Können Mitarbeiter beim Datenschutzverstoß haften?

Einleitung

Immer häufiger stellen sich Unternehmen die Frage, ob Mitarbeiter persönlich haften, wenn sie eigenmächtig personenbezogene Daten verarbeiten. Grundsätzlich haften zunächst Unternehmen für Datenschutzverstöße, welche durch Mitarbeiter verschuldet werden. In diesem Beitrag erfahren Sie, unter welchen Umständen ein sogenannter „Mitarbeiterexzess“ vorliegt und wann Mitarbeiter selbst als Verantwortliche nach der DSGVO gelten könnten.

Was ist ein Mitarbeiterexzess?

Die Datenschutz-Grundverordnung (DSGVO) bestimmt grundsätzlich, dass Unternehmen oder Organisationen als Verantwortliche für die Verarbeitung personenbezogener Daten gelten. Beschäftigte handeln in der Regel nur im Auftrag ihres Arbeitgebers und sind daher nicht eigenständig verantwortlich.

Ein Mitarbeiterexzess liegt jedoch vor, wenn Beschäftigte personenbezogene Daten eigenmächtig, also ohne Anweisung des Arbeitgebers, zu privaten Zwecken oder aus anderen dienstfremden Motiven verarbeiten. Typische Fälle sind:

1. Mitarbeiter ruft personenbezogene Daten von Kunden aus betrieblichen Datenbanken für private Zwecke ab.
2. Beschäftigte nutzen dienstliche Daten, um eigene geschäftliche Interessen zu verfolgen.
3. Polizeibeamte fragen private Daten aus behördlichen Datenbanken ohne dienstlichen Grund ab.

Wann wird ein Mitarbeiter selbst zum Verantwortlichen im Datenschutz?

​Ob Beschäftigte bei eigenmächtigen Handlungen selbst als Verantwortliche haften, hängt insbesondere davon ab, ob sie über die Zwecke („Wofür?“) und die Mittel („Wie?“) der Verarbeitung entscheiden. Die Behörden und Gerichte vertreten dabei unterschiedliche Auffassungen. Folgende Praxisbeispiele möchten wir hervorheben:

1. Bayern: Beschäftigte haften in der Regel nicht, wenn sie Daten lediglich zweckwidrig aus betrieblichen Systemen abrufen. Erst wenn sie arbeitgeberfremde Mittel einsetzen, haften sie selbst.
2. Baden-Württemberg, Hessen und NRW: Beschäftigte werden eigenständig verantwortlich, wenn sie personenbezogene Daten privat nutzen, und handeln damit außerhalb ihrer dienstlichen Aufgaben.
3. Niedersachsen und Hamburg: Beschäftigte gelten als eigenverantwortlich, wenn sie klar und vorsätzlich aus privaten Motiven handeln und dies nicht dienstlich genehmigt ist.
4. Europäischer Datenschutzausschuss (EDSA): Beschäftigte sind eigenverantwortlich, sobald sie die Datenverarbeitung für andere Zwecke nutzen, als vom Arbeitgeber vorgesehen.

Wichtige Gerichtsurteile

Die Rechtsprechung hat sich in den letzten Jahren intensiv mit der Frage beschäftigt, wann Beschäftigte bei Datenschutzverstößen eigenverantwortlich haften. Ein zentrales Urteil stammt vom Oberlandesgericht (OLG) Stuttgart. In einem Fall hatte ein Polizeibeamter ohne dienstlichen Anlass Daten aus dem polizeilichen Informationssystem „POLAS“ abgerufen, um Informationen über einen Kollegen zu erhalten. Das OLG entschied, dass der Beamte dabei eigenverantwortlich im Sinne des Art. 4 Nr. 7 DSGVO handelte, da er bewusst und willentlich außerhalb seiner dienstlichen Aufgaben agierte.

Das Gericht betonte, dass solche eigenmächtigen Handlungen nicht dem Verantwortungsbereich des Arbeitgebers zuzurechnen sind und der Beschäftigte somit selbst als Verantwortlicher haftet.

