Auskunftsanspruch durch Mitarbeiterexzess

Nach Auffassung der Datenschutzkonferenz (DSK) als Gremium der deutschen Datenschutzaufsichtsbehörden sollen Unternehmen im Rahmen von Art. 83 DS-GVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat.
In bestimmen Fällen kann aber auch der Arbeitnehmer unmittelbar Adressat einer aufsichtsbehördlichen (Sanktions-)Maßnahme sein. Dafür muss der Beschäftigte als „Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DS-GVO zu qualifizieren sein. Die DSK hat in seiner Entschließung vom 3.4.2019 (“ Unternehmen haften für Datenschutzverstöße ihrer Beschäftigten!“) betont, dass sogenannte „Exzesse“ der Beschäftigten, die bei verständiger Würdigung nicht der unternehmerischen Tätigkeit zugeordnet werden können, nicht von der Haftung des Unternehmens erfasst sind.
Dass ein sog. Mitarbeiterexzess trotzdem unmittelbare Konsequenzen für die verantwortliche Stelle haben kann, zeigt ein Fall des Landgerichts Baden-Baden (Urteil vom 24.08.2023).

Das Landgericht Baden-Baden hat einem Unternehmen auferlegt, einer Kundin die Namen der Mitarbeiter offenzulegen, die persönliche Kundendaten des Unternehmens in privater Funktion verarbeitet haben. Zusätzlich wurde dem Unternehmen untersagt, seinen Mitarbeitern die fortgesetzte Nutzung dieser Kundendaten auf privaten Kommunikationsgeräten zu gestatten.

Die Rechtfertigung des Gerichts beruht auf der Datenschutzgrundverordnung (DS-GVO), die in Artikel 15 Absatz 1 Buchstabe c) das Recht auf Auskunft für die Kundin vorsieht. Dieses Recht erstreckt sich in diesem Fall darauf, dass der klagenden Kundin die Mitarbeiter des Unternehmens genannt werden, die gemäß Artikel 4 Ziffer 9 der DS-GVO als Empfänger der von ihr bereitgestellten persönlichen Daten gelten.

Beschäftigte werden in der Regel nicht als Empfänger im Sinne des Art. 156 DS-HGVO betrachtet, sofern sie unter der Aufsicht des Verantwortlichen agieren und gemäß seinen Weisungen handeln . Hier aber stellte das Gericht fest, dass eine Mitarbeiterin eigenmächtig über ihren privaten Account Kontakt zu einer Kundin aufgenommen hatte, um Fragen im Zusammenhang mit einem Kauf zu klären.
Da die Kundin die Mitarbeiteridentität benötigte, um die Rechtmäßigkeit der Datenverarbeitung zu überprüfen und möglicherweise Ansprüche gemäß der DS-GVO gegen die Mitarbeiter geltend zu machen, wurde festgestellt, dass ein Auskunftsanspruch auf Nennung der Mitarbeiter besteht.

(Foto: Matthew Cerff/peopleimages.com – stock.adobe.com)