Datenschutz-Exzesse: Haftung von Beschäftigten und Unternehmen

Einleitung:
Seit Inkrafttreten der DSGVO drohen Unternehmen bei Datenschutzverstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Geschädigte Personen haben zudem Anspruch auf Schadensersatz. Üblicherweise haftet das Unternehmen, doch in Fällen eines "Exzesses" können auch Beschäftigte selbst zur Verantwortung gezogen werden.

Was ist ein Exzess?

Ein Exzess liegt vor, wenn Beschäftigte personenbezogene Daten in einer Weise verarbeiten, die nicht ihrer unternehmerischen Tätigkeit zugerechnet werden kann. Beispielsweise, wenn sie betriebliche Daten für private Zwecke nutzen. In solchen Fällen werden Beschäftigte selbst zu Verantwortlichen nach der DSGVO.

Beispiele für Exzesse:

• Ein Kellner in Bremen nutzte Kontaktdaten von Restaurantbesuchern für private Zwecke. Gegen ihn wurde von der zuständigen Aufsichtsbehörde ein Bußgeld verhängt.
• Ein Mitarbeiter eines Corona-Testzentrums schrieb eine Patientin über WhatsApp an. Auch gegen ihn wurde ein Bußgeld von der zuständigen Behörde verhängt.
• Ein Polizeibeamter in Baden-Württemberg nutzte Datenbanken für private Abfragen und erhielt ein Bußgeld von 1.400 Euro.

Die Haftung des Arbeitgebers

Auch Arbeitgeber können bei Exzessen haftbar gemacht werden, wenn sie die Einhaltung des Datenschutzes nicht ausreichend kontrolliert haben. Beispielsweise müssen Zugriffe auf polizeiliche Datenbanken protokolliert und kontrolliert werden.

Wichtige Maßnahmen:

• Unternehmen sollten bei Entdeckung von Exzessen die DSGVO-Vorschriften zu Datenpannen beachten, da eine unbefugte Datenverarbeitung als Datenpanne gilt und Melde- und Dokumentationspflichten auslöst.

Der innerbetriebliche Schadensausgleich

Verursachen Beschäftigte durch Verstöße finanzielle Schäden, kann der Arbeitgeber sie haftbar machen. Die Haftung hängt vom Grad des Verschuldens ab:

• Leichte Fahrlässigkeit: Keine Haftung.
• Mittlere Fahrlässigkeit: Anteilige Haftung.
• Grobe Fahrlässigkeit: Volle Haftung, aber meist mit Obergrenze.

Im Fall eines Exzesses greift der innerbetriebliche Schadensausgleich jedoch nicht, da der Beschäftigte nicht im Rahmen seiner dienstlichen Tätigkeit handelt.

Empfehlungen für Unternehmen:

• Präventive Maßnahmen gegen Exzesse ergreifen.
• Bei Eintritt von Exzessen sofort handeln, um die eigene Haftung zu minimieren.
• Den innerbetrieblichen Schadensausgleich beachten, auch wenn dieser nur begrenzt Schutz bietet.

Schlussfolgerung

Zu Ihrem eigenen Schutz bitte ich Sie darum, nur Daten gemäß den Vorgaben Ihres Arbeitgebers zu verarbeiten. Bei Fragen zu diesem Thema kontaktieren Sie mich gerne über die Ihnen bekannte E-Mail-Adresse.

Mit freundlichen Grüßen,
Ihr Datenschutzbeauftragter