 2 Abs. 1 Nr. 9 ArbGG.
Bestimmtheit des Unterlassungsantrags
Der Antrag ist hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO. Zukunftsgerichtete Verbote lassen sich häufig nur generalisierend formulieren; die Notwendigkeit gewisser Subsumtionsprozesse in der Zwangsvollstreckung steht ausfüllungsbedürftigen Begriffen nicht generell entgegen. Der Antrag benennt die Datenkategorie – Gesundheitsdaten nach der Legaldefinition des Art. 4 Nr. 15 DSGVO – und die Bedingungen, unter denen die Unterlassungspflicht nicht besteht.
Anwendbarkeit der DSGVO und Haushaltsausnahme
Die Erkenntnisse über Behandlung und Diagnosen sind personenbezogene Daten nach Art. 4 Nr. 1 DSGVO; das Posten in der Chatgruppe ist eine Offenlegung durch Übermittlung und damit Verarbeitung nach Art. 4 Nr. 2 DSGVO. Die Bereichsausnahme des Art. 2 Abs. 2 lit. c DSGVO greift nicht: Sie ist restriktiv auszulegen und erfasst gemischte Verarbeitungen nicht, sodass die Verordnung anwendbar bleibt, wenn die Verarbeitung den privaten Bereich auch nur teilweise überschreitet. Bezeichnung und Zusammensetzung der Gruppe aus Kolleginnen und Kollegen einer Abteilung, ein Anteil von mindestens 30 Prozent arbeitsbezogener Inhalte und der dienstbezogene Hintergrund der Nachricht selbst schließen einen ausschließlich persönlichen Zweck aus.
Persönliche Verantwortlichkeit bei Exzess
Nach dem Funktionsträgerprinzip wird die Datenverarbeitung weisungsgemäß handelnder Beschäftigter dem Unternehmen zugerechnet; Beschäftigte sind grundsätzlich nicht Verantwortliche. Anders liegt es, wenn sie Daten für eigene, von denen der Arbeitgeberin abweichende Zwecke verarbeiten; in diesem Fall des Exzesses werden sie nach Art. 4 Nr. 7 DSGVO selbst Verantwortliche. Die Offenlegung der medizinischen Gründe des Ausfalls nach abgeschlossenem Vertretungsfall war für dienstliche Zwecke weder erforderlich noch sinnvoll und lag nicht im Interesse der Arbeitgeberin.
Damit liegt ein Verstoß gegen Art. 9 Abs. 1 DSGVO vor; ein Ausnahmetatbestand des Art. 9 Abs. 2 DSGVO fehlt, insbesondere hatte der Kläger die Einzelheiten nicht sämtlich selbst öffentlich gemacht und nicht eingewilligt, und die Beklagte war nicht die behandelnde Ärztin. Die Wiederholungsgefahr nach § 1004 Abs. 1 Satz 2 BGB wird nach der Verletzung tatsächlich vermutet; sie entfällt nicht durch das Ausscheiden des Klägers und seinen Austritt aus der Gruppe, zumal die Beklagte den Vorgang weiter für rechtmäßig hält.
Bemessung des immateriellen Schadens
Schon der Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden begründen, ohne dass zusätzliche spürbare negative Folgen oder ein bestimmter Schweregrad nachzuweisen sind. Hier erhielten sieben nicht zugriffsberechtigte Gruppenmitglieder detaillierte und intime Informationen; hinzu kam die Herabsetzung des Klägers im Kollegenkreis. Für die Höhe sind Intensität der Verletzung, betroffene Datenkategorien und konkrete Folgen maßgeblich, wobei § 287 Abs. 1 ZPO einen weiten Ermessensspielraum eröffnet. Zugunsten des Klägers wirkten die besonders sensible Datenkategorie und die Mitursächlichkeit für den Arbeitsplatzwechsel, mindernd der überschaubare Empfängerkreis und die Weitergabe nur einzelner Informationen ohne Unterlagen aus der Krankenakte.
