Gründe

I.

Der Landesbeauftragte für den Datenschutz Niedersachsen (vormals Die Landesbeauftragte für den Datenschutz Niedersachsen) - Ordnungswidrigkeitenbehörde - wirft der Betroffenen mit dem Bußgeldbescheid vom 29.06.2023 einen Verstoß gegen die Pflicht zur Information der datenschutzrechtlich von der Verarbeitung betroffenen Personen an Standorten in Deutschland vor,

1. indem die Betroffene die fünf datenschutzrechtlich betroffenen Beschäftigten aus den Bereichen Finanzen und Vertrieb vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor auf der Grundlage der Einzelfallentscheidung Nr. 06.1 vom 01.03.2019 eine um ihre Namen ergänzte Liste mit aktuellen und ehemaligen Mitarbeitern mit "direct knowledge" zum Diesel-Fehlverhalten offenzulegen und nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

2. indem die Betroffene die datenschutzrechtlich betroffenen Personen vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor auf der Grundlage der Einzelfallentscheidung Nr. 11 vom 22.03.2019

a. bei Bonusdurchsprachen, die einen gekürzten persönlichen Leistungsbonus zum Gegenstand hatten (Option 2), Pseudonym und Bonus offenzulegen,

b. bei regulären Bonusdurchsprachen, die keine Leistungskürzung zum Gegenstand hatten (Option 3), Namen von Beschäftigten und Bonus offenzulegen,

c. im Zusammenhang mit Bonusdurchsprachen pseudonymisierte Listen mit Disziplinarfällen offenzulegen

und nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

3. indem die Betroffene die datenschutzrechtlich betroffenen Personen vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor auf der Grundlage der Einzelfallentscheidung Nr. 27 vom 24.01.2020 Testing Summaries mit personenbezogenen Daten offenzulegen, insbesondere

• Personalnummer,

• Mitarbeiterkreis (Tarif/Tarif plus/MK/OMK/TMK bzw. Management vs. Non-Management)

• Angabe einer Beförderung in diese "Mitarbeiterkreise" Datum des Arbeitsvertrags / Einstiegsdatum,

• Information zu einer Integritätsklausel,

• Information zu Background Checks,

• Informationen zum Umgang mit Pflichtverletzungen,

• Angaben über Abweichungen vom Einstellungsprozess,

• Angaben zur Genehmigung von Abweichungen beim Einstellungsprozess,

und nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

4. indem die Betroffene die datenschutzrechtlich betroffenen Personen vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor auf der Grundlage der Einzelfallentscheidung Nr. 37 vom 27.03.2020 Nachrichten aus dem Hinweisgebersystem mit personenbezogenen Daten offenzulegen, insbesondere Pseudonyme von Beschuldigten, Hinweisgebern und Zeugen sowie personenbezogenen Daten einer schwangeren Beschäftigten und nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

5. indem die Betroffene die datenschutzrechtlich betroffenen Personen vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor auf der Grundlage der Einzelfallentscheidung Nr. 38 vom 14.05.2020 Dokumente in Bezug auf das Control Testing mit personenbezogenen Daten offenzulegen, insbesondere

• Personalnummer

• Datum der Sitzung des Disziplinarkomitees bzw. des Personalausschusses

• Information, ob die betroffenen Mitarbeiter in einer Excel-Liste enthalten sind, sowie ob das 4-Augen-Prinzip gewahrt wurde

• Nachweis der Dokumentation der Pflichtverletzung im Dokumentenmanagementsystem (DMS), falls es sich um eine "other regulatory violation" handelt,

und nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

6. indem die Betroffene die datenschutzrechtlich betroffenen Personen vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor im Rahmen des Testings

a. zwischen dem 04.02.2020 und Juli 2020 mit dem "Testing Template - CA03" personenbezogene Daten offenzulegen, insbesondere

• Personalnummer

• Management-Ebene der Beförderung

• Neuanstellung oder Beförderung

• Anstellungs- oder Beförderungsdatum

• Datum des Background-Checks

• Erkenntnis im Background-Check

• Review Commitee hat in der Sache getagt

• Empfehlung des Review Committees,

b. zwischen dem 12.02.2020 und Juli 2020 mit dem "Testing Template - CA13" personenbezogene Daten offenzulegen, insbesondere

• Personalnummer

• Neuanstellung oder Beförderung

• Neuanstellung oder Beförderung zu welcher Management-Ebene

• Einstellungs- oder Beförderungsdatum

• Angabe, ob lntegritäts-/Background-Check durchgeführt wurde

• Datum des lntegritäts-/Background-Checks

• Erhaltene Selbstauskunft des Beschäftigten mit Datum

• Ergebnis der Selbstauskunft des Betroffenen

• Überprüfung der Personalakte nach Erkenntnissen (Qualifikation, Abschluss)

• Überprüfung der Personalakte nach Erkenntnissen (Gesetzesverletzung)

• Ergebnis "Living Integrity" (Anstellungs-lnterview)

• Erkenntnisse aus Abfragen bei anderen Gruppeneinheiten (frühere Arbeitgeber)

• Erkenntnisse aus Abfrage Gruppensicherheit (Group Security)

• Erkenntnisse aus Abfrage Ermittlungsbüro (Investigation Office)

• Erkenntnisse aus Abfrage Gruppen-/Markenaudit

• Erkenntnisse aus Abfrage Dienstleister

• Ergebnis des lntegritäts-/Background-Checks,

c. zwischen dem 16.01.2020 und Juli 2020 mit dem "Testing Template - CA06" personenbezogene Daten offenzulegen, insbesondere

• Personalnummer

• Management-Ebene

• Beschäftigter wurde vom Personal Committee in Excel-Tabelle eingetragen,

und diesen nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

7. indem die Betroffene die datenschutzrechtlich betroffenen Personen vor der Weiterverarbeitung ihrer personenbezogenen Daten zu dem anderen Zweck des Monitorships nicht informiert hat, dass sie beabsichtigt, dem Monitor am 15.01.2020 die Dokumente "DR005731_D0002_PROTECTED_EN_GROUP_200108 Central Investigation office - List of Staff.pdf und "DR005731_D0004_PROTECTED_EN_GROUPKopie von DR 5731J.egal.pdf mit personenbezogenen Daten von Beschäftigten offenzulegen, die Hinweise im internen Hinweisgebersystem der Betroffenen bearbeiten, insbesondere

• Vor- und Nachname

• Berufserfahrung

• Trainings

• Qualifikationen

• Zertifizierungen

• Sonstige relevante Erfahrungen,

und diesen nicht die anderen maßgeblichen Informationen nach Art. 13 DS-GVO zur Verfügung gestellt hat.

II.

Die Kammer hat folgenden Sachverhalt festgestellt:

Bei der Betroffenen handelt es sich um einen Automobilhersteller mit Sitz in XXX.

