Übersicht
- Das Wichtigste in Kürze
- Der Fall vor Gericht
- Neugier am Arbeitsplatz: Wann ein Mitarbeiter selbst für Datenschutzverstöße haftet
- Der Vorfall: Eine unerlaubte Datenabfrage bei der Polizei
- Die Kernfragen: Wer trägt die Verantwortung und was ist überhaupt eine „Verarbeitung“?
- Die Entscheidung: Der Polizist wird selbst zum Datenschutz-Verantwortlichen
- Das bloße Nachschauen ist bereits eine illegale Handlung
- Die Schlüsselerkenntnisse
- Häufig gestellte Fragen (FAQ)
- Bin ich als Mitarbeiter persönlich verantwortlich, wenn ich aus Neugier Daten abfrage?
- Wann werde ich als Mitarbeiter zum Datenschutz-Verantwortlichen und nicht mein Arbeitgeber?
- Reicht es aus, wenn ich sensible Daten nur ansehe, damit es ein Datenschutzverstoß ist?
- Welche rechtlichen Folgen kann eine unerlaubte Datenabfrage am Arbeitsplatz für mich haben?
- Wann darf ich als Mitarbeiter überhaupt auf personenbezogene Daten zugreifen?
- Glossar – Fachbegriffe kurz erklärt
- Wichtige Rechtsgrundlagen
- Das vorliegende Urteil
Zum vorliegenden Urteil Az.: 2 ORbs 16 Ss 336/24 | Schlüsselerkenntnis | FAQ | Glossar | Kontakt
Das Wichtigste in Kürze
- Gericht: OLG Stuttgart
- Datum: 25.02.2025
- Aktenzeichen: 2 ORbs 16 Ss 336/24
- Verfahrensart: Rechtsbeschwerdeverfahren
- Rechtsbereiche: Datenschutzrecht (DS-GVO), Ordnungswidrigkeitenrecht
Beteiligte Parteien:
- Kläger: Der Betroffene, ein Polizeibeamter, der die gerichtliche Entscheidung gegen ihn anficht.
Worum ging es in dem Fall?
- Sachverhalt: Ein Polizeibeamter rief dienstfremd und ohne dienstlichen Anlass Daten über einen Kollegen aus einem polizeilichen Informationssystem ab. Er war sich bewusst, dass er dazu nicht befugt war. Das Amtsgericht Stuttgart hatte ihn daraufhin wegen der rechtswidrigen Datenverarbeitung zu einer Geldbuße verurteilt.
- Kern des Rechtsstreits: Es ging um die Frage, ob der Polizeibeamte als „Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung (DS-GVO) anzusehen ist. Zudem war zu klären, ob das bloße Abfragen von Daten eine rechtswidrige „Verarbeitung“ gemäß DS-GVO darstellt, die eine Geldbuße rechtfertigt.
Was wurde entschieden?
- Entscheidung: Die Rechtsbeschwerde des Polizeibeamten gegen das Urteil des Amtsgerichts Stuttgart wurde als unbegründet verworfen. Der Polizeibeamte muss die Kosten seines Rechtsmittels tragen.
- Begründung: Das Gericht bestätigte, dass der Polizeibeamte als „Verantwortlicher“ im Sinne der DS-GVO gilt. Dies ist der Fall, wenn ein Mitarbeiter vorsätzlich und ohne dienstlichen Anlass personenbezogene Daten für eigene Zwecke verarbeitet. Des Weiteren wurde entschieden, dass das bloße Abfragen von Daten bereits eine „Verarbeitung“ nach der DS-GVO darstellt.
- Folgen: Die Verurteilung des Polizeibeamten zu einer Geldbuße wegen rechtswidriger Datenverarbeitung bleibt bestehen. Die Entscheidung trägt zur Fortbildung des Rechts und zur Sicherung einer einheitlichen Rechtsprechung bei der Ahndung solcher Datenschutzverstöße bei.
Der Fall vor Gericht
Neugier am Arbeitsplatz: Wann ein Mitarbeiter selbst für Datenschutzverstöße haftet
Jeder, der mit sensiblen Daten arbeitet, kennt die strikte Regel: Informationen dürfen nur für dienstliche Zwecke eingesehen werden. Ein Bankangestellter darf nicht aus reiner Neugier das Konto des Nachbarn prüfen, und ein Arztgehilfe darf nicht die Krankenakte eines Prominenten durchstöbern. Doch was passiert, wenn ein Mitarbeiter diese Regel bewusst bricht und seine Zugriffsrechte für rein private Zwecke missbraucht? Wer ist dann rechtlich verantwortlich – der Arbeitgeber, der die Systeme bereitstellt, oder der Mitarbeiter selbst? Genau diese Frage musste ein deutsches Gericht klären.
