Bußgeldverfahren wegen „Mitarbeiterexzessen“ im Gesundheits- und Polizeibereich

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) berichtet in ihrem Jahresbericht 2025 über eine Vielzahl von Bußgeldverfahren wegen sogenannter Mitarbeiterexzesse – Fälle, in denen Beschäftigte personenbezogene Daten, auf die sie im Rahmen ihrer dienstlichen Tätigkeit berechtigten Zugriff hatten, unbefugt zu privaten Zwecken verarbeiteten. Betroffen waren insbesondere der Gesundheits- und der Polizeibereich; die Fälle verdeutlichen die datenschutzrechtliche Verantwortungsverteilung bei missbräuchlichem Datenzugriff durch Beschäftigte.

Verantwortungszurechnung beim Mitarbeiterexzess

Verarbeiten Beschäftigte Daten weisungsgemäß im Rahmen ihrer Tätigkeit, wird dies datenschutzrechtlich dem Arbeitgeber als Verantwortlichem zugerechnet. Nutzen sie hingegen dienstlich zugängliche Daten zu eigenen, privaten Zwecken, werden sie selbst zu Verantwortlichen – mangels beruflichem Anlass fehlt es dann regelmäßig an einer Rechtsgrundlage. Solche Verstöße stellen keine eigenen Pflichtverletzungen des Arbeitgebers dar, der jedoch bei Kenntnisnahme unverzüglich zur Meldung nach Art. 33 Abs. 1 DS-GVO verpflichtet ist und durch geeignete technisch-organisatorische Maßnahmen sowie regelmäßige Schulungen das Risiko unbefugter Zugriffe minimieren muss.

Fälle aus dem Gesundheitsbereich

Im Berichtszeitraum verhängte die BlnBDI mehrere Bußgelder gegen Beschäftigte im Gesundheitswesen, darunter gegen einen Mitarbeiter, der private Filmaufnahmen aus einer Klinik weiterleitete, sowie gegen einen Arzt, der ohne erkennbaren dienstlichen Grund die Gesundheitsdaten einer unterstellten Beschäftigten sowie den Infektionsstatus seines erkrankten Assistenzarztes im Krankenhausinformationssystem abrief. In einem weiteren Fall nutzte ein Rezeptionist einer psychiatrischen Ambulanz die E-Mail-Adresse einer Patientin für eine private Kontaktaufnahme.

Unbefugte POLIKS-Abfragen bei der Polizei

Auch im polizeilichen Informationssystem POLIKS registrierte die BlnBDI wiederholt dienstlich nicht veranlasste Abfragen – etwa zur Einflussnahme auf ein eigenes Ermittlungsverfahren, zur unbefugten Kontrolle einer Kollegin oder zur gezielten Bloßstellung eines Anzeigenerstatters gegenüber dessen Vorgesetzten. Bereits die bloße unberechtigte Abfrage verletzt das Recht auf informationelle Selbstbestimmung und stellt unabhängig von einer Weiterverwendung einen eigenständigen Verstoß dar. Zur besseren disziplinarrechtlichen Aufarbeitung solcher Fälle hat die BlnBDI mit dem Justiziariat und den Disziplinarstellen der Polizei ein einheitliches Verfahren zur gegenseitigen Information und Aktenübersendung etabliert.

(Foto: metamorworks – stock.adobe.com)