Die Betroffene schloss am 11.01.2017 im Zusammenhang mit der Manipulation von Abgaswerten auf dem Prüfstand mehrere Vergleiche ("Settlement Agreements"), um die laufenden Strafverfahren sowie die zivilgerichtlichen Klagen auf Landes- und Bundesebene in den Vereinigten Staaten von Amerika zu beenden, namentlich das "Plea Agreement" mit dem US-Justizministerium zur Beendigung des gegen die Betroffene laufenden Strafverfahrens, das "Third Partial Consent Decree" mit der US-Umweltschutzbehörde (Environmental Protection Agency, EPA) und das "Third California Partial Consent Decree" mit dem US-Bundesstaat Kalifornien und dessen Emissionsschutzbehörde (California Air Resources Board, CARB) zur Beendigung der gegen die Betroffene anhängigen zivilgerichtlichen Klagen auf Landes- und Bundesebene. Mit den Settlement Agreements wurde eine Vergleichssumme in Höhe von 20 Mrd. US-Dollar ausgehandelt.

Im Zuge der Settlement Agreements wurde XXX von den zuständigen US-Gerichten als "Compliance-Monitor" ("Plea Agreement") bzw. "Compliance-Auditor" (Consent Decree) eingesetzt (nachfolgend "Monitor"). Die Aufgabe des Monitors bestand darin, die Einhaltung der Regelungen der Settlement Agreements zu überprüfen und zu überwachen, um so das Risiko einer Wiederholung des Fehlverhaltens der Gesellschaft zu adressieren und zu reduzieren. Zu den Aufgaben des Monitors gehörte es nicht, rechtliches Fehlverhalten der Betroffenen oder einzelner ihrer Mitarbeiter, die bislang nicht Gegenstand der Verfahren gegen die Betroffenen waren, zu ermitteln oder den US-Behörden zur Kenntnis zu bringen. Das Mandat des Monitors war vielmehr darauf ausgerichtet, die Compliance-Strukturen des Unternehmens zu Beginn des Monitorships zu analysieren, Verbesserungsvorschläge zu unterbreiten und die Umsetzung dieser Vorschläge zu überwachen. Das Recht des Monitors, die Benennung bestimmter verantwortlicher Personen zu verlangen, diente nicht dem Ziel, gegen diese Personen weiter zu ermitteln oder vorzugehen.

Hinsichtlich der Durchführung von Gesprächen mit Beschäftigten im Rahmen des Monitor- und Auditorships schloss die Betroffene die Konzernbetriebsvereinbarung Nr. 01/2017 vom 23.10.2017 ab, die am 01.11.2017 in Kraft trat. In der Konzernbetriebsvereinbarung wurden die Rahmenbedingungen für vom Monitor veranlasste Gespräche mit Beschäftigten festgelegt. Durch die Konzernbetriebsvereinbarung sollten die berechtigten Interessen und Belange der Beschäftigten bei der Durchführung von Gesprächen mit dem Monitor gewährleistet werden. Außerdem sollte eine strukturierte und frühzeitige Einbindung des Betriebsrats gewährleistet werden. Für das Verfahren wurde vorgesehen, dass die Betroffene ihre Beschäftigten, die vom Monitor konkret angefragt wurden, vor der Festsetzung eines Gesprächstermins über die Anfrage informiert und soweit möglich, geplante Themenfelder für das Gespräch mitteilt. Beschäftigten wurde zudem die Möglichkeit eingeräumt, sich bei einem externen Rechtsanwalt hinsichtlich der rechtlichen Grundlagen und Hintergründe der Gespräche zu informieren und beraten zu lassen.

Nach den Settlement Agreements hatte der Monitor das Recht, von der Betroffenen Dokumente und andere Informationen zu verlangen, die erforderlich waren, um sein Mandat zu erfüllen. Der Monitor forderte auch Dokumente an, die personenbezogene Daten von Beschäftigten der Betroffenen enthielten. Im Rahmen eines Document oder Meeting Requests des Monitors wurden bei der Betroffenen mehrere Schritte durchlaufen. Die Anfragen des Monitors wurden von der Betroffenen unter anderem dahingehend geprüft, ob die Dokumente für die Durchführung des Monitorships erforderlich waren ("Scope-screening"). Außerdem fand eine datenschutzrechtliche Prüfung und ggf. Schwärzung statt ("Data protection check and redaction recommendations").

Die Schwärzung nach dem sog. "Redaction Guide" der Betroffenen sollte die folgenden Angaben umfassen:

• Kontaktdaten,

• Inhalte privater Natur,

• die Namen Dritter und von Personen, die nicht im Zusammenhang mit dem Inhalt des jeweiligen Dokuments standen,

• Angaben über Arbeitszeiten,

• Bilder (soweit nicht öffentlich verfügbar),

• Angaben über Disziplinarmaßnahmen (soweit diese nicht im Zusammenhang mit der Diesel-Thematik standen),

• Gehaltsangaben (soweit nicht im unmittelbaren Zusammenhang mit Disziplinarmaßnahmen stehend),

• Unterschriften ohne Beweiswert und

• sämtliche Kategorien personenbezogener Daten i. S. d. Art. 9 DS-GVO.

In den Fällen, in denen der Monitor auf Offenlegung personenbezogener Daten über die vorgenannten Schwärzungsregeln hinaus bestand, führte die Betroffene Einzelfallentscheidungen durch, um zu ermitteln, ob eine Offenlegung dieser personenbezogenen Daten datenschutzrechtlich zulässig war. Die Betroffene führte im Zeitraum vom 07.09.2018 bis zum 14.05.2020 38 Einzelfallentscheidungen durch.

Die Einzelfallentscheidungen sollten grundsätzlich durch die Rechtsabteilung K-IL bzw. deren Leiter freigegeben werden. In der Zeit von Januar 2016 bis Januar 2022 wurde die Rechtsabteilung von geleitet. Von März 2016 bis Januar 2022 war er zugleich als Prokurist bevollmächtigt. Gemäß Delegation vom 29.11.2017 und 12.09.2018 wurde die Entscheidung über die Einzelfallentscheidungen von XXX geleiteten Bereich "K-ILX-3" übertragen (Recht Daten / IT Systeme). Jede Einzelfallentscheidung wurde durch XXX freigegeben.

Die Betroffene informierte ihre Beschäftigten zur Verarbeitung und Weitergabe ihrer personenbezogenen Daten aufgrund einer universellen Datenschutzerklärung für Beschäftigte:

Darin erfolgt im Abschnitt C. die Information, dass die Betroffene die personenbezogenen Daten ihrer Beschäftigten u. a. "zur Durchführung von Prüfungstätigkeiten und anlassbezogenen Untersuchungen (z. B. Aufklärungsoffice, Konzernrevision, Konzernsicherheit" und zur "Verteidigung von Rechtsansprüchen der Volkswagen AG (z. B. Arbeitsgerichtsprozesse, Patentmeldungen)" verarbeitet. Im Abschnitt F. wird über die Weitergabe der personenbezogenen Daten an Dritte informiert. Als Beispiele werden genannt "öffentliche Stellen (z. B. im Rahmen Ihrer Entgeltabrechnung an Renten Versicherungen sowie Finanzämter, von Gesundheitsmaßnahmen an Ihre Krankenversicherung)". Im Abschnitt G. wird über die Weitergabe der Daten in Drittländer informiert:

"Es kann ein Datenaustausch zwischen Gesellschaften, XXX oder anderen Geschäftspartnern außer- und innerhalb des XXX in Staaten außerhalb der Europäischen Union (EU) stattfinden, Z.B. bei Auslandseinsätzen oder in Zusammenhang mit Personalentwicklungsmaßnahmen."

