Datenskandal VW: Was wir darüber wissen sollten

Volkswagen kommt seit Jahren nicht zur Ruhe. Der Dieselskandal erschütterte ab 2015 das Vertrauen in den Konzern nachhaltig. Es folgten Probleme beim Hochlauf der Elektromobilität, massive Verzögerungen und Fehlinvestitionen in der Softwareentwicklung (Cariad), ein wachsender internationaler Wettbewerbsdruck – und zuletzt harte Einsparprogramme, bei denen Beschäftigte sparen müssen, während gleichzeitig Dividenden an Anteilseigner ausgeschüttet werden.

Vor diesem Hintergrund wirkt der nun bekannt gewordene Datenskandal bei der Konzerntochter Volkswagen Group Services (VWGS) nicht wie ein bedauerlicher Einzelfall, sondern wie ein weiteres Puzzlestück in einem größeren, strukturellen Problem.

Was ist passiert?

Wie zuerst Spiegel Online und anschließend unter anderem der NDR berichteten, sollen bei der Volkswagen Group Services über einen längeren Zeitraum hinweg persönliche Fehlzeiten und Krankheitsinformationen von rund 600 Mitarbeitenden in großen Konferenzen und Online‑Meetings diskutiert worden sein.

Die Details sind brisant:

Führungskräfte präsentierten PowerPoint‑Folien mit
- Klarnamen
- Anzahl und Dauer der Fehltage
- teils konkreten Krankheitsinformationen
Die Meetings fanden laut Berichten zweiwöchentlich seit Mitte 2025 statt
Beteiligte waren Projektleitungen, Personalverantwortliche und Führungskräfte

Besonders schwer wiegt, dass es sich bei Gesundheitsdaten um besonders schützenswerte personenbezogene Daten handelt.

Der Auslöser: Hoher Krankenstand als Rechtfertigung?

Als Hintergrund für die Präsentationen wird ein hoher Krankenstand, insbesondere in produktionsnahen Bereichen, genannt. Anstatt strukturelle Ursachen wie Arbeitsbelastung, Schichtsysteme oder Führung zu analysieren, wurde der Fokus offenbar auf individualisierte Betrachtungen einzelner Beschäftigter gelegt.

Medien berichten zudem, dass das interne Projekt unter dem Titel „Initiative Fehlzeitenquote“ lief und möglicherweise auch dazu diente, „auffällige“ Mitarbeitende zu identifizieren – bis hin zur Vorbereitung krankheitsbedingter Kündigungen. Die Geschäftsführung der VW Group Services erklärte, davon nichts gewusst zu haben; die Konzernrevision ermittelt.

Reaktionen: Aufklärung – aber auch Vertrauensverlust

Volkswagen Group Services teilte mit, man habe den Datenschutzverstoß selbst festgestellt und den Vorfall unverzüglich der niedersächsischen Datenschutzbehörde gemeldet. Betroffene Mitarbeitende sollen „transparent informiert“ werden.

Auch der VW‑Konzernbetriebsrat findet deutliche Worte: Man nehme den Vorfall sehr ernst und erwarte eine lückenlose Aufklärung. Entscheidend sei, dass Betroffene nicht den Erklärungen „hinterherlaufen“ müssten.

Mehrere Mitarbeitende haben laut Medienberichten angekündigt, rechtliche Schritte zu prüfen.

Welche Gesetze wurden verletzt?

Aus heutiger Sicht sprechen viele Indizien für klare Rechtsverstöße, insbesondere gegen:

Datenschutz‑Grundverordnung (DSGVO)

Art. 9 DSGVO: Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten und dürfen nur unter sehr engen Voraussetzungen verarbeitet werden.
Art. 5 DSGVO: Grundsätze wie Datenminimierung, Zweckbindung und Vertraulichkeit wurden offensichtlich missachtet.
Art. 32 DSGVO: Unzureichende organisatorische Maßnahmen zum Schutz sensibler Daten.

Bundesdatenschutzgesetz (BDSG)

Gesundheitsdaten von Beschäftigten dürfen nicht öffentlich oder in großen Führungskreisen verarbeitet werden, sofern dies nicht zwingend erforderlich ist.

Datenschutzexperten weisen darauf hin, dass betroffene Mitarbeitende unter Umständen Anspruch auf Schadensersatz haben könnten.

Unternehmenskultur und Führungskultur: Kein Zufall, sondern Ursache

Der Fall wirft eine grundsätzliche Frage auf: Wie konnte so etwas über Monate hinweg passieren, ohne dass jemand einschritt?

Datenskandale entstehen selten aus Unwissen. Sie entstehen aus Kultur:

aus einer Führungskultur, die Kontrolle über Vertrauen stellt
aus einer Unternehmenskultur, die Effizienz und Kennzahlen über Menschen stellt
aus einem System, in dem „Ziele erreichen“ wichtiger ist als rechtliche und ethische Grenzen

Volkswagen steht seit Jahren in der Kritik, Probleme reaktiv statt präventiv anzugehen. Ob Abgaswerte, Software, Transformation oder Personalpolitik – immer wieder zeigen sich dieselben Muster: hoher Druck, mangelhafte Governance, späte Einsicht.