Folgen des Urteils für die Kommunikation in dienstlichen Chatgruppen
Beschäftigte tragen nach dieser Entscheidung ein eigenes Haftungsrisiko: Verlässt ihre Datenverarbeitung den Rahmen der zugewiesenen Aufgaben, können sie unmittelbar von Kolleginnen und Kollegen auf Unterlassung und Entschädigung in Anspruch genommen werden, ohne dass die Arbeitgeberin dazwischentritt. Arbeitgeber gewinnen damit ein Argument gegen die eigene Inanspruchnahme, verlieren aber die Steuerungsmöglichkeit über Chatgruppen, die formal privat organisiert sind.
Die Einordnung des Art. 9 DSGVO als Schutzgesetz ist nicht unumstritten; das Gericht weist eine abweichende Auffassung ausdrücklich aus. Offen bleibt, ab welchem Anteil dienstlicher Inhalte eine Gruppe die Haushaltsausnahme verlässt: Die Kammer lässt dahinstehen, ob Bezeichnung und Zusammensetzung allein genügen würden. Die weitergehende Zahlungsklage blieb erfolglos; die Kosten wurden zu 78 Prozent der Beklagten und zu 22 Prozent dem Kläger auferlegt.
Tipps für die Praxis: Gesundheitsdaten und dienstliche Messenger-Gruppen
- Arbeitgeber sollten Gesundheitsdaten aus Behandlungs- oder Personalvorgängen strikt von der Kommunikation über Dienstpläne und Vertretungen trennen, weil Art. 9 Abs. 1 DSGVO deren Verarbeitung ohne Ausnahmetatbestand untersagt.
- Arbeitgeber sollten Zugriffe auf klinische Systeme auf den Behandlungszusammenhang begrenzen, da die Kammer die Gefahr eines erneuten Zugriffs zu nicht behandlungsbezogenen Zwecken als wiederholungsgefahrbegründend gewertet hat.
- HR- und Compliance-Verantwortliche sollten Messenger-Gruppen, in denen Krankmeldungen und Vertretungen abgestimmt werden, als dienstliche Verarbeitung behandeln, weil die Ausnahme für persönliche Tätigkeiten bei gemischter Nutzung nicht greift.
- HR- und Compliance-Verantwortliche sollten Beschäftigte darauf hinweisen, dass Mitteilungen zu Diagnosen „zur Information“ der Abteilung einen Exzess darstellen und die persönliche Verantwortlichkeit nach Art. 4 Nr. 7 DSGVO auslösen.
- Arbeitnehmer sollten bei einer Offenlegung ihrer Gesundheitsdaten den konkreten Kontrollverlust und die Folgen im Kollegenkreis darlegen, da Intensität, Datenkategorie und Folgen die Höhe der Entschädigung nach Art. 82 Abs. 1 DSGVO bestimmen.
Fundstelle und Status
- Gericht: Arbeitsgericht Siegburg
- Entscheidungsform: Urteil
- Datum: 22.05.2026
- Aktenzeichen: 1 Ca 1741/25
- ECLI: ECLI:DE:ARBGSU:2026:0522.1CA1741.25.00
- Rechtskraft/Status: Nicht angegeben; Streitwert 4.500,00 EUR, Rechtsmittelstreitwert im Urteil festgesetzt
Walther Grundstein
Rechtsanwalt
Fachanwalt für Arbeitsrecht
Grundstein & Thieme
Rechtsanwälte Notarin
Gutleutstraße 175
60327 Frankfurt am Main
Telefon 069-520096
www.grundstein-thieme.de
kanzlei@grundstein-thieme.de
Stand: 27.08.2026. Der Beitrag gibt den Inhalt der genannten Entscheidung wieder und ersetzt keine Rechtsberatung im Einzelfall. Die redaktionelle Verantwortung für den Beitrag trägt der vorstehend genannte Autor. Er hat den von einem KI-System erzeugten Entwurf vor seiner Veröffentlichung fachlich geprüft.