Speziell in Bezug auf das Monitorship hat die Betroffene ihren Beschäftigten ein Informationsschreiben/FAQ vom 24.11.2017 zur Verfügung gestellt. Darin werden die Hintergründe zum Monitorship erläutert und es werden Informationen zu den Aufgaben und Rechten des Monitors gegeben. Informiert wird über den Ablauf der Gespräche, und es werden Verhaltensempfehlungen gegeben. Zum Schluss folgt eine Zusammenstellung häufiger Fragen und der Text der Konzernbetriebsvereinbarung war als Anlage beigefügt. In diesem Informationsschreiben zu Gesprächen mit dem Monitor/ FAQ vom 24.11.2017 wird unter anderem Folgendes ausgeführt: "Zudem ist es dem Monitor nur in eng begrenzten Fällen erlaubt, vertrauliche, nicht öffentliche Informationen, die er durch das Monitorship von XXX (z. B. durch seine Gespräche mit Mitarbeitern) erlangt, weiterzugeben, nämlich wenn dies für die Durchführung des Monitorships erforderlich ist (z. B. aufgrund seiner Berichtspflichten an das US-Justizministerium) oder wenn spezielle Meldepflichten an US-Behörden, insbesondere unter dem Plea-Agreement und den 3rd Partial Consent Decrees oder gesetzliche bzw. richterliche Offenlegungspflichten (z. B. in den verbleibenden Dieselklageverfahren) dies erfordern."

Mit der Mitteilung "Wichtige datenschutzrechtliche Informationen im Zusammenhang mit dem Monitorship bei XXX" vom 20.09.2018 informierte die Betroffene im Intranet "Group Connect" ihre Beschäftigten über den Umgang mit personenbezogenen Daten im Zusammenhang mit dem Monitorship:

Insbesondere wurde über die Tätigkeit des Monitors und seinen Auftrag informiert, über die Person des Monitors und über die mit dem Monitor getroffenen Vereinbarungen (Vertraulichkeitsvereinbarung, Löschpflichten, keine Weitergabe an Dritte). Insbesondere wurden Kategorien von personenbezogenen Daten aufgelistet, welche womöglich auf Anfrage übermittelt werden:

• Name

• Funktions- / Positionsbeschreibung im Unternehmen

• Dienstliche Kontaktinformationen (dienstliche E-Mail-Adresse, dienstliche Anschrift, dienstliche Telefonnummer)

• Arbeitsprodukte wie Präsentationen, Organigramme, die von ihnen erstellt wurden

• Protokollangaben

• Angaben über arbeitsrechtliche Maßnahmen

Es wurde darauf hingewiesen, dass private Informationen oder besonders sensible Daten gemäß Art. 9 DS-GVO auf keinem Fall dem Monitor übermittelt würden.

Weiterhin fanden Betriebsveranstaltungen auf dem Werksgelände am 6. Juni 2017, 19. Juni 2019 und 25. September 2019 statt, an denen der Monitor teilnahm und in denen die Tätigkeit und Aufgaben des Monitors umfassend dargestellt wurden.

1. Vorwurf zu 1)

Im Rahmen des Monitorships forderte der Monitor die Betroffene im Jahr 2018 zur Durchführung einer Ursachenanalyse zur Diesel-Thematik auf. Nach der sog. Recommendation des Monitors sollte die Betroffene die Umstände ermitteln, welche die Diesel-Thematik ermöglicht oder begünstigt hatten. In dem Zuge beabsichtigte die Betroffene, Gespräche mit Beschäftigten durchzuführen, die in relevanten Bereichen des Unternehmens und in den relevanten Zeiträumen tätig waren und daher gegebenenfalls zur Aufklärung der Diesel-Thematik beitragen konnten.

Mit Anfrage vom 18.01.2019 zeigte der Monitor Interesse an den Namen dieser Beschäftigten. Er forderte die Betroffene zur Zurverfügungstellung einer Liste aktueller oder ehemaliger Mitarbeiter mit "direct knowledge" auf, mit denen das Unternehmen als Reaktion auf die Recommendation gerne sprechen wollte. Die Betroffene führte unter dem 07.02.2019 eine Einzelfallentscheidung durch, die von ihr als Einzelfallentscheidung Nr. 06.0 bezeichnet wurde. Auf der Grundlage der Einzelfallentscheidung Nr. 06.0 wurde dem Monitor eine Liste mit Klarnamen von 22 Personen in XXX als Lesefassung zur Verfügung gestellt. Aus der Liste geht hervor, dass es sich um Mitarbeiter handelte, die Kenntnis von Vorgängen im Zusammenhang mit der sog. Diesel-Thematik haben und mit denen das Unternehmen im Rahmen der Monitor-Recommendation sprechen wollte oder dies versucht hat. Die Liste enthielt den Hinweis, dass das "Core Team" eine Person in der Finanzabteilung und eine frühere Person aus der Vertriebsabteilung identifiziert habe, mit denen es gerne sprechen möchte im Rahmen der Recommendation. Diese Personen seien nicht auf der Liste enthalten, weil man davon ausgehe, dass diese kein unmittelbares Wissen zum Diesel-Fehlverhalten hätten. Nachfolgend bat der Monitor mit Anfrage vom 15.02.2019 um Mitteilung der Namen dieser beiden Mitarbeiter aus der Finanz- und Vertriebsabteilung. Diese Anfrage wurde von der Betroffenen unter der Request ID Nummer 3.438 geführt. Auf Grundlage der nachfolgenden Einzelfallentscheidung Nr. 06.1, die am 01.03.2019 von XXX (K-ILX-3, Recht Daten / IT Systeme) freigegeben wurde, wurde die Liste mit aktuellen und ehemaligen Mitarbeitern mit "direct knowledge" zum Diesel-Fehlverhalten, um fünf Beschäftigte aus den Abteilungen Finanzen und Vertrieb ergänzt. Die Betroffene fügte der zweiten, neuen Liste den Hinweis bei, dass diese Personen nicht in der vorherigen Liste aufgeführt waren, weil diese nach dem Verständnis der Betroffenen kein "direct knowledge" zum Diesel-Fehlverhalten hatten. Die Offenlegung gegenüber dem Monitor erfolgte in Wolfsburg (read only). Die von der Abfrage betroffenen Mitarbeiter wurden über die Einzelfallentscheidung nicht informiert.

