Exkulpation des Verantwortlichen im Falle eines „Mitarbeiterexzesses“?

In der Rechtssache C‑741/21 hat sich der EuGH zu mehreren Vorlagefragen geäußert.
Mit seiner zweiten Frage wollte das vorlegende Gericht im Wesentlichen wissen, ob Art. 82 DS-GVO dahin auszulegen ist, dass es für eine Befreiung des Verantwortlichen von seiner Haftung nach Art. 82 Abs. 3 DS-GVO ausreicht, dass er geltend macht, dass der in Rede stehende Schaden durch ein Fehlverhalten einer ihm im Sinne von Art. 29 DS-GVO unterstellten Person verursacht wurde.

Insoweit ist darauf hinzuweisen, dass nach Art. 82 Abs. 2 DS-GVO jeder an der Verarbeitung Verantwortliche für den Schaden haftet, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde, und dass nach Art. 82 Abs. 3 DSGVO ein Verantwortlicher von der Haftung gemäß Art. 82 Abs. 2 DS-GVO befreit wird, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

Der EuGH vertrat die Auffassung, dass ein Verantwortlicher im Falle eines Verstoßes gegen die DS-GVO grundsätzlich haftbar sind, (auch) wenn der Verstoß auf weisungswidriges Verhalten ihrer Mitarbeiter zurückzuführen ist.
Es reiche nicht aus, dass das Unternehmen nachweist, seine Mitarbeiter zu datenschutzkonformem Verhalten angewiesen zu haben, um sich von der Haftung zu entlasten. Für eine Exkulpation muss der Verantwortliche sicherstellen, dass diese Anweisungen von den Mitarbeitern korrekt befolgt werden. Damit dürfte klar sein, dass die Inkraftsetzung von Richtlinien und Weisungen zum Datenschutz nur eines der Aspekte für die Etablierung eines Datenschutzmanagementsystems sein kann. Diese Richtlinien/Weisungen müssen von regelmäßigen Sensibilisierungen/Schulungen flankiert und deren Einhaltung auch durch Überprüfungen und Kontrollen nachgewiesen werden, damit sich eine Exkulpationswirkung entfalten kann.

Am Ende muss der Verantwortliche darlegen, dass er in einem angemessenem Maße alles getan hat, um das datenschutzwidrige Verhalten seines Beschäftigten zu vermeiden.
Im Sinne des Art. 24 DS-GVO Abs. 1 und Abs. 2 DS-GVO und Art. 32 Abs. 2 DS-GVO hat der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen müssen erforderlichenfalls überprüft und aktualisiert werden.

EuGH

(Foto: Sinuswelle – stock.adobe.com)