Der Vorfall: Eine unerlaubte Datenabfrage bei der Polizei
Ein Polizeibeamter nutzte mitten in der Nacht, um 1:41 Uhr, seinen Dienstrechner auf dem Polizeirevier. Er griff auf das polizeiliche Informationssystem „POLAS“ zu, eine Datenbank mit sensiblen Informationen. Sein Ziel war es jedoch nicht, einen Fall zu lösen oder einer dienstlichen Aufgabe nachzugehen. Stattdessen rief er die Daten eines damaligen Kollegen ab, der sich zu diesem Zeitpunkt in Untersuchungshaft befand.
Dem Polizeibeamten war vollkommen klar, dass es für diesen Zugriff keinen dienstlichen Anlass gab. Er handelte aus rein privaten Motiven. Aufgrund dieses Vorfalls verurteilte ihn das Amtsgericht Stuttgart zu einer Geldbuße in Höhe von 1.500 Euro. Der Vorwurf lautete auf eine vorsätzliche Ordnungswidrigkeit – ein rechtswidriger Verstoß, der zwar nicht als Straftat gilt, aber dennoch mit einem Bußgeld geahndet wird. Der Beamte war mit diesem Urteil nicht einverstanden und legte ein Rechtsmittel ein, die sogenannte Rechtsbeschwerde. Damit brachte er den Fall vor die nächsthöhere Instanz, das Oberlandesgericht (OLG) Stuttgart.
Die Kernfragen: Wer trägt die Verantwortung und was ist überhaupt eine „Verarbeitung“?
Das Oberlandesgericht musste nun zwei grundlegende Fragen des europäischen Datenschutzrechts klären. Diese Fragen sind von zentraler Bedeutung, weil die Antwort für unzählige Arbeitsverhältnisse in ganz Europa relevant ist.
Die erste und wichtigste Frage war: Wer ist in einem solchen Fall der „Verantwortliche“ im Sinne des Gesetzes? Nach der Datenschutz-Grundverordnung, kurz DS-GVO (ein europaweit geltendes Gesetz zum Schutz persönlicher Daten), ist der Verantwortliche die Person oder Stelle, die über die Zwecke und Mittel der Datenverarbeitung entscheidet. Stellen Sie sich einen Ladenbesitzer vor: Er ist der Verantwortliche dafür, wie die Kundendaten in seinem Geschäft genutzt werden. Seine Angestellten handeln normalerweise nur auf seine Anweisung. Aber was passiert, wenn ein Mitarbeiter die Kasse für private Zwecke missbraucht? Wird er dann selbst zum Verantwortlichen? Übertragen auf den Fall: Ist die Polizeibehörde verantwortlich oder der einzelne Beamte, der seine Befugnisse überschritten hat?
Die zweite Frage war technischer, aber nicht weniger wichtig: Stellt das bloße Abrufen und Ansehen von Daten bereits eine rechtswidrige „Verarbeitung“ dar? Das Gesetz definiert Verarbeitung (Art. 4 Nr. 2 DS-GVO) als einen sehr breiten Begriff, der fast jede denkbare Handlung mit Daten umfasst, darunter auch explizit das „Abfragen“. Das Gericht musste prüfen, ob diese Definition auch in diesem speziellen Fall eines Mitarbeitermissbrauchs greift.
Die Entscheidung: Der Polizist wird selbst zum Datenschutz-Verantwortlichen
Das Oberlandesgericht Stuttgart wies die Rechtsbeschwerde des Polizeibeamten als unbegründet zurück. Das bedeutet, das Urteil des Amtsgerichts und die Geldbuße von 1.500 Euro wurden bestätigt. Der Beamte muss nicht nur die Strafe zahlen, sondern auch die Kosten für sein erfolgloses Rechtsmittel tragen. Doch wie kam das Gericht zu dieser klaren Entscheidung?
Um die Argumentation des Gerichts zu verstehen, müssen wir uns die beiden Kernfragen genauer ansehen.
Warum der Beamte selbst die Verantwortung trägt
Normalerweise ist ein einfacher Mitarbeiter kein „Verantwortlicher“. Er führt nur aus, was sein Arbeitgeber anordnet. Doch das Gericht argumentierte, dass diese Regel hier nicht gilt. Der Grund liegt im sogenannten „Mitarbeiterexzess“ – einer Situation, in der ein Mitarbeiter bewusst und gewollt die Grenzen seiner dienstlichen Aufgaben überschreitet, um eigene, private Ziele zu verfolgen.
Das Gericht stützte sich dabei maßgeblich auf die Leitlinien des Europäischen Datenschutzausschusses (EDPB), des höchsten Gremiums der europäischen Datenschutzbehörden. Dieser Ausschuss hat klargestellt: Wenn ein Beschäftigter Daten für seine ganz eigenen Zwecke verarbeitet, die nichts mit den Zielen seines Arbeitgebers zu tun haben, dann wird er selbst zum Verantwortlichen.
