Veri sorumlusu bir şirket tarafından, çalışanların deneme süresinin sonunda işten çıkarılıp çıkarılmayacaklarını belirlemek amacıyla çalışanlarının özel nitelikli kişisel verilerinin yer aldığı bir veri tabanı oluşturulmuştur. Bahse konu veri tabanı, ''çalışanların psikolojik durumlarını, psikoterapi taleplerini ve bir işçi sendikasına katılma olasılıkları hakkındaki bilgileri'' içermekteydi. Bir ilgili kişi bu durum karşısında şikayette bulunmuş ve Berlin Veri Koruma Otoritesi tarafından işbu şikayet üzerine veri sorumlusu şirkete karşı bir soruşturma başlatılmıştır.
Otorite tarafından, veri sorumlusunun GDPR madde 9 fıkra (2)'yi ihlal ederek sağlık verileri de dahil olmak üzere çalışanlara ait özel nitelikli kişisel verileri hukuka aykırı bir şekilde işlediği tespit edilmiştir.
Otorite ayrıca, işveren ile çalışanlar arasındaki sözleşmenin bahse konu veri işleme faaliyeti için geçerli bir yasal dayanak olamayacağına hükmetmiştir. Otorite, belirli koşullar altında bir işverenin çalışanlarından özel nitelikli kişisel veriler de dahil olmak üzere belirli verileri paylaşmalarını talep edebileceğini kabul etmektedir. Fakat mevcut olayda bahse konu işleme faaliyetleri doğrudan çalışanlar tarafından iletilen verilere dayansa dahi, sözleşme bağlamında gereklilik arz etmemekte ve GDPR madde 5 fıkra (1) (b) bendi kapsamındaki ‘amaçla sınırlı olma’ ilkesini ihlal etmektedir.
Yukarıda belirtilenler ışığında, Berlin Veri Koruma Otoritesi tarafından veri sorumlusuna 215.000 Euro tutarında para cezası verilmiştir.