Auch das Verwaltungsgericht (VG) Mainz hat in einem Urteil klargestellt, dass ein Arbeitgeber nicht für Datenschutzverstöße haftet, wenn ein Beschäftigter eigenmächtig und ohne Weisung personenbezogene Daten verarbeitet. In dem Fall hatte ein Mitarbeiter Daten aus behördlichen Datenbanken für private Zwecke genutzt. Das VG stellte fest, dass der Beschäftigte durch sein Verhalten die Schwelle zum eigenständigen Verantwortlichen überschritten hatte.

Diese Urteile verdeutlichen, dass Beschäftigte bei vorsätzlichen oder grob fahrlässigen Datenschutzverstößen, die außerhalb ihrer dienstlichen Aufgaben liegen, persönlich haftbar gemacht werden können.

Folgen für Mitarbeiter

Wenn Beschäftigte eigenmächtig personenbezogene Daten verarbeiten und dabei gegen die DSGVO verstoßen, können sie mit erheblichen Konsequenzen rechnen:

1. Bußgelder: Datenschutzaufsichtsbehörden können gegen Beschäftigte Bußgelder verhängen.
2. Schadensersatzansprüche: Betroffene Personen können nach Art. 82 DSGVO Schadensersatz verlangen, wenn ihnen durch den Datenschutzverstoß ein materieller oder immaterieller Schaden entstanden ist.
3. Arbeitsrechtliche Konsequenzen: Je nach Schwere des Verstoßes drohen Abmahnungen, Versetzungen oder sogar fristlose Kündigungen. Ein vorsätzlicher Verstoß gegen Datenschutzbestimmungen kann das Vertrauensverhältnis zwischen Arbeitgeber und Arbeitnehmer nachhaltig zerstören.
4. Strafrechtliche Folgen: In besonders schweren Fällen, etwa bei der unbefugten Weitergabe sensibler Daten, können strafrechtliche Ermittlungen eingeleitet werden.

Es ist wichtig zu betonen, dass die persönliche Haftung von Beschäftigten nicht nur theoretischer Natur ist, sondern in der Praxis bereits mehrfach zur Anwendung kam.

Empfehlungen für Arbeitgeber

Um Datenschutzverstöße durch Beschäftigte zu verhindern und das Risiko von Mitarbeiterexzessen zu minimieren, sollten Arbeitgeber proaktiv handeln:

1. Klare Richtlinien und Schulungen: Erarbeiten Sie verbindliche Datenschutzrichtlinien und schulen Sie Ihre Mitarbeiter regelmäßig. Sensibilisieren Sie Mitarbeiter für den verantwortungsvollen Umgang mit personenbezogenen Daten und machen Sie deutlich, welche Konsequenzen Verstöße haben können.
2. Technische und organisatorische Maßnahmen (TOMs): Implementieren Sie geeignete Sicherheitsmaßnahmen, wie z.  Zugriffsbeschränkungen, Protokollierungen und regelmäßige Überprüfungen von Datenverarbeitungsprozessen. Diese Maßnahmen helfen, unbefugte Zugriffe frühzeitig zu erkennen und zu verhindern.
3. Verantwortlichkeiten klar definieren: Stellen Sie sicher, dass die Zuständigkeiten für die Datenverarbeitung eindeutig geregelt sind. Jeder Mitarbeiter sollte wissen, welche Daten er verarbeiten darf und welche nicht.
4. Meldesysteme etablieren: Ermutigen Sie Ihre Mitarbeiter, Datenschutzverstöße oder -bedenken zu melden. Ein transparentes Meldesystem kann helfen, Probleme frühzeitig zu identifizieren und zu beheben.
5. Regelmäßige Audits und Kontrollen: Führen Sie regelmäßige Überprüfungen Ihrer Datenschutzmaßnahmen durch. So können Sie Schwachstellen identifizieren und gezielte Maßnahmen zur Verbesserung ergreifen.

Durch diese proaktiven Maßnahmen können Arbeitgeber nicht nur Datenschutzverstöße verhindern, sondern auch ihre eigene Haftung im Falle eines Mitarbeiterexzesses reduzieren.