Stellen Sie es sich so vor: Solange der Polizist im Dienst Verbrechen aufklärt, handelt er als Teil der Behörde. In dem Moment jedoch, in dem er das System aus privater Neugier nutzt, handelt er nicht mehr als „verlängerter Arm“ seines Dienstherrn. Er trifft eine eigene, unabhängige Entscheidung über den Zweck (private Neugier) und die Mittel (der Dienstrechner) der Datenverarbeitung. Damit „schwingt er sich“, wie es die Juristen formulieren, selbst zum Verantwortlichen auf. Er entzieht sich der Kontrolle seines Vorgesetzten und begründet eine eigene Entscheidungsmacht.
Das Gericht wies auch das Argument zurück, die DS-GVO habe hier eine Regelungslücke. Eine solche Lücke würde bedeuten, dass vorsätzlich handelnde Mitarbeiter nicht bestraft werden könnten, da man ihr privates Handeln nicht immer dem Arbeitgeber zurechnen kann. Dies würde dem Ziel der DS-GVO widersprechen, Verstöße „wirksam“ und „abschreckend“ zu ahnden. Ein vorsätzlicher Missbrauch darf nicht ungeahndet bleiben.
Das bloße Nachschauen ist bereits eine illegale Handlung
Auch bei der zweiten Frage folgte das Gericht einer klaren Linie. Ist das reine Abfragen von Daten schon eine „Verarbeitung“? Die Antwort ist ein klares Ja.
Die Definition von „Verarbeitung“ in der DS-GVO ist extrem weit gefasst. Sie listet eine ganze Reihe von Tätigkeiten auf, wie das Erheben, Speichern, Verändern oder Löschen von Daten. Einer dieser ausdrücklich genannten Begriffe ist das „Abfragen“. Wer also Daten in einem System aufruft und ansieht, der „verarbeitet“ sie im rechtlichen Sinne. Es ist nicht notwendig, dass die Daten kopiert, weitergegeben oder verändert werden. Das reine Nachschauen genügt.
Zur Untermauerung seiner Position verwies das Gericht auf eine Entscheidung des Europäischen Gerichtshofs (EuGH). Dieser hatte bereits in einem ähnlichen Fall geurteilt, dass das Abrufen von Kundendaten durch einen Bankmitarbeiter eine „Verarbeitung“ darstellt. Diese Logik ist direkt auf den Fall des Polizisten übertragbar. Ob Bank oder Polizei – das Prinzip bleibt dasselbe. Das Gericht sah keinen Grund, den Begriff der „Verarbeitung“ für einen Mitarbeiter, der seine Befugnisse bewusst missbraucht, enger auszulegen. Im Gegenteil: Warum sollte jemand, der absichtlich falsch handelt, rechtlich bessergestellt werden?
Die Schlüsselerkenntnisse
Das Urteil zeigt eine klare Grenzziehung auf: Mitarbeiter können sich nicht hinter ihrem Arbeitgeber verstecken, wenn sie bewusst ihre Zugriffsrechte für private Zwecke missbrauchen. In solchen Fällen werden sie rechtlich selbst für Datenschutzverstöße verantwortlich gemacht und müssen persönlich mit Bußgeldern rechnen. Bereits das reine Nachschauen in fremden Daten ohne dienstlichen Grund gilt als rechtswidrige Datenverarbeitung – es muss nichts kopiert oder weitergegeben werden. Diese Entscheidung stärkt den Datenschutz erheblich, da sie verhindert, dass neugierige Mitarbeiter straffrei bleiben, und sendet eine deutliche Warnung an alle, die Zugang zu sensiblen Daten haben.
Befinden Sie sich in einer ähnlichen Situation? Fragen Sie unsere Ersteinschätzung an.
Häufig gestellte Fragen (FAQ)
Bin ich als Mitarbeiter persönlich verantwortlich, wenn ich aus Neugier Daten abfrage?
Ja, als Mitarbeiter können Sie persönlich zur Verantwortung gezogen werden, wenn Sie aus Neugier und ohne dienstliche Notwendigkeit Daten abfragen. Dies gilt auch dann, wenn der Arbeitgeber generell für den Datenschutz im Unternehmen verantwortlich ist. Ihre private Neugier und die bewusste Überschreitung Ihrer Befugnisse spielen hier eine entscheidende Rolle.
Was bedeutet „persönliche Verantwortung“ bei Datenzugriff aus Neugier?
Wenn Sie als Mitarbeiter absichtlich oder wissentlich auf Daten zugreifen, die Sie für Ihre Arbeit nicht benötigen und für die Sie keine Berechtigung haben, handeln Sie auf eigene Gefahr. Ihre Neugier ist hier ein Indiz für einen vorsätzlichen Verstoß gegen Ihre Pflichten und die Datenschutzbestimmungen. Es handelt sich um einen sogenannten „Mitarbeiterexzess“.