Der Datenskandal bei VWGS passt exakt in dieses Bild.

Rückschluß

Volkswagen beteuert, aus Fehlern zu lernen. Doch Lernen zeigt sich nicht in Pressemitteilungen, sondern im tatsächlichen Handeln – und in einer Führungskultur, die Recht, Respekt und Verantwortung nicht als Hindernis, sondern als Grundlage begreift.

Solange Beschäftigte als Kostenfaktor betrachtet werden, während Dividendenstabilität oberste Priorität hat, werden Skandale wie dieser keine Ausnahme bleiben, sondern Symptome eines tieferliegenden Problems.

Das passt natürlich in die heutige Zeit, da ich mich mit Arbeitsmethoden und besserer Mitarbeiterintegration in Unternehmen beschäftige, um zum Beispiel Mitarbeitende „besser mitzunehmen“, um Akzeptanz zu stärken, ist dies ein Beleg dafür, dass es da und dort Differenzen gibt. Das ist nicht überall so, aber es nimmt zu.

Das mag an der allgemeinen wirtschaftlichen Situation liegen, ist aber auch ein Spiegel der Gesellschaft. Der Ton wird rauer, die Maßnahmen entsprechend. Das sich aber solche Meldungen auch auf Verkaufszahlen auswirken können, wird dabei völlig vergessen.

Handlungsempfehlungen

Ein solcher Vorfall kann von jedem Unternehmen und den Mitbestimmungsgremien aufgegriffen werden, um zum einen Datenschutzfragen einer, das sollte ja auch ohne Vorfall regelmäßig gemacht werden, zu prüfen und den Umgang mit Gesundheit in Betrieben zu prüfen.

Technisch und analog

Die Berichterstattung zu diesem Thema basiert auf reinen Datenschutzthemen. Damit ist es oft nicht getan. Die Quelle der Daten ist oft die Personalakte. Hier greift das so genannte Benutzer- und Berechtigungskonzept, was irgendwann einmal erarbeitet wurde. Wer hat also Zugriff auf die Personalakte, zu welchem Zweck, wann wird der Zugriff wieder entzogen und wird der Prozess dokumentiert, transparent. Am Ende des Tages hat nämlich der Mitarbeitende gesetzlich das Recht dazu, über die Art und Speicherung von Daten Informationen zu erhalten.

Oft macht es da Sinn, den Zugriff restriktiv zu halten. Lediglich Mitarbeitende selbst und der zuständige Sachbearbeiter des Personalwesens sollten berechtigt sein, Informationen einzusehen. Ein Zugriff über die direkte disziplinarische Führungskraft ist schon an Hürden gebunden und sollte sich auf Bestandteile der Personalakte beziehen, die für konkrete Zwecke benötigt werden. Da die Krankenkassen zum Beispiel keine Diagnosen übermitteln, kann man mit solchen daten bestenfalls nichts anfangen, außer den Daten, die vorhanden sind.

Anders verhält es sich mit Daten, die im Rahmen des betrieblichen Eingliederungsmanagement erstellt wurden. Das betriebliche Eingliederungsmanagement (BEM) ist in § 167 Abs. 2 SGB IX gesetzlich. Ziel des BEM ist es, gemeinsam mit der betroffenen Person sowie ggf. dem Betriebs- oder Personalrat und weiteren Stellen (z. B. Betriebsarzt) Maßnahmen zu entwickeln, um die Arbeitsunfähigkeit zu überwinden, erneuter Erkrankung vorzubeugen und den Arbeitsplatz zu erhalten. Die Teilnahme ist für Beschäftigte freiwillig, das Verfahren unterliegt strengen Datenschutz- und Vertraulichkeitsvorgaben, und es dient sowohl dem Gesundheitsschutz der Beschäftigten als auch der nachhaltigen Sicherung von Beschäftigung im Betrieb.

Die Daten, die dort erstellt wurden, sollten in einem gesonderten Bereich der Personalakte abgelegt werden. Besser noch abgeschirmt.

Faktor Mensch

Technisch kann man vieles so regeln, dass Daten sicher sind. Der Mensch jedoch ist kein System. Sensibilisierung und Ausbildung reichen oft nicht. Den Umgang mit Gesundheitsdaten sollte etwas natürliches sein, man hat ja auch immer selbst Sorge, was mit seinen Daten passiert und das möchte man anderen ja auch zugestehen.

Trotzdem, und da sind Unternehmen und Mitbestimmungsgremien gefragt, gibt es eben solche Fälle. Gerade wenn Mitarbeitende von Führungskräften um Daten gebeten werden, sollten Prozesse festgelegt und gelebt werden, die innerbetrieblich den Umgang regeln. Geht zum Beispiel eine Führungskraft auf einen Mitarbeitenden mit Zugriffsberechtigung zu, befindet sich der Mitarbeitende in einem Abhängigkeitsverhältnis (Arbeitsvertrag). Hier müssen Meldestellen existieren, funktionieren und gelebt werden, die den unerlaubten Zugriff so disziplinieren, dass der Mitarbeitende mit Zugriff geschützt wird und eben nicht „gegen das Gesetz verstoßen muss, um seinen eigenen Arbeitsplatz zu behalten“.