Die italienische Datenschutzaufsicht Garante hat gegenüber Amazon Italia Logistica ein sofortiges Verarbeitungsverbot für bestimmte Beschäftigtendaten angeordnet. Betroffen sind mehr als 1.800 Mitarbeitende eines Logistikzentrums in Passo Corese. Anlass waren Inspektionen im Februar 2026.
Im Fokus steht die systematische Erhebung und langfristige Speicherung sensibler Informationen über Beschäftigte. Der Fall zeigt exemplarisch, dass insbesondere HR-Prozesse, Rückkehrgespräche und interne Dokumentationssysteme datenschutzrechtlich hochsensibel sind und einer strengen Prüfung unterliegen.
Umfangreiche Datensammlung über Beschäftigte
Über eine interne Plattform, die mit dem Anwesenheitssystem verknüpft war, wurden personenbezogene Daten von Beschäftigten erfasst und zahlreichen Führungskräften zugänglich gemacht. Die Speicherung erfolgte über die Dauer des Arbeitsverhältnisses hinaus, teilweise bis zu zehn Jahre.
Die Informationen wurden im Rahmen von Gesprächen nach Abwesenheitszeiten erhoben. Dabei wurden nicht nur arbeitsbezogene Angaben dokumentiert, sondern auch medizinische Diagnosen, Hinweise auf Gewerkschaftsaktivitäten sowie private und familiäre Umstände.
Diese Praxis verdeutlicht ein zentrales Problem im Beschäftigtendatenschutz: Die Grenze zwischen organisatorisch notwendigen Informationen und unzulässiger Datensammlung wird schnell überschritten, wenn Gespräche nicht klar strukturiert und dokumentiert werden.
Aus Sicht der DSGVO ist hier insbesondere der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) betroffen. Unternehmen dürfen nur solche Daten erheben, die für den konkreten Zweck erforderlich sind. Rückkehrgespräche dürfen daher nicht dazu genutzt werden, sensible oder private Informationen systematisch zu erfassen.
Für die Praxis bedeutet das: Unternehmen sollten klare Leitlinien definieren, welche Inhalte in solchen Gesprächen dokumentiert werden dürfen und welche nicht. Zudem sollten Dokumentationssysteme so ausgestaltet sein, dass die Erfassung sensibler Daten technisch und organisatorisch begrenzt wird.
Unzulässige Verarbeitung sensibler Daten
Die Aufsichtsbehörde bewertete insbesondere die Verarbeitung von Gesundheitsdaten, Gewerkschaftsinformationen und privaten Angaben als unzulässig. Entscheidend war dabei, dass diese Daten nicht erforderlich für die Beurteilung der beruflichen Tätigkeit der Beschäftigten waren.
Gerade Gesundheitsdaten und Informationen zur Gewerkschaftszugehörigkeit zählen zu den besonders geschützten Datenkategorien nach der DSGVO. Ihre Verarbeitung ist nur unter sehr engen Voraussetzungen zulässig. Eine pauschale oder routinemäßige Erhebung solcher Daten im Rahmen interner Prozesse ist daher regelmäßig unzulässig.
Der Fall macht deutlich, dass Unternehmen vor jeder Verarbeitung prüfen müssen, ob eine tragfähige Rechtsgrundlage besteht und ob die Verarbeitung tatsächlich erforderlich ist.
Für die Compliance-Praxis bedeutet das: Prozesse im HR-Bereich sollten systematisch darauf überprüft werden, ob sie sensible Daten erfassen. Ist dies der Fall, muss im Einzelfall geprüft werden, ob dies rechtlich zulässig ist oder ob die Verarbeitung unterbleiben muss. Zudem sollten Zugriffsrechte auf solche Daten strikt beschränkt werden, um eine unkontrollierte Verbreitung innerhalb des Unternehmens zu verhindern.
Videoüberwachung ebenfalls unzulässig
Neben der Datenerhebung über die interne Plattform untersagte die Aufsichtsbehörde auch die Verarbeitung von Daten aus Überwachungskameras, die in der Nähe von Badezimmern und Pausenräumen installiert waren.
Dies zeigt, dass auch technische Maßnahmen wie Videoüberwachung strengen datenschutzrechtlichen Anforderungen unterliegen. Besonders in Bereichen, die der privaten Rückzugs- oder Erholungsfunktion dienen, ist eine Überwachung regelmäßig unzulässig.
Aus DSGVO-Sicht steht hier der Grundsatz der Verhältnismäßigkeit im Vordergrund. Unternehmen müssen vor dem Einsatz von Überwachungssystemen prüfen, ob diese erforderlich sind und ob weniger eingriffsintensive Maßnahmen zur Verfügung stehen.
Für die Praxis bedeutet das: Videoüberwachung sollte nur in klar definierten Bereichen und zu legitimen Zwecken eingesetzt werden. Sensible Bereiche sind grundsätzlich auszunehmen. Zudem sollten Unternehmen ihre bestehenden Überwachungssysteme regelmäßig überprüfen und dokumentieren, ob die Voraussetzungen weiterhin erfüllt sind.
Fazit
Der Fall zeigt deutlich, dass die Verarbeitung von Beschäftigtendaten mit erheblichen rechtlichen Risiken verbunden ist, wenn grundlegende DSGVO-Prinzipien nicht eingehalten werden. Besonders kritisch sind dabei die Erhebung sensibler Daten, weitreichende Zugriffsrechte und lange Speicherfristen.
Für Unternehmen ergibt sich daraus klarer Handlungsbedarf: HR-Prozesse, interne Plattformen und Dokumentationssysteme müssen konsequent an den Anforderungen der DSGVO ausgerichtet werden. Dabei stehen insbesondere die Grundsätze der Erforderlichkeit, Datenminimierung und Zweckbindung im Mittelpunkt.
Werden diese Anforderungen nicht beachtet, drohen nicht nur Bußgelder, sondern auch weitreichende Maßnahmen der Aufsichtsbehörden, bis hin zu unmittelbaren Verarbeitungsverboten, wie der vorliegende Fall eindrücklich zeigt.