Ein Mitarbeiterexzess liegt vor, wenn ein Mitarbeiter Handlungen vornimmt, die erkennbar nicht im Interesse des Arbeitgebers liegen, sondern primär privaten Zwecken dienen oder eine bewusste Überschreitung der zugewiesenen Aufgaben und Befugnisse darstellen. Stellen Sie sich vor, Sie haben Zugang zu Kundendatenbanken, müssten diese aber nur für bestimmte, klar definierte Aufgaben nutzen. Wenn Sie nun privat in den Daten von Freunden oder Bekannten suchen, um deren Adressen oder andere persönliche Informationen zu erfahren, ist das ein solcher Exzess. Sie agieren dabei nicht mehr im Rahmen Ihrer dienstlichen Aufgaben, sondern handeln rein für sich selbst und missbrauchen Ihre Zugriffsrechte.
Welche Konsequenzen kann das haben?
Ein unerlaubter Datenzugriff aus Neugier kann mehrere schwerwiegende Folgen für Sie persönlich nach sich ziehen:
- Arbeitsrechtliche Konsequenzen: Ihr Arbeitgeber kann arbeitsrechtliche Maßnahmen ergreifen. Dies reicht von einer Abmahnung über eine fristlose Kündigung bis hin zu einem Anspruch auf Schadensersatz, wenn dem Unternehmen durch Ihren Verstoß ein Schaden entstanden ist (zum Beispiel Bußgelder oder Reputationsverlust). Ihre bewusste Überschreitung der Befugnisse rechtfertigt in der Regel auch bei einem erstmaligen Verstoß eine harte Reaktion seitens des Arbeitgebers.
- Datenschutzrechtliche Konsequenzen: Ein solcher Verstoß ist ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG). Die Datenschutzbehörden können gegen den Arbeitgeber hohe Bußgelder verhängen. Der Arbeitgeber kann unter Umständen versuchen, diesen Schaden von Ihnen als Verursacher zurückzufordern. Auch die betroffenen Personen, deren Daten Sie eingesehen haben, können von Ihnen Schadensersatz verlangen, wenn ihnen durch den unrechtmäßigen Zugriff ein Schaden entstanden ist.
- Strafrechtliche Konsequenzen: Je nach Art und Umfang der abgefragten Daten und der Umstände des Zugriffs können auch strafrechtliche Ermittlungen eingeleitet werden. Mögliche Straftatbestände sind beispielsweise die Datenausspähung (§ 202a Strafgesetzbuch) oder die Verletzung von Privatgeheimnissen (§ 203 Strafgesetzbuch), wenn Sie besondere, schützenswerte Daten (z.B. Gesundheitsdaten) unbefugt einsehen oder weitergeben.
Für Sie als Mitarbeiter bedeutet das, dass das unberechtigte Abfragen von Daten aus reiner Neugier keineswegs eine Bagatelle ist, sondern ernsthafte persönliche und rechtliche Risiken birgt.
Wann werde ich als Mitarbeiter zum Datenschutz-Verantwortlichen und nicht mein Arbeitgeber?
Normalerweise sind Sie als Mitarbeiter im Bereich des Datenschutzes der „verlängerte Arm“ Ihres Arbeitgebers. Das bedeutet, dass Ihr Arbeitgeber die Verantwortung für die Datenverarbeitung trägt und als sogenannter „Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung (DS-GVO) gilt. Sie als Mitarbeiter führen lediglich die Anweisungen Ihres Arbeitgebers aus, wenn Sie zum Beispiel Kundendaten erfassen, Bewerbungsunterlagen bearbeiten oder Gehaltsabrechnungen erstellen. Sie handeln hier im Namen und Auftrag des Unternehmens.
Der Normalfall: Ihr Arbeitgeber ist der Verantwortliche
Stellen Sie sich vor, Sie arbeiten in einer Personalabteilung und verwalten die Daten von Bewerbern. Sie tun dies im Rahmen Ihrer Arbeitsaufgaben und nach den Vorgaben Ihres Arbeitgebers. In diesem Fall ist immer der Arbeitgeber der Verantwortliche für die Verarbeitung dieser Daten. Er entscheidet, warum (Zweck) und wie (Mittel) diese Daten verarbeitet werden. Für Sie als Mitarbeiter bedeutet das, dass Sie in Ihrer dienstlichen Funktion nicht selbst als Verantwortlicher für diese Daten gelten, sondern im Auftrag des Unternehmens handeln.
Ausnahme: Wann Mitarbeiter selbst zum Verantwortlichen werden
Eine Ausnahme von dieser Regel tritt ein, wenn Sie als Mitarbeiter eigenständig über die Zwecke und Mittel der Datenverarbeitung entscheiden und dabei rein private Ziele verfolgen, die keinerlei Bezug zu Ihren dienstlichen Aufgaben haben. Das ist der entscheidende Punkt.
