Die Entscheidung im Überblick

Der Fall beginnt mit einem Wochenenddienst, den jemand übernehmen musste. Der Kläger, Arzt in Weiterbildung, ließ sich im eigenen Krankenhaus untersuchen und meldete sich vor dem Dienst krank. Die Beklagte, Stationsärztin derselben Abteilung, sprang ein — und schrieb am 31. Mai 2025 in die WhatsApp-Gruppe „Ärzte-AC”, in der die Abteilung Urlaubsplanung, Krankmeldungen und Vertretungen abstimmte, was sie über den Kollegen wusste: dass er sich im Haus habe behandeln lassen, dass Adipositas und eine Fettleber bei fraglichem Durchfall diagnostiziert worden seien und dass die Laborwerte im Übrigen unauffällig gewesen seien, ohne Hinweis auf eine Elektrolytstörung. Sie stellte das ausdrücklich „nur zu jedermanns Info” und fügte hinzu, der Kläger „meine, höchst krank zu sein”, vielleicht sitze „ein Pups quer”. Mindestens sieben weitere Gruppenmitglieder lasen mit.

Das Arbeitsgericht verurteilte die Beklagte zur Unterlassung und zur Zahlung von 1.000 Euro; gefordert waren 2.000 Euro. Die dogmatisch interessanteste Passage betrifft nicht den Verstoß — der liegt auf der Hand —, sondern die Frage, wer für ihn haftet. Nach dem Funktionsträgerprinzip der Verordnung sind Beschäftigte, die im Rahmen ihrer Tätigkeit Daten für ein Unternehmen verarbeiten, grundsätzlich nicht Verantwortliche; die Verarbeitung wird dem Unternehmen zugerechnet (Rn. 54). Etwas anderes gilt beim Exzess: Wer Daten für eigene, von den Zwecken der arbeitgebenden Partei abweichende Zwecke verarbeitet, wird selbst Verantwortlicher nach Art. 4 Nr. 7 DSGVO (Rn. 55). Genau das nahm die Kammer an: Über die Dienstplanfragen hinaus, und nachdem der Vertretungsfall bereits abgeschlossen war, sei die Mitteilung der medizinischen Gründe „für dienstliche Zwecke weder erforderlich noch sinnvoll” gewesen; sie habe „letztlich” dazu gedient, den Kläger in der Abteilung bloßzustellen (Rn. 56).

Auch die zweite Verteidigungslinie hielt nicht. Die Beklagte hatte sich auf die Ausnahme für ausschließlich persönliche oder familiäre Tätigkeiten berufen — WhatsApp, private Gruppe, Kollegenklatsch. Die Kammer legt Art. 2 Abs. 2 Buchst. c DSGVO restriktiv aus und hält gemischte Verarbeitungen für nicht privilegiert: Schon der Name der Gruppe und ihre Zusammensetzung ausschließlich aus Kolleginnen und Kollegen einer Abteilung ließen einen beruflichen Kontext erkennen. Jedenfalls wenn in einer Chatgruppe „zu mindestens 30 % arbeitsbezogene Inhalte” ausgetauscht werden und die beanstandete Nachricht selbst dienstbezogen ist, dient die Verarbeitung nicht ausschließlich persönlichen Zwecken (Rn. 52). Diese Prozentangabe ist die praktisch greifbarste Aussage des Urteils — und sie steht, soweit ersichtlich, in dieser Form erstmals in einer Entscheidung.

Materiell liegt ein Verstoß gegen Art. 9 Abs. 1 DSGVO vor. Keine der Ausnahmen des Absatzes 2 greift: Eine Einwilligung gab es nicht, öffentlich gemacht hatte der Kläger die Details nicht — dass er einzelnen Gruppenmitgliedern von der Erkrankung erzählt haben mag, ändert daran nichts, weil er nicht sämtliche preisgegebenen Einzelheiten allen mitgeteilt hatte —, und erforderlich im Rahmen ärztlicher Tätigkeit war die Mitteilung schon deshalb nicht, weil die Beklagte nicht seine behandelnde Ärztin war (Rn. 59). Für den Unterlassungsanspruch behandelt die Kammer Art. 9 DSGVO als Schutzgesetz im Sinne des § 823 Abs. 2 BGB und stützt den Anspruch auf § 1004 Abs. 1, § 823 Abs. 2 Satz 1 BGB in Verbindung mit Art. 9 DSGVO (Rn. 45, Rn. 48).

