Wenn Neugier zum Problem wird: Der Mitarbeiterexzess im Datenschutz

Beschäftigte verarbeiten jeden Tag personenbezogene Daten – und zwar nicht nur solche von Kunden oder Geschäftspartnern, sondern auch diejenigen der Kollegen. In der Regel wird dies im Zusammenhang mit ihrer beruflichen Tätigkeit erforderlich sein. Verantwortlich für diese Datenverarbeitungen ist der Arbeitgeber. Was gilt aber, wenn der Beschäftigte aus der Personalabteilung gerne erfahren möchte, warum die Kollegin aus dem Controlling schon so lange arbeitsunfähig ist oder der Mitarbeiter aus dem Lieferdienst die Kontaktdaten aus dem Lieferschein nach Feierabend zur Kontaktaufnahme mit der freundlichen Kundin nutzt? Hier sprechen wir vom „Mitarbeiterexzess“. Um was es sich dabei genau handelt und welche Maßnahmen Arbeitgeber in einem solchen Fall ergreifen sollten, erfahren Sie in diesem Blogbeitrag.

Grundregel: Arbeitgeber sind Verantwortliche

Datenschutzrechtliche Pflichten knüpfen an die Person des Verantwortlichen an (Art. 4 Nr. 7 DSGVO). Der Verantwortliche legt die Mittel und Zwecke einer Datenverarbeitung fest. Im Arbeitsverhältnis bedeutet dies, dass Beschäftigte, die als Teil ihrer Arbeitsleistung auf die Weisung des Arbeitgebers personenbezogene Daten von Kollegen oder Kunden verarbeiten, grds. nicht selbst Verantwortlicher sind. Diese Rolle bleibt beim Arbeitgeber, der mit seinen Weisungen die Mittel (z. B. IT-Infrastruktur, Programme wie SAP) und die Zwecke (z. B. Versand von Newslettern, Entgeltabrechnung) festlegt.

Mitarbeiterexzess: Um was es geht

Von einem Mitarbeiterexzess spricht man dann, wenn es nicht mehr der Arbeitgeber ist, der die Mittel und Zwecke der Datenverarbeitung bestimmt, sondern der Beschäftigte selbst. Dabei ist eine objektive Sichtweise einzunehmen. Eine eigenständige Zweckbestimmung ist anzunehmen, wenn die Verarbeitung der personenbezogenen Daten nicht mehr mit dem Tätigkeitsbereich des Beschäftigten in Zusammenhang steht. Die Verarbeitung muss betriebsfremd sein. Wenn also der Beschäftigte aus der Personalabteilung auf die Akte der Kollegin aus dem Controlling zugreift, ohne dass es hierfür konkreten Anlass aus seiner Tätigkeit als Mitarbeiter der Personalabteilung gegeben hätte, legt er die Zwecke seiner Abfrage – hier: Neugier – selbst fest. Genauso ist die Situation zu bewerten, wenn der Lieferant nach Feierabend eine Kundin unter ihrer privaten Telefonnummer kontaktiert, um diese auf ein Date einzuladen. Die Tätigkeitsberichte der Datenschutzaufsichtsbehörden der Länder enthalten mittlerweile eine reichhaltige Dokumentation von derartigen Fällen.

Folgen für den Beschäftigten

Der Beschäftigte rückt damit in die Stellung als Verantwortlicher i. S. d. Datenschutzrechts – und alle damit verbundenen Rechte und Pflichten – ein. So haben etwa die Datenschutzaufsichtsbehörden bereits Bußgelder (Art. 83 DSGVO) gegen kontaktfreudige Polizeibeamte verhängt. Auch Adressat von Schadensersatzforderungen (Art. 82 DSGVO) kann der Beschäftigte im Mitarbeiterexzess werden. In Abhängigkeit von der Schwere des Verstoßes kann – aus arbeitsrechtlicher Sicht – eine (außer-)ordentliche Tat- oder Verdachtskündigung geprüft werden. Denn die Einhaltung datenschutzrechtlicher Weisungen und Anforderungen ist grds. auch arbeitsvertragliche Pflicht.

Ist der Arbeitgeber damit aus dem Schneider?

Nein, denn eine Meldung des Vorfalls an die Datenschutzaufsichtsbehörde (Art. 33 DSGVO) dürfte weiterhin angezeigt sein. Dies gilt insb. dann, wenn im Rahmen der Aufdeckung des Vorfalls erste Defizite in der Datenschutz-Compliance festgestellt werden. Denn in solchen Fällen ist der Mitarbeiterexzess erster Indikator dafür, dass die datenschutzrechtlichen Sicherungsmechanismen (etwa technische und organisatorische Maßnahmen, Art. 24 DSGVO) nicht (mehr) dem Stand der Technik entsprechen könnten. Die Meldefrist ist hier mit 72 Stunden bekanntermaßen knapp bemessen, sodass durchaus Eile geboten ist.

Für Arbeitgeber ist Dokumentation der Schlüssel

All diese Erkenntnisse helfen nichts, wenn nicht genau aufgezeigt werden kann, dass es tatsächlich der Beschäftigte war, der Mittel und/oder Zwecke der Datenverarbeitung festgelegt hat. Die Fallgruppe des Mitarbeiterexzesses zeigt deshalb noch einmal die Wichtigkeit eines wirksamen Datenschutzmanagementsystems mit ausgereiften Dokumentationsprozessen auf. Arbeitgeber und Unternehmen sollten deshalb kontrollieren, ob die Dokumentation regelmäßig erfolgt und die gegenwärtigen Zugriffs- und Verarbeitungsbefugnisse noch der betrieblichen Notwendigkeit entsprechen. Arbeitgeberseitige Weisungen zur Datenverarbeitung sind zu prüfen und zu präzisieren. Der aufgedeckte Verstoß ist zwingend zu unterbinden und abzustellen. Die möglichen arbeitsrechtlichen Sanktionen – von Abmahnung bis außerordentliche Kündigung – müssen evaluiert werden.

Und so wird aus bloßer Neugier ein Compliance-Fall mit datenschutz- und arbeitsrechtlich erheblicher Tragweite. Reputationsverluste sind dabei noch gar nicht erwähnt. Arbeitgeber sind daher gut beraten, wenn sie Beschäftigte weiter für (Beschäftigten-)Datenschutz sensibilisieren und auf die Folgen des Mitarbeiterexzess hinweisen.