Klassiker: Mitarbeiterexzess durch unzulässige Datenbankabrufe

Regel: Unternehmen haften für Datenschutzverstöße ihrer Beschäftigten
Nach Auffassung der Datenschutzkonferenz (DSK) als Gremium der deutschen Datenschutzaufsichtsbehörden sollen Unternehmen im Rahmen von Art. 83 DS-GVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat. Dabei sei nicht erforderlich, dass für die Handlung ein gesetzlicher Vertreter oder eine Leitungsperson verantwortlich ist. Zurechnungseinschränkende Regelungen im nationalen Recht würden dem widersprechen. Diese Haftung für Mitarbeiterverschulden ergebe sich aus der Anwendung des sogenannten funktionalen Unternehmensbegriffs des europäischen Primärrechts. Der funktionale Unternehmensbegriff aus dem Vertrag über die Arbeitsweise der Europäischen Union (AEUV) besage, dass ein Unternehmen jede wirtschaftliche Einheit unabhängig von ihrer Rechtsform und der Art ihrer Finanzierung ist.

Nach der Rechtsprechung zum funktionalen Unternehmensbegriff haften Unternehmen für das Fehlverhalten ihrer Beschäftigten:

• ohne dass eine Kenntnis oder Anweisung der Geschäftsführung
• oder eine Verletzung der Aufsichtspflicht für die Zurechnung erforderlich sind.

Ausnahme: Beschäftigter geriert sich als Verantwortlicher (Mitarbeiterexzess)
In bestimmen Fällen kann aber auch der Arbeitnehmer unmittelbar Adressat einer aufsichtsbehördlichen (Sanktions-)Maßnahme sein. Dafür muss der Beschäftigte „Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DS-GVO zu qualifizieren sein. Die DSK hat in seiner Entschließung vom 3.4.2019 (“ Unternehmen haften für Datenschutzverstöße ihrer Beschäftigten!“) betont, dass sogenannte „Exzesse“ der Beschäftigten, die bei verständiger Würdigung nicht der unternehmerischen Tätigkeit zugeordnet werden können, nicht von der Haftung des Unternehmens erfasst sind.

Unzulässige Datenbankabrufe durch die Polizei:
Schaut man sich die Tätigksiteberichte der Aufsichtsbehörde an, so verstetigt sich der Eindruck, dass Mitarbeiterexzesse durch unzulässige Datenbankabrufe insbesondere bei der Polizei recht häufig vorkommen.

Allein im Berichtsjahr 2023 hat die Berliner Aufsichtsbehörde nach eigenen Angaben 35 Verfahren gegen Polizeibeamt:innen eingeleitet und zum Zeitpunkt der Veröffentlichung des Tätigkeitberichts bereits insgesamt 32 Bußgelder verhängt, u.a. in den folgenden Fällen:

• Eine Polizeibeamtin fragte aus privatem Interesse Daten ihres Ex-Manns ab.
• Ein Polizeibeamter schrieb eine Bürgerin über sein privates Mobiltelefon für einen
  Flirtversuch an, deren Nummer er im Rahmen eines Polizeieinsatzes dienstlich
  erhalten hatte.
• Ein Polizeibeamter fragte als Geschädigter eines mutmaßlichen Wohnungseinbruchs den dazugehörigen Ermittlungsvorgang aus privatem Interesse ab.
• Ein Polizeibeamter fragte Daten eines seiner Dienstgruppe neu zugewiesenen Kollegen ab, um auszuschließen, dass er nicht bereits polizeilich mit diesem zu tun hatte.
• Ein Polizeibeamter schrieb eine Bürgerin, die er zuvor auf dem Parkplatz eines Lebensmittelhändlers gesehen hatte, über ihre private Handynummer an, die er der Datenbank mithilfe ihres Kfz-Kennzeichens entnahm.

All diese Datenverarbeitungen waren rechtswidrig, da die Abfragen der POLIKS-Datenbank nicht zur Erfüllung der gesetzlichen Aufgaben im Bereich der Strafverfolgung und der Gefahrenabwehr erfolgten. Es ist dabei unerheblich, welche Beweggründe der nicht-dienstlichen Datenabfrage und Datennutzung zugrunde lagen.

(Foto: Stas – stock.adobe.com)