24.10.2021

Daten zur privaten Kontaktaufnahme

Unzulässige Verwendung beruflicher Daten zur privaten Kontaktaufnahme

Eigentlich eine Selbstverständlichkeit: Kontaktdaten, auf die eine Person aus beruflichen Gründen Zugriff hat – etwa im