Betrachten Sie zum Beispiel folgende Situation: Sie nutzen Ihren Dienstcomputer, um eine private Liste von Mitgliedern Ihres Sportvereins zu führen, deren Daten Sie selbst erhoben haben und verwalten. Oder Sie verschicken private Rund-Mails an Freunde und Familie über Ihre geschäftliche E-Mail-Adresse und speichern deren Kontaktdaten ausschließlich für Ihre persönlichen Zwecke. In solchen Fällen handeln Sie nicht mehr als „verlängerter Arm“ Ihres Arbeitgebers, sondern treffen eigene Entscheidungen über das „Warum“ und „Wie“ der Datenverarbeitung. Hier werden Sie für diese spezifische private Datenverarbeitung selbst zum Datenschutz-Verantwortlichen. Dies ist relevant, da mit der Rolle des Verantwortlichen bestimmte Pflichten und gegebenenfalls auch eine persönliche Haftung einhergehen können. Es kommt also darauf an, ob die Datenverarbeitung Teil Ihrer beruflichen Aufgabe ist oder Sie diese aus rein privaten Gründen vornehmen.
Reicht es aus, wenn ich sensible Daten nur ansehe, damit es ein Datenschutzverstoß ist?
Ja, das bloße Ansehen oder Einsehen von sensiblen Daten kann bereits als eine „Verarbeitung“ im Sinne des Datenschutzrechts gelten und damit potenziell einen Datenschutzverstoß darstellen, wenn keine entsprechende Berechtigung vorliegt.
Was bedeutet „Verarbeitung“ im Datenschutzrecht?
Der Begriff der „Verarbeitung“ ist in der Datenschutz-Grundverordnung (DS-GVO) sehr weit definiert. Er umfasst nicht nur das Speichern, Ändern oder Löschen von Daten, sondern jede Art von Umgang mit personenbezogenen Daten. Dazu gehört explizit auch das Abrufen, Ansehen, Lesen, Offenlegen oder schlicht das Zurkenntnisnehmen dieser Informationen. Es ist also unerheblich, ob Sie die Daten kopieren, weitergeben oder nur für sich selbst betrachten. Schon der Zugriff und die bloße Sichtung reichen aus, um eine Verarbeitung darzustellen.
Stellen Sie sich vor, Sie haben Zugang zu einer Datenbank mit Kundendaten. Selbst wenn Sie nur die Namen und Adressen überfliegen, ohne etwas zu verändern oder zu speichern, ist dies bereits eine Verarbeitung dieser personenbezogenen Daten.
Wann wird das Ansehen von Daten zum Datenschutzverstoß?
Eine Verarbeitung von Daten – also auch das Ansehen – ist nur dann zulässig, wenn es dafür eine rechtliche Grundlage gibt. Solche Grundlagen können beispielsweise die Einwilligung der betroffenen Person, ein Vertrag, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse sein.
Fehlt eine solche Berechtigung für das Ansehen der Daten, liegt ein Verstoß gegen die DS-GVO vor. Dies ist zum Beispiel der Fall, wenn:
- Sie als Mitarbeiter Daten einsehen, die nicht für Ihre Arbeitsaufgaben relevant sind.
- Sie unbefugt auf sensible Informationen zugreifen, die Sie aus Ihrem Tätigkeitsbereich nicht benötigen.
Für Sie bedeutet das: Jeder Umgang mit personenbezogenen Daten, auch das reine Ansehen, bedarf einer klaren Berechtigung. Andernfalls kann dies weitreichende Konsequenzen für den Verantwortlichen haben, wie etwa Bußgelder oder Schadensersatzforderungen. Es ist entscheidend, dass der Zugriff auf Daten strikt nach dem Prinzip der „Datensparsamkeit“ und „Zweckbindung“ erfolgt und nur diejenigen Personen Zugang zu Daten erhalten, die diesen für ihre konkreten Aufgaben benötigen.
Welche rechtlichen Folgen kann eine unerlaubte Datenabfrage am Arbeitsplatz für mich haben?
Eine unerlaubte Datenabfrage am Arbeitsplatz, also der Zugriff auf Daten, für die Sie keine Berechtigung oder keine dienstliche Notwendigkeit haben, kann weitreichende Konsequenzen nach sich ziehen. Hierbei sind verschiedene Ebenen der möglichen Sanktionen zu unterscheiden, die Sie kennen sollten.
Behördliche Sanktionen nach der Datenschutz-Grundverordnung (DS-GVO)
Das unberechtigte Abfragen persönlicher Daten stellt in vielen Fällen einen Verstoß gegen die Datenschutz-Grundverordnung (DS-GVO) dar. Diese regelt den Umgang mit personenbezogenen Daten und schützt deren Vertraulichkeit. Ein solcher Verstoß wird als Ordnungswidrigkeit eingestuft und kann von den zuständigen Datenschutzaufsichtsbehörden verfolgt werden. Ihnen können dann erhebliche Geldbußen drohen. Die genaue Höhe dieser Geldbußen hängt stark vom Einzelfall ab, etwa von der Art und dem Umfang der unberechtigten Abfrage, der Sensibilität der Daten und einem eventuell entstandenen Schaden.