2. Vorwurf zu 2)

Aufgrund der Einzelfallentscheidung Nr. 11 durfte der Monitor an Bonusdurchsprachen teilnehmen. Am 07.03.2019 teilte der Monitor mit, dass er an Bonusdurchsprachen persönlich teilnehmen wollte, um die Umsetzung der von der Betroffenen implementierten Compliance-Strukturen zur Höhe der Bonuszahlungen überprüfen zu können. Bei Bonusdurchsprachen handelte es sich um Termine, in denen die Höhe des persönlichen Leistungsbonus und die Leistung von einzelnen Beschäftigten von deren Vorgesetzten und dem zuständigen Personalwesen und im Vergleich zu anderen Beschäftigten derselben Ebene festgelegt wurden. In den Bonusdurchsprachen selbst fand keine Abstimmung über eine Kürzung des persönlichen Leistungsbonus wegen erfolgter Pflichtverletzung statt. Entsprechende Abstimmungen erfolgten vielmehr bereits vor der Bonusdurchsprache durch den jeweiligen Vorgesetzten und das Personalwesen. In der Bonusdurchsprache wurde ein bereits wegen Pflichtverletzungen gekürzter persönlicher Leistungsbonus zugrunde gelegt. Die betroffenen Beschäftigten, um deren persönlichen Leistungsbonus es ging, nahmen an den Bonusdurchsprachen nicht teil. Sinn und Zweck der Teilnahme des Monitors an diesen Bonusdurchsprachen war die Würdigung von Integrität und Diskussionskultur im Performance-Management-Prozess der Betroffenen gewesen. Zusätzlich verlangte der Monitor am 18./19.03.2019 namensgenaue Informationen über Disziplinarfälle im Management, um die Diskussion der betroffenen Beschäftigten bei den Bonusdurchsprachen zielgerichtet verfolgen zu können. Diese Anfrage war nicht im Redaction Guide abgebildet und wurde unter dem Titel Einzelfallentscheidung Nr. 8 (Teilnahme an Bonusdurchsprachen) bearbeitet. Am 21.03.2019 fragte der Monitor Bewertungsbögen der Beschäftigten an, die sowohl Gegenstand von bonusrelevanten Disziplinarfällen als auch der Bonusdurchsprachen waren. Diese Anfrage wurde unter dem Arbeitstitel Einzelfallentscheidung Nr. 10 (Übermittlung von Bewertungsbögen aus dem Hinweisgebersystem) geführt. Am 19.03.2019 bestand der Monitor erneut auf die persönliche Teilnahme an verschiedenen Bonusdurchsprachen. Mit der Einzelfallentscheidung Nr. 11 vom 22.03.2019 wurde über die Teilnahme des Monitors an den Bonusdurchsprachen und die Offenlegung von Listen mit Disziplinarfällen sowie von weiteren inhaltlichen Unterlagen entschieden. Mit dieser Einzelfallentscheidung wurden die Einzelfallentscheidungsprozesse Nr. 8, Nr. 10 und Nr. 11 in einer gesammelten Einzelfallentscheidung als Grundsatzentscheidung zusammengeführt, In Bezug auf Beschäftigte, die von einer Kürzung des persönlichen Leistungsbonus betroffen waren, wurden ihre personenbezogenen Daten unter Verwendung eines Pseudonyms offengelegt (sog. "Option 2"). Bei regulären Bonusdurchsprachen, die keine Leistungskürzung zum Gegenstand hatten, wurden die (Klar-)Namen der Beschäftigten offengelegt (sog. "Option 3"). Dem Monitor wurden die Unterlagen in einer "read-only"-Fassung zur Einsicht gegeben. Bonusdurchsprachen fanden in Anwesenheit des Monitors am 01.04., 11.04., 23.04. und 30.04.2019 statt. In diesem Zusammenhang wurden folgende Daten offengelegt:

Das Dokument "XXX" enthält in Spalte 1 ("Number") die Nummern 1-12. Die tabellarische Übersicht listet 12 Fälle arbeitsrechtlicher Maßnahmen (z. B. "Reprimand", "written warning" oder "Application for termination") auf und gibt den Grund für diese Maßnahmen (z. B. "Private use of airport shuttle" oder "Violation of Organisational Instruction 902") an. Das Datum einer Leistungsbesprechung ("performance discussion") ist jeweils vermerkt. Aus der Tabelle wird zudem ersichtlich, welchem Management-Level der jeweilige Beschäftigte angehört (MK/OMK).

Im Dokument "Post Delivery XXX" sind in Spalte 1 ("Number") die Nummern 13-24 vergeben. Die tabellarische Übersicht listet 12 weitere Fälle arbeitsrechtlicher Maßnahmen (z. B. "Reprimand", "written warning" oder "Caution") auf und gibt den Grund für diese Maßnahmen (z. B. "Non-compliance with a work instruction") an. In acht Fällen wird als Grund "Diesel" angegeben. Aus der Tabelle wird ersichtlich, welchem Management-Level der jeweilige Beschäftigte angehört (MK/OMK). Zudem ist das Datum einer Leistungsbesprechung ("performance discussion") vermerkt. Die letzte Spalte enthält eine Anforderungsnummer ("Request Number"), z. B. "MTOOxxxx" (x = vierstellige Zahl). Im Dokument "Post Delivery XXX" sind in Spalte 1 ("Number") die Nummern 13-24 vergeben. Die tabellarische Übersicht listet zwölf weitere Fälle arbeitsrechtlicher Maßnahmen (z. B. "Reprimand", "written warning" oder "Caution") auf und gibt den Grund für diese Maßnahmen (z. B. "Non-compliancewith a work instruction") an. In acht Fällen wird als Grund "Diesel" angegeben. Aus der Tabelle wird ersichtlich, welchem Management-Level der jeweilige Beschäftigte angehört (MK/OMK). Zudem ist das Datum einer Leistungsbesprechung ("performance discussion") vermerkt. Die letzte Spalte enthält eine Anforderungsnummer ("Request Number"), z. B. "MTOOxxxx" (x = vierstellige Zahl).

Bei dem Dokument "DR003790" sind in Spalte 1 ("Number") die Nummern 1-12 vergeben. Spalte 2 ist mit "Pseudonym" überschrieben. Vergeben wurden die Pseudonyme "Mitarbeiter 1" bis -13- "Mitarbeiter 12". Die tabellarische Übersicht listet zwölf Fälle arbeitsrechtlicher Maßnahmen (z. B. "Reprimand", "written warning" oder "Application for termination") auf und gibt den Grund für diese Maßnahmen an. Aus der Tabelle wird ersichtlich, welchem Management-Level der jeweilige Beschäftigte angehört (MK/OMK). Zudem ist das Datum einer Leistungsbesprechung ("performance discussion") vermerkt.

3. Vorwurf zu 3)

4. Vorwurf zu 4)

Der Monitor wollte die Funktionsweise des Hinweisgebersystems prüfen und hat in dem Zusammenhang eine Vielzahl von Dokumenten zu Prüffällen angefordert. Auf der Grundlage der Einzelfallentscheidung Nr. 37, freigegeben durch Frau XXX mit Entscheidung vom 27.03.2020, wurden dem Monitor über Name und Positionsbeschreibung hinaus vorgeworfene Pflichtverletzungen (Sachverhalt, be- und entlastende Umstände), Identität des Hinweisgebers (Pseudonym) und Identität von Zeugen (Pseudonym) offengelegt. Bei der Übermittlung der Dokumente sind keine Klarnamen offengelegt worden, sondern es erfolgte eine Pseudonymisierung: "Subject" für Beschuldigter, "Whistleblower" für Hinweisgeber, "Witness" für Zeuge und "Supervisor of Subject" für Vorgesetzte. Die Pseudonyme wurden nummeriert (Subject 1, Subject 2 usw.). Weitergehende Angaben zu den datenschutzrechtlich Betroffenen, die eine Identifikation ermöglicht hätten, wurden geschwärzt (z. B. "Geschäftsführer einer bestimmten Gesellschaft"). Darüber hinaus erhielt der Monitor zu den Pseudonymen Kenntnis zu vorgeworfenen Pflichtverletzungen (Sachverhalt, be- und entlastende Umstände).