Die Wiederholungsgefahr bejahte das Gericht, obwohl der Kläger die Klinik verlassen und die Gruppe verlassen hatte. Es bestehe weiterhin die Gefahr, dass die Beklagte sich in ihrer Funktion als Ärztin Zugriff auf Gesundheitsdaten des Klägers verschaffe, sollte er sich erneut dort behandeln lassen — und sie diese wieder „zur Info” weitergebe. Ausdrücklich gegen die Beklagte gewertet wurde, dass sie die Übermittlung bis zuletzt für rechtmäßig hielt und sich „keiner Schuld bewusst” war (Rn. 62).

Beim Schadensersatz folgt die Kammer der gefestigten Linie des Gerichtshofs: Der bloße Verstoß genügt nicht, ein Schaden muss eingetreten sein, eine Erheblichkeitsschwelle gibt es aber nicht, und schon der Kontrollverlust über personenbezogene Daten kann den Schaden darstellen (Rn. 69 f.). Bei der Bemessung sprachen für den Kläger die besondere Sensibilität von Diagnosen und Laborwerten sowie die glaubhaft geschilderte Beschädigung seiner Stellung im Kollegenkreis, die für den Arbeitsplatzwechsel mitursächlich war; dagegen der überschaubare Empfängerkreis von sieben Personen und der Umstand, dass keine Dokumente aus der Krankenakte, sondern nur einzelne Informationen weitergegeben wurden (Rn. 75).

Hintergrund und Einordnung

Das Urteil schließt eine Lücke, die eine andere Entscheidung dieses Sommers aufgerissen hatte. Das OLG Brandenburg hatte am 2. März 2026 (1 U 1/24) den Verantwortlichen aus der Haftung nach Art. 82 Abs. 3 DSGVO entlassen, weil der Datenabfluss auf einem Mitarbeiterexzess beim Auftragsverarbeiter beruhte. Damit stellte sich die Frage, wer dann eigentlich haftet. Siegburg liefert die Antwort auf der anderen Seite derselben Konstruktion: Wer exzessiv handelt, wird selbst Verantwortlicher — und haftet persönlich. Beide Entscheidungen zusammen ergeben ein geschlossenes Bild, in dem der Exzess die Haftung nicht aufhebt, sondern verschiebt.

Für Beschäftigte ist das unangenehmer, als es auf den ersten Blick wirkt. Der Anspruch richtet sich gegen die Person, nicht gegen die Klinik; eine Freistellung durch den Arbeitgeber gibt es hier nicht, weil die Handlung gerade nicht dem Arbeitgeber zuzurechnen war. Die innerbetriebliche Haftungsprivilegierung für betrieblich veranlasste Tätigkeiten hilft bei einem Exzess ebenfalls nicht weiter. Die 1.000 Euro sind dabei weniger bemerkenswert als die Kostenlast des Verfahrens.

Für die Praxis bedeutet das dreierlei. Erstens sind gemischt genutzte Messenger-Gruppen im Betrieb datenschutzrechtlich keine Privatsphäre — die Schwelle, ab der die Haushaltsausnahme entfällt, liegt nach Siegburg bei rund 30 Prozent dienstlichem Inhalt und dürfte in vielen Abteilungsgruppen überschritten sein. Zweitens gehört in jede Unterweisung zum Beschäftigtendatenschutz der Hinweis, dass die persönliche Haftung greift, sobald die Weitergabe dienstlich nicht mehr erforderlich ist; Arbeitgeber, die solche Gruppen dulden, sollten wenigstens klarstellen, was dort nicht besprochen wird. Drittens ist die Kombination aus Datenweitergabe und Spott doppelt teuer: Die Herabsetzung im Kollegenkreis wurde nicht als eigener Anspruch behandelt, aber bei der Bemessung des immateriellen Schadens ausdrücklich mitberücksichtigt.

Das Urteil ist nicht rechtskräftig. Eine Berufung zum Landesarbeitsgericht Köln wäre die Gelegenheit, die 30-Prozent-Schwelle zu überprüfen — eine feste Quote ist für die Abgrenzung einer unionsrechtlichen Ausnahmevorschrift ein ungewöhnliches Werkzeug.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://nrwe.justiz.nrw.de/arbgs/koeln/arbg_siegburg/j2026/1_Ca_1741_25_Urteil_20260522.html