Arbeitsrechtliche Konsequenzen durch den Arbeitgeber
Neben den behördlichen Sanktionen sind auch die Konsequenzen durch Ihren Arbeitgeber nicht zu unterschätzen. Eine unerlaubte Datenabfrage verletzt in der Regel Ihre arbeitsvertraglichen Pflichten und kann das Vertrauensverhältnis erheblich stören. Ihr Arbeitgeber kann daher verschiedene arbeitsrechtliche Maßnahmen ergreifen:
- Abmahnung: Zunächst kann Ihnen eine offizielle Abmahnung erteilt werden, die als Warnung dient und auf den Verstoß hinweist.
- Versetzung: In manchen Fällen ist eine Versetzung auf eine andere Position oder in einen anderen Bereich möglich, wenn das Vertrauen für die ursprüngliche Tätigkeit nicht mehr gegeben ist.
- Kündigung: Bei schwerwiegenden Verstößen, insbesondere wenn ein erheblicher Schaden entstanden ist oder das Vertrauen nachhaltig zerstört wurde, kann eine Kündigung des Arbeitsverhältnisses die Folge sein. Dies kann unter Umständen sogar eine fristlose Kündigung ohne Einhaltung einer Kündigungsfrist umfassen.
Die Wahl der Maßnahme durch den Arbeitgeber hängt von den Umständen des Einzelfalls ab, wie der Art der abgefragten Daten, der Häufigkeit des Verstoßes, der Absicht hinter der Abfrage und der Dauer der Betriebszugehörigkeit.
Weitere finanzielle Belastungen
Sollten Sie gegen eine behördliche Geldbuße oder eine arbeitsrechtliche Kündigung vorgehen wollen, können dabei weitere finanzielle Belastungen auf Sie zukommen. Dies umfasst insbesondere Kosten für Gerichtsverfahren. Wenn Sie in einem solchen Verfahren unterliegen, müssen Sie möglicherweise die Verfahrenskosten, wie Gerichtskosten und unter Umständen auch die Kosten der Gegenseite, selbst tragen. Dies kann eine zusätzliche finanzielle Belastung darstellen, die über die ursprüngliche Geldbuße oder den Verlust des Arbeitsplatzes hinausgeht.
Wann darf ich als Mitarbeiter überhaupt auf personenbezogene Daten zugreifen?
Als Mitarbeiter dürfen Sie auf personenbezogene Daten ausschließlich dann zugreifen, wenn dies für Ihre dienstlichen Aufgaben unbedingt erforderlich ist und der Zugriff im Rahmen Ihrer übertragenen Zuständigkeiten liegt. Dies ist die grundlegende Regel, die für den Umgang mit sensiblen Informationen im Arbeitsalltag gilt.
Dienstliche Notwendigkeit und Aufgabengebiet
Jeder Zugriff auf personenbezogene Daten muss einen klaren, beruflichen Grund haben. Stellen Sie sich vor, Sie arbeiten in der Buchhaltung und müssen eine Überweisung tätigen: Sie dürfen die Bankverbindung des Empfängers einsehen, weil dies direkt mit Ihrer Aufgabe zusammenhängt. Wenn Sie aber in der Produktion arbeiten und keinen direkten Bezug zu Gehaltsabrechnungen haben, dürfen Sie diese Daten nicht einsehen. Der Zugriff ist also nur dann gestattet, wenn er zur Erfüllung einer konkreten Arbeitsanweisung oder einer im Arbeitsvertrag festgelegten Aufgabe zwingend notwendig ist.
Klare Grenzen und verbotene Zugriffe
Der Zugriff auf personenbezogene Daten ist streng zweckgebunden. Das bedeutet: Sie dürfen die Daten nur für genau den Zweck nutzen, für den sie ursprünglich erhoben wurden und für den Sie eine Berechtigung haben. Jede Form von privater Neugier oder das Handeln aus persönlichen Motiven ist absolut verboten. Wenn Sie beispielsweise die Privatadresse eines Kollegen suchen, um ihn zu kontaktieren, obwohl dies nicht Ihre Arbeitsaufgabe ist, stellt dies einen schweren Missbrauch Ihrer Zugriffsrechte dar. Solche Handlungen verstoßen gegen grundlegende Datenschutzprinzipien und können ernsthafte rechtliche und arbeitsrechtliche Konsequenzen haben.
Praktische Bedeutung für Sie
Für Sie als Mitarbeiter bedeutet das: Prüfen Sie bei jedem Zugriff auf personenbezogene Daten, ob dieser direkt mit Ihrer aktuellen Arbeitsaufgabe zusammenhängt und ob Sie für diese Aufgabe überhaupt zuständig sind. Seien Sie sich bewusst, dass die gesetzlichen Grundlagen wie die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) hierfür enge Grenzen setzen. Oft gibt es auch interne Betriebsvereinbarungen oder Richtlinien in Ihrem Unternehmen, die den zulässigen Zugriff weiter konkretisieren. Im Zweifel gilt immer: Weniger Zugriff ist sicherer. Greifen Sie nur auf Daten zu, die Sie wirklich für Ihre Arbeit benötigen.