5. Vorwurf zu 5)

Die Betroffene führt zwei Excel-Listen für unterschiedliche Verantwortlichkeiten im Personalwesen und will hiermit ihren Pflichten zur Umsetzung einer ordnungsgemäßen Compliance-Organisation nachkommen. In diese Excel-Listen wird in pseudonymisierter Form Fehlverhalten von Beschäftigten der Ebene des Management-Kreises (MK) und des Oberen Management-Kreises (OMK) (Liste 1) sowie der Ebene des Top-Management-Kreises (TMK) und von Mitgliedern des Vorstands (Liste 2) eingetragen. Geführt werden die Listen jeweils von der fachlich zuständigen Personalabteilung. Erfasst wird Fehlverhalten, welches in das jeweils zuständige Gremium für Disziplinarmaßnahmen überführt wird. Die Listen werden in dem Dokumentenmanagementsystem (DMS) der Betroffenen bearbeitet und abgespeichert. Mit Anfrage vom 13.05.2020 bat der Monitor um Offenlegung von Testing-Dokumenten im Zusammenhang mit der "HR Key Initiative". Mit der Einzelfaltentscheidung Nr. 38, freigegeben durch XXX mit Entscheidung vom 14.05.2020, wurde entschieden, dass die folgenden mit der Personalnummer des betroffenen Mitarbeiters verbundenen Informationen offengelegt werden:

• Datum der Sitzung des Disziplinarkomitees bzw. des Personalausschusses

• Information, ob die betroffenen Mitarbeiter in einer der genannten Excel-Liste enthalten sind, sowie ob das 4-Augen-Prinzip gewahrt wurde

• Nachweis der Dokumentation der Pflichtverletzung im DMS, falls es sich um eine "other regulatory violation" handelt

In pseudonymisierter Form wurde offengelegt, dass dem datenschutzrechtlich Betroffenen ein Fehlverhalten bzw. eine Pflichtverletzung vorgeworfen wurde. Der Monitor wollte nachvollziehen, ob hierzu Sitzungen des Disziplinarkomitees bzw. des Personalausschusses stattgefunden haben und ob die Vorgänge ordnungsgemäß dokumentiert und listenmäßig (Excel-Listen, s.o.) erfasst wurden. Mit den offengelegten personenbezogenen Daten konnte der Schluss gezogen werden, dass der Verdacht einer Pflichtverletzung bestand, nicht um welche konkret es sich gehandelt hat und auch nicht, ob sich der Verdacht bestätigt und zu Konsequenzen geführt hat.

6. Vorwurf zu 6)

Im Rahmen von Testings im "Fast Lane"- Prozess informierte die Betroffene nicht über die konkrete Offenlegung der personenbezogenen Daten, insbesondere über Daten zu "Findings" bei Background-Checks und konzerninternen Abfragen, Eintragungen in Excel-Tabellen (zu Mitarbeiter-Fehlverhalten), fristlose Kündigungen sowie aufgeschobenen bzw. nicht erfolgten Beförderungen zum Top-Management-Kreis aufgrund von Erkenntnissen im Background-Check.

aa) Testing CA03 - Prozess bei Feststellungen im Integritätstest

Es wurde nicht über die Offenlegung der personenbezogenen Daten informiert, insbesondere über Daten zu "Findings" bei Background-Checks und konzerninternen Abfragen, Eintragungen in Excel-Tabellen (zu Mitarbeiter-Fehlverhalten), fristlose Kündigungen sowie aufgeschobenen bzw. nicht erfolgten Beförderungen zum Top-Management-Kreis aufgrund von Erkenntnissen im Background-Check.

aa) Testing CA03 - Prozess bei Feststellungen im Integritätstest

Beim "Testing Template - CA03" wurde überprüft, dass im Falle von Feststellungen beim Integritätstest (Background-Check für BoM, TMK, OMK und MK) der Prozess, der die Beteiligung des Review Committee beinhaltet, durchgeführt wurde. Diese Testreihe wurde zwischen dem 04.02.2020 und Juli 2020 durchgeführt. Der Test bezieht sich auf Beförderungen zum 01.03.2019 (OMK), 01.07.2019 (MK) und 01.01.2020 (TMK) sowie auf externe Bewerbungen in der Zeit vom 01.10.2019 bis 16.11.2019 an 6 VW-Standorten. Es wurden 186 Personen getestet (76 MK, 82 OMK, 17 TMK, 11 externe Bewerbungen). Die Testergebnisse wurden tabellarisch festgehalten. Die betroffenen Beschäftigten oder Bewerber wurde jeweils durch ihre Personalnummer pseudonymisiert. Vermerkt wurde u. a. das Datum des Background-Checks, ob es Erkenntnisse beim Background-Check gab (YES/NO), ob das Review Committee durchgeführt wurde und ob es Empfehlungen des Review Committee gab, wie das Review Committee zusammengesetzt war, ob dessen Empfehlungen in der Personalakte dokumentiert wurden, ob die Entscheidung des Personalausschusses im Einklang mit den Empfehlungen steht und ob der Kandidat eingestellt oder befördert wurde. Sample Nr. 24 betraf den Beschäftigten mit der Personalnummer XXX Im Rahmen eines Beförderungsverfahrens zum Top-Management-Kreis (TMK) wurden in einem durchgeführten Background- Check Erkenntnisse gefunden. Das Review Committee bestehend aus den Vorstandsmitgliedern XXX, XXX und XXX empfahl, die Beförderung aufzuschieben aufgrund laufender Ermittlungen (S. 3, Spalte 12 "Promotion postponed due to ongoing investigation"). Es ist vermerkt, dass die Beförderung nicht erfolgt ist (S. 5, Spalte 19). Sample Nr. 30 betraf den Beschäftigten mit der Personalnummer XXX. Auch hier wurden im Rahmen eines Beförderungsverfahrens zum Top-Management-Kreis (TMK) in einem durchgeführten Background-Check Erkenntnisse gefunden. Auch dort wurde vermerkt, dass die Beförderung aufgeschoben wurde ("Promotion postponed due to ongoing investigation") und nicht erfolgt ist (Spalte 19). Die betroffenen Beschäftigten, deren Integrität überprüft wurde, wurden über diese Offenlegung ihrer pseudonymisierten Daten an den Monitor nicht informiert.