Hinweis: Bitte beachten Sie, dass die Beantwortung der FAQ Fragen keine individuelle Rechtsberatung darstellt und ersetzen kann. Alle Angaben im gesamten Artikel sind ohne Gewähr. Haben Sie einen ähnlichen Fall und konkrete Fragen oder Anliegen? Zögern Sie nicht, uns zu kontaktieren. Wir klären Ihre individuelle Situation und die aktuelle Rechtslage.
Glossar – Fachbegriffe kurz erklärt
Verantwortlicher (im Sinne der Datenschutz-Grundverordnung, DS-GVO)
Der Verantwortliche ist die Person oder Organisation, die allein oder gemeinsam mit anderen über die Zwecke (das Warum) und Mittel (das Wie) der Verarbeitung personenbezogener Daten entscheidet. Nach Art. 4 Nr. 7 DS-GVO trägt der Verantwortliche die Hauptverantwortung dafür, dass Datenschutzregeln eingehalten werden. Im beruflichen Kontext ist dies meist der Arbeitgeber, sofern Mitarbeiter nur gemäß dessen Weisungen handeln. Überschreitet aber ein Mitarbeiter seine Befugnisse und verarbeitet Daten zu eigenen, privaten Zwecken, kann er selbst zum Verantwortlichen werden, wie im dargestellten Fall.
Beispiel: Ein Ladeninhaber entscheidet, warum Kundendaten gesammelt und wie sie verwaltet werden – er ist der Verantwortliche. Arbeitet ein Mitarbeiter eigenmächtig und privat mit Kundendaten, kann dieser Mitarbeiter selbst zum Verantwortlichen für diese private Verarbeitung werden.
Verarbeitung (personenbezogener Daten)
Verarbeitung bezeichnet nach Art. 4 Nr. 2 DS-GVO jeden Umgang mit personenbezogenen Daten, egal ob Speichern, Ändern, Löschen, oder auch nur das Abrufen und Ansehen der Daten. Das bedeutet: Schon das bloße Einsehen oder Abfragen von Daten im System ist eine Verarbeitung. Diese Definition ist bewusst sehr weit gefasst, um den Datenschutz umfassend zu regeln und auch den Missbrauch durch unbefugten Zugriff zu erfassen.
Beispiel: Wenn Sie in einer Kundenkartei lediglich Kontaktdaten aufrufen und ansehen, verarbeiten Sie personenbezogene Daten im Sinne der DS-GVO, auch wenn Sie sie nicht kopieren oder verändern.
Mitarbeiterexzess
Ein Mitarbeiterexzess liegt vor, wenn ein Arbeitnehmer bewusst und absichtlich seine dienstlichen Befugnisse überschreitet, um Daten oder Ressourcen für private Zwecke zu nutzen. In einem solchen Fall handelt der Mitarbeiter nicht mehr im Auftrag seines Arbeitgebers, sondern für eigene Zwecke, wodurch er persönlich die Verantwortung für diese Datenverarbeitung trägt und nicht der Arbeitgeber. Diese Ausnahme von der normalen Verantwortlichkeit ist wichtig, um Missbrauch durch Mitarbeiter effektiv zu verhindern und rechtlich zu sanktionieren.
Beispiel: Ein Polizeibeamter nutzt das Informationssystem aus reiner Neugier, um Daten eines Kollegen in Untersuchungshaft abzurufen, obwohl dies keine dienstliche Aufgabe ist. Dieses Handeln ist ein Mitarbeiterexzess.
Ordnungswidrigkeit (im Datenschutzkontext)
Eine Ordnungswidrigkeit ist ein rechtswidriger Verstoß gegen gesetzliche Vorschriften, der keine Straftat darstellt, aber dennoch mit einer Geldbuße geahndet werden kann (vgl. z.B. §§ 43, 44 DS-GVO). Im Datenschutz wird ein unerlaubter Datenzugriff häufig als Ordnungswidrigkeit eingestuft, insbesondere wenn der Täter vorsätzlich oder fahrlässig gegen Datenschutzanforderungen verstößt. Die Sanktionen sollen abschreckend wirken, ohne die hohen Hürden einer Strafverfolgung.
Beispiel: Ein Mitarbeiter wird zu einer Geldbuße verurteilt, weil er trotz Verbots personenbezogene Daten aus reiner Neugier abgerufen hat – dies gilt als Ordnungswidrigkeit, keine Straftat.
Rechtsbeschwerde
Die Rechtsbeschwerde ist ein Rechtsmittel, mit dem gegen Urteile in bestimmten Verfahren (zum Beispiel bei Ordnungswidrigkeiten) die Überprüfung durch eine höhere Instanz beantragt werden kann (vgl. § 79 OWiG). Mit der Rechtsbeschwerde will der Verurteilte erreichen, dass die nächste gerichtliche Ebene das Urteil auf Rechtsfehler überprüft und gegebenenfalls abändert oder aufhebt. Im dargestellten Fall legte der Polizeibeamte eine Rechtsbeschwerde gegen die verhängte Geldbuße ein, die das Oberlandesgericht als unbegründet zurückwies.
Beispiel: Ein Mitarbeiter ist wegen unbefugtem Datenzugriff zu einer Geldstrafe verurteilt und legt Rechtsbeschwerde ein, um gegen das Urteil vorzugehen und eine Überprüfung durch ein größeres Gericht zu erreichen.
Wichtige Rechtsgrundlagen
Basierend auf dem Vorgabetext habe ich die wichtigsten Gesetzesreferenzen identifiziert und mit entsprechenden Links versehen:
- Art. 4 Nr. 2 DS-GVO (Definition der Verarbeitung): Diese Vorschrift definiert „Verarbeitung“ als jeden Vorgang im Zusammenhang mit personenbezogenen Daten, etwa Erheben, Speichern oder auch das Abfragen. Die DS-GVO versteht das bloße Einsehen von Daten als Verarbeitung, was eine sehr weite Auslegung des Begriffs bedeutet. | Bedeutung im vorliegenden Fall: Das Gericht bestätigte, dass das bloße Nachschauen von Daten durch den Polizeibeamten bereits eine rechtswidrige Verarbeitung darstellt, obwohl keine weitere Veränderung oder Weitergabe erfolgte.
- Art. 4 Nr. 7 DS-GVO (Begriff des Verantwortlichen): Verantwortlicher ist die Stelle oder Person, die über Zwecke und Mittel der Datenverarbeitung entscheidet und somit die Kontrolle über die Datenverarbeitung hat. Im Regelfall ist dies der Arbeitgeber. | Bedeutung im vorliegenden Fall: Das OLG stellte fest, dass der Polizist selbst zum Verantwortlichen wird, da er im „Mitarbeiterexzess“ eigenständig und privat die Mittel und Zwecke der Datenverarbeitung bestimmt.
- Leitlinien des Europäischen Datenschutzausschusses (EDPB): Diese Leitlinien interpretieren die DS-GVO und betonen, dass ein Beschäftigter zum Verantwortlichen wird, wenn er Daten für eigene Zwecke verarbeitet, die von seinem Arbeitgeber abweichen. | Bedeutung im vorliegenden Fall: Das Gericht stützte sich auf diese Leitlinien, um zu begründen, dass bei einer eigenmächtigen, privaten Datenverarbeitung durch den Beamten keine Verantwortlichkeit mehr beim Arbeitgeber liegt.
- § 61 BDSG (Bußgeldvorschriften bei Datenschutzverstößen): Das Bundesdatenschutzgesetz ergänzt die DS-GVO und regelt unter anderem Sanktionen bei Datenschutzverstößen, inklusive Ordnungswidrigkeiten und Bußgelder. | Bedeutung im vorliegenden Fall: Die Geldbuße von 1.500 Euro basiert auf der Annahme einer vorsätzlichen Ordnungswidrigkeit nach dieser Vorschrift, die das Gericht bestätigt hat.
- Rechtsbeschwerdeverfahren (vgl. § 79 OWiG): Das Verfahren zur Überprüfung von Urteilen bei Ordnungswidrigkeiten vor einer höheren Instanz, hier vor dem OLG Stuttgart. | Bedeutung im vorliegenden Fall: Die Ablehnung der Rechtsbeschwerde zeigt die rechtliche Bestätigung der ersten Instanzentscheidung zur Verantwortlichkeit des Beamten und zur Verhängung der Geldbuße.
- Rechtsprechung EuGH (u.a. Urteil zum Datenabruf durch Mitarbeiter): Der Europäische Gerichtshof hat entschieden, dass das Abfragen personenbezogener Daten bereits eine „Verarbeitung“ im Sinne der DS-GVO ist. | Bedeutung im vorliegenden Fall: Das OLG übernahm diese Rechtsprechung für den Polizeibeamten, klarzustellen, sein Datenabruf eine Datenverarbeitung darstellt und somit unter die DS-GVO fällt.
Das vorliegende Urteil
OLG Stuttgart – Az.: 2 ORbs 16 Ss 336/24 – Beschluss vom 25.02.2025
* Der vollständige Urteilstext wurde ausgeblendet, um die Lesbarkeit dieses Artikels zu verbessern. Klicken Sie auf den folgenden Link, um den vollständigen Text einzublenden.
→ Lesen Sie hier den vollständigen Urteilstext…
Hinweis: Informationen in unserem Internetangebot dienen lediglich Informationszwecken. Sie stellen keine Rechtsberatung dar und können eine individuelle rechtliche Beratung auch nicht ersetzen, welche die Besonderheiten des jeweiligen Einzelfalles berücksichtigt. Ebenso kann sich die aktuelle Rechtslage durch aktuelle Urteile und Gesetze zwischenzeitlich geändert haben. Benötigen Sie eine rechtssichere Auskunft oder eine persönliche Rechtsberatung, kontaktieren Sie uns bitte.