bb) Testing CA13- Integritäts-Checks

Die Durchführung von transparenten Integritäts-Checks (Background-Checks) bei Bewerbungen und Beförderungen wurde für bestimmte Management-Ebenen festgelegt. Im Rahmen des Tests "Testing Template - CA13" wurde eine repräsentative Stichprobe von MK-, OMK-, TMK- und BoM-Bewerbungen/ Beförderungen überprüft (Management-Kreis (MK), Oberer Management-Kreis (OMK), Top-Management- Kreis (TMK), Board of Management (BoM)). Diese Testreihe wurde zwischen dem 12.02.2020 und Juli 2020 durchgeführt. Der Test bezieht sich auf Beförderungen zum 01.03.2019 (OMK), 01.07.2019 (MK) und 01.01.2020 (TMK) sowie auf externe Bewerbungen in der Zeit vom 01.10.2019 bis 16.11.2019 an 6 VW-Standorten. Es wurden 186 Personen getestet (76 MK, 82 OMK, 17 TMK, 11 externe Bewerbungen). Spiegelbildlich zu den Ergebnissen aus Testing Template - CA03 sind folgende Ergebnisse dokumentiert: Sample Nr. 24 betraf den Beschäftigten mit der Personalnummer XXX und dessen angestrebte Beförderung zum Top-Management-Kreis (TMK). Es wurde vermerkt, dass zu diesem Beschäftigten die Abfragen "Group Security", "Group Investigation Office" und "Group / Brand Audit" "FINDINGS" ergeben hätten (Spalten 19-21). Als Gesamtergebnis zum lntegritäts-/Background-Check wurde "Finding" angegeben (Spalte 24). Es wurde notiert, dass keine Beförderung erfolgt ist (Spalte 27). Die Abfrageergebnisse wurden als Dokumentenverweise beigefügt, die laut Dokumentenname geschwärzt wurden (Spalte 28). Sample Nr. 30 betraf den Beschäftigten mit der Personalnummer XXX und dessen angestrebte Beförderung zum Top-Management-Kreis (TMK). Es wurde vermerkt, dass zu diesem Beschäftigten die Abfragen "Group Security" und "Group Investigation Office" "FINDINGS" ergeben hätten (Spalten 19-20). Als Gesamtergebnis zum lntegritäts-/Background- Check wurde "Finding" angegeben (Spalte 24). Es wurde notiert, dass keine Beförderung erfolgt ist (Spalte 27). Die Abfrageergebnisse wurden als Dokumentenverweise beigefügt, die laut Dokumentenname geschwärzt wurden (Spalte 28). Sample Nr. 29, 31 und 32 betrafen die Beschäftigten mit den Personalnummern XXX, XXX und XXX am Standort Wolfsburg, die im Rahmen der angestrebten Beförderung zum "Brand Board Member" überprüft wurden. Hier ergab jeweils die Abfrage "Dienstleister" ein "FINDING". Die Beförderungen sind letztlich aber erfolgt. Bei Sample Nrn. 33-36, die Beförderungen zum Managementkreis (MK) oder oberen Managementkreis (OMK) betrafen, gab es ebenfalls "Findings" bei einzelnen Abfragen, die Beförderungen sind aber trotzdem erfolgt.

Die betroffenen Beschäftigten, deren Integrität überprüft wurde, wurden über diese Offenlegung ihrer pseudonymisierten Daten an den Monitor nicht informiert.

cc) Testing CA06 - Test zur Dokumentation von Fehlverhalten

Beim "Testing Template - CA06" wurde überprüft, dass bestätigtes Fehlverhalten ("confirmed misconduct") dokumentiert und berücksichtigt wird in Bezug auf die Management-Vergütung auf allen Management- Ebenen. Insbesondere wurde geprüft, ob angemessene Prozesse und Kontrollen bestehen, um zu verifizieren, dass die Mitarbeitergruppe mit bestätigtem Fehlverhalten vollständig und richtig ist. Geprüft wurde, ob die Vollständigkeit einer Excel-Liste (zu Mitarbeiter-Fehlverhalten) im Vier-Augen-Prinzip geprüft wurde. Diese Testreihe wurde zwischen dem 16.01.2020 und Juli 2020 durchgeführt. Es wurden 32 Personen getestet aus dem oberen Managementkreis (OMK) und dem Managementkreis (MK). Die Testergebnisse wurden tabellarisch festgehalten. Die betroffenen Beschäftigten wurde jeweils durch ihre Personalnummern pseudonymisiert. Es wurde festgehalten, ob der Beschäftigte in der "Excel-Liste" enthalten ist und nach dem Vier- Augen-Prinzip kontrolliert wurde (S. 3, Spalte 7). Weiter wurden im Zusammenhang mit "CA06" 26 Personen aus dem Board of Management (BoM) und dem Top Management-Kreis (TMK) überprüft. Die Testergebnisse wurden tabellarisch festgehalten. Der betroffene Beschäftigte wurde jeweils durch seine Personalnummer pseudonymisiert. Es wurden das Datum der Sitzung des Disziplinarkomitees (S. 2, Spalte 5) sowie der Eintrag in der "Excel-Liste" und die Kontrollen nach dem Vier-Augen-Prinzip (S. 3, Spalte 7) festgehalten. Offenbar enthält die Tabelle Beschäftigte, denen Fehlverhalten vorgeworfen wurde. Sample Nr. 4 betrifft beispielsweise den Beschäftigten mit der Personalnummer XXX aus dem oberen Managementkreis (OMK), bei dem "fristlose Kündigung" (termination without notice) angegeben wird (Spalte 4).

7. Vorwurf zur Ziff 7.

Die Dokumente "Listing Investigation Persons" und "Whistleblower and Special Investigation Audits", von denen die Betroffene beabsichtigte, diese gegenüber dem Monitor offenzulegen, enthalten Klarnamen von Beschäftigten der Betroffenen, die Hinweise im internen Hinweisgebersystem bearbeiten. Enthalten sind weiter Informationen zur Ausbildung, zu den Werdegängen, zu den beruflichen Stationen im Konzern der Betroffenen und Informationen, die dem privaten Bereich zugeordnet werden können, z. B. die Mitgliedschaft in einer freiwilligen Feuerwehr, eine Schöffentätigkeit am Arbeitsgericht oder Experte in Martials Arts. Diese Angaben erfolgten von den Mitarbeitern, die mit dem Monitor zusammenarbeiteten, proaktiv und freiwillig zum Zweck des Monitorings.

III.

Diese Feststellungen beruhen auf der Einlassung der Betroffenen sowie auf den unter I. und II. genannten Urkunden.

Die Betroffene hat die Einzelfallentscheidungen und die Zurverfügungstellung von Daten gegenüber dem Monitor eingeräumt. Insbesondere hat sie zum Vorwurf zu Ziff. 7 eingeräumt, dass sie dem Monitor Klarnamen von im Hinweisgebersystem tätigen Beschäftigten mitgeteilt habe. Die Namen seien dem Monitor aufgrund der bisherigen Zusammenarbeit aber bereits bekannt gewesen. Die mitgeteilten Hobbys und Freizeitaktivitäten hätten die Mitarbeiter selbst freiwillig für den Zweck der Weitergabe an den Monitor angegeben bzw. zusammengestellt. Auch darüber hinaus seien die Mitarbeiter darüber informiert, dass ggf. Klarnamen oder andere Klardaten gegenüber dem Monitor offengelegt werden können. Dies wird auch durch die Angabe des Zeugen XXX bestätigt, der sämtliche Anfragen des Monitors bearbeitet habe. Alle mit den Untersuchungen im Hinweissystem betrauten Personen hätten ein eigens hierfür erstelltes Template mit ihren jeweiligen persönlichen Daten (Name, Alter, Ausbildung, Zusatzqualifikationen, beruflicher Werdegang und Konzernzugehörigkeit) ausgefüllt und hätten ihm dieses zum Zweck der Zusammenfassung und Übersendung an den Monitor gesendet. Ihm und den Kollegen sei der Inhalt und der Zweck der Datenlieferung bewusst gewesen. Dies wird von den weiteren Mitarbeitern der Konzernsicherheit, den Zeugen XXX und XXX bestätigt. Demgegenüber liegen keine Beweismittel dafür vor, dass die Daten nicht freiwillig zum Zweck des Monitorings bei den Mitarbeitern erhoben wurden. Tatsächlich ging der beanstandeten Weitergabe der Liste keine Einzelfallentscheidung voraus. Das spricht bereits für die Darstellung der Betroffenen, wonach die Daten von den betroffenen Personen selber zum Zwecke der Weitergabe an den Monitor erhoben wurden. "Inhalte privater Natur" sollten nach dem sog. "Redaction Guide" geschwärzt werden. D.h. die Weitergabe von der Betroffenen erhobener privater Daten hätte daher aufgrund einer vorherigen Einzelfallentscheidung erfolgen müssen.

IV.

Die Betroffene war hinsichtlich der Vorwürfe zu 1 - 6 aus rechtlichen Gründen freizusprechen. Hinsichtlich des Vorwurfs zu Ziff. 7 war die Betroffene aus tatsächlichen Gründen freizusprechen.

Die Betroffene hat nach den Feststellungen der Kammer nicht gegen Artikel 58 Absatz 2 lit. i in Verbindung mit Artikel 83 Absatz 1, Absatz 2, Absatz 5 lit. b, Artikel 13 Absatz 3 Datenschutz-Grundverordnung (nachfolgend DS-GVO) verstoßen.

1.

Die Offenlegung einer um Klarnamen ergänzten Liste von aktuellen und ehemaligen Mitarbeitern mit "direct knowledge" zum Diesel-Fehlverhalten auf Grundlage der Einzelfallentscheidung Nummer 06.1 vom 1.3.2019 ohne vorherige Information von fünf datenschutzrechtlich betroffenen Personen (Gegenstand des Vorwurfs Nr. 1 im Bußgeldbescheid) bewertet die Kammer nicht als Verstoß gegen die nach Art. 13 Abs. 3 DSGVO gebotene Information der betroffenen Personen über eine Weiterverarbeitung zu einem anderen Zweck als dem, für den die personenbezogenen Daten erhoben wurden.

Der aus Art. 13 Abs. 3 DSGVO resultierenden Informationspflicht ist durch die allgemeinen Informationen in der Universellen Datenschutzerklärung, dem Informationsschreiben/FAQ vom 24.11.2017 sowie den "Wichtigen datenschutzrechtlichen Informationen im Zusammenhang mit dem Monitorship bei der Volkswagen AG vom 20.9.2018" Genüge getan.

Letztere benennt als an den Monitor ggfs. zu übermittelnde personenbezogene Daten ausdrücklich den Namen, die Funktions- und Positionsbeschreibung im Unternehmen, dienstliche Kontaktinformationen, Arbeitsprodukte wie Präsentationen, Organigramme, Protokollangaben und Angaben über arbeitsrechtliche Maßnahmen. Dass es dabei um "direct knowledge" (oder auch nicht) im Zusammenhang mit dem Diesel-Fehlverhalten gehen würde, versteht sich nach dem Gegenstand des Monitorships von selbst.

Die Mitarbeiter wurden darüber informiert, dass sie berechtigt sind, gegebenenfalls erteilte Einwilligungen in eine Übermittlung personenbezogener Daten an den Monitor jederzeit ohne Angabe von Gründen und ohne Risiko nachteiliger Folgen für die Zukunft zu widerrufen und auf die allgemeinen Ansprüche auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung sowie Widerspruch gegen die Verarbeitung hingewiesen. Ein Hinweis auf das Widerspruchsrecht befindet sich auch in der Universellen Datenschutzerklärung für Beschäftigte der Volkswagen AG in hervorgehobener Form.

Einer zusätzlichen individuellen Benachrichtigung der Mitarbeiter bedurfte es nach Auffassung der Kammer nicht. Eine bestimmte Form der Unterrichtung der betroffenen Person, etwa durch individuelles Anschreiben o.ä., sieht Artikel 13 DSGVO nicht vor. Vielmehr genügt es nach dessen Absatz 4, dass "die betroffene Person bereits über die Informationen verfügt".

Allerdings greift Art. 13 Abs. 4 DSGVO nur, wenn die betroffene Person gerade über die mitzuteilenden Informationen verfügt. Der Informationsstand der betroffenen Person muss daher in Ausmaß, Genauigkeit und Klarheit den Informationen entsprechen, die der Verantwortliche der betroffenen Person zur Verfügung stellen muss. Nicht ausreichend ist es daher, wenn die betroffene Person lediglich über weniger umfassende, präzise oder klare Informationen verfügt, aus denen sie - gegebenenfalls mit Zusatzwissen - auf die mitzuteilenden Informationen schließen könnte. Soweit die Informationspflichten des Art. 13 reichen, wird der betroffenen Person vielmehr gerade nicht zugemutet, solche Schlüsse eigenständig zu ziehen (Bäcker in Kühling/Buchner, DSGVO BDSG 4. Aufl., Art. 13 DSGVO Rn. 84).

Im vorliegenden Fall sind jedoch keine Feststellungen dazu getroffen, dass dem Monitor über die Namen hinaus weitere personenbezogene Informationen zur Einsichtnahme zur Verfügung gestellt wurden. Somit ergibt sich auch aus dem Inhalt der Weiterverarbeitung nicht die Notwendigkeit einer über die allgemeinen Informationen hinausgehenden individuellen Unterrichtung der betroffenen Mitarbeiter.

2.

Entsprechendes gilt auch hinsichtlich der Einzelfallentscheidung Nr. 11 vom 22.3.2019, dem Monitor unter anderem bei regulären Bonusdurchsprachen, die keine Leistungskürzungen zum Gegenstand hatten, Namen von Beschäftigten und Bonus offenzulegen (Gegenstand des Vorwurfs Nr. 2. b. des Bußgeldbescheides).

Zwar war davon auszugehen und davon ging auch die besagte Einzelfallentscheidung aus, dass der Monitor durch die Teilnahme an einzelnen Bonusdurchsprachen Kenntnis von verschiedenen, über den Namen und die Positionsbeschreibung hinausgehenden personenbezogenen Daten, erhalten würde.

Es kann jedoch nicht festgestellt werden, dass diese Daten überhaupt unter die Informationspflicht nach Art. 13 DSGVO fielen. Dieser Artikel erfasst nämlich nur personenbezogene Daten, die bei der betroffenen Person erhoben wurden. Demgegenüber dürften Gegenstand von Bonusdurchsprachen vorwiegend Erkenntnisse, Informationen, Schlussfolgerungen und Meinungen dritter Personen, nämlich Vorgesetzter, Kollegen, Betriebsräte o.ä. sein.

Zwar ist auch für den Fall, dass die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden, in Art. 14 Abs. 4 DSGVO eine Pflicht zur Information des Betroffenen über eine beabsichtigte zweckändernde Weiterverarbeitung vorgesehen. Voraussetzung ist jedoch, dass der sachliche Anwendungsbereich der DSGVO überhaupt eröffnet ist.

Gemäß Art. 2 Abs. 1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Dabei versteht die DSGVO nach Art. 4 Nr. 6 unter Dateisystem "jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geführt wird". Wichtig ist also, dass eine strukturierte Sammlung vorliegt (vgl. Kühling/Buchner/Herbst, DSGVO BDSG 4. Aufl. Art. 2 DSGVO Rn. 18).

Die manuelle Erfassung ohne Dateisystem wird also vom Anwendungsbereich der DSGVO nicht erfasst. Die darin ggfs. zu erblickende Schutzlücke (s. Kühling/Buchner/Herbst, aaO, Art. 2 DSGVO Rn. 18) ist durch § 1 Abs. 8 BDSG nur für die Datenverarbeitung durch öffentliche Stellen geschlossen.

Im vorliegenden Fall konnten keine Feststellungen dazu getroffen werden, ob und inwieweit Gegenstand der Bonusdurchsprachen Informationen waren, die im Sinne des Art. 2 Abs. 1 DSGVO in einem Dateisystem gespeichert waren oder gespeichert werden sollten - oder ob es sich bloß um individuelle, skizzierte Vermerke und persönliche Aufzeichnungen oder gar mündlich geäußerte Meinungen der jeweiligen Vorgesetzten handelte. Eine nachträgliche Aufklärung des Inhalts der mehrere Jahre zurückliegenden Bonusdurchsprachen kommt nach Auffassung der Kammer nicht mehr in Betracht, zumal auch keine Erkenntnisse dazu vorliegen, welche Mitarbeiter der Betroffenen von der Entscheidung betroffen waren, die Gegenstand des Vorwurfs Nr. 2. b. ist.

3.

Im Hinblick auf den Vorwurf zu Ziff. 7 begründen die festgestellten Tatsachen keinen Verstoß gegen die DSGVO. Jedenfalls waren die betroffenen Mitarbeiter gemäß Art. 13 Abs. 4, Art. 14 Abs. 5 lit. a DSGVO umfassend informiert.

4.

Soweit der überwiegenden Zahl der im Bußgeldbescheid beanstandeten Verstöße im Übrigen anstelle von Klarnamen nur die Weitergabe von Personalnummern der Mitarbeiter zugrundeliegt - das betrifft die Vorwürfe Nr. 2. a. und c., 3., 4., 5. und 6. - ist bereits zweifelhaft, ob diese überhaupt als personenbezogene Daten anzusehen sind.

Die im Bußgeldbescheid unter "Weitere Erläuterung" zu b) dargelegte Auffassung des LfD, dass die Mitteilung pseudonymisierter Informationen an den Monitor (Personalnummern) ebenso zu bewerten und zu behandeln sei wie die Mitteilung von Klarnamen, teilt die Kammer nicht.

Nach der Entscheidung des EuG vom 26.4.2023 (T-557/20) ist für die Beurteilung, ob eine Pseudonymisierung oder Anonymisierung vorliege, auf die Sichtweise des Empfängers abzustellen.

Im vorliegenden Fall sind an den Monitor überwiegend pseudonymisierte Daten übermittelt worden. Zwar hat, wie der vorliegende Sachverhalt zeigt, VW sich einem Ansinnen der Offenlegung von Klarnamen im Ergebnis nicht widersetzt, sodass (worauf der EuGH in dem sogenannten Breyer-Urteil abstellt) der Monitor grundsätzlich die Möglichkeit gehabt hätte, eine Identifizierung zu verlangen und ihm dieses auch klar war.

Die Pseudonymisierung kommt hier jedoch einer Anonymisierung tatsächlich sehr nahe (Stichwort: anonymisierende Pseudonymisierung). Der außerhalb des Betriebes stehende, im Ausland befindliche Monitor war nämlich nicht in der Lage, die Personalnummern bestimmten Personen zuzuordnen. Die Annahme des LfD, dass dieses "aufgrund von Datenerhebungen und Datenverknüpfungen und geführten Gesprächen durchaus in bestimmten Fällen möglich gewesen sein dürfte" ist spekulativ und verkennt, dass der Monitor dazu gar keine Veranlassung hatte, weil er nach den vertraglichen Vereinbarungen die Offenlegung von Klarnamen hätte verlangen können. Solange er dies nicht tat und sich mit den Personalnummern begnügte, waren die dahinterstehenden Personen für ihn quasi anonym.

Letztlich kann die Frage, ob unter diesen Umständen bereits von einer Anonymisierung auszugehen ist, hier jedoch dahingestellt bleiben, zumal die vorgenannte Entscheidung des EuG vom 26.04.2023 nicht rechtskräftig ist.

Jedenfalls ist nach Auffassung der Kammer der aus Art. 13 DSGVO resultierenden Informationspflicht durch die allgemeinen Informationen in der Universellen Datenschutzerklärung, dem Informationsschreiben/FAQ vom 24.11.2027 sowie den "Wichtigen datenschutzrechtlichen Informationen im Zusammenhang mit dem Monitorship bei der Volkswagen AG vom 20.9.2018" Genüge getan.

Die Mitarbeiter waren durch die zahlreichen Informationen - schriftlich wie mündlich im Rahmen der Betriebsveranstaltungen - hinreichend über die Tätigkeit des Monitors, den Gegenstand seiner Untersuchungen und seine Berechtigungen aufgrund der Vereinbarungen mit der Betroffenen informiert. Die Offenlegung pseudonymisierter Personaldaten war davon im Sinne des Art. 13 Abs. 3 und 4 DSGVO in jedem Fall abgedeckt, zumal diese, wie oben bereits ausgeführt, für den Monitor als Empfänger quasi anonym waren und nach der Struktur des Monitorings mit einer eventuellen Aufforderung des Monitors zur Benennung von Klarnamen nicht regelmäßig, sondern allenfalls in exemplarischen Ausnahmefällen zu rechnen war.

Zu den Aufgaben des Monitors gehörte es nämlich nicht, rechtliches Fehlverhalten der XXX oder einzelner ihrer Mitarbeiter, die bislang nicht Gegenstand der Verfahren gegen die XXX waren, zu ermitteln oder den US-Behörden zur Kenntnis zu bringen. Das Mandat des Monitors war vielmehr darauf ausgerichtet, die Compliance-Strukturen des Unternehmens zu Beginn des Monitorships zu analysieren, Verbesserungsvorschläge zu unterbreiten und die Umsetzung dieser Vorschläge zu überwachen. Das Recht des Monitors, die Benennung bestimmter verantwortlicher Personen zu verlangen, diente nicht dem Ziel, gegen diese Personen weiter zu ermitteln oder vorzugehen, sondern lediglich der Probe aufs Exempel, ob und inwieweit die Betroffene tatsächlich zur Zusammenarbeit mit dem Monitor und Aufarbeitung des Sachverhalts bereit war. Das geht auch aus der Darstellung im Bußgeldbescheid nicht anders hervor.

Strengere Anforderungen an die Umsetzung der Informationspflicht hätten daher allenfalls durch die Aufforderung des Monitors zur Preisgabe der hinter den Personalnummern stehenden Klarnamen ausgelöst werden können, was hier jedoch nicht zu überprüfen ist.

Im Übrigen sind die Vorwürfe von der Bußgeldbehörde gemäß § 47 Abs. 1 OWiG eingestellt worden.

V.

Die Kostenentscheidung beruht auf § 46 Abs. 1 OWiG in Verbindung mit § 467 Abs. 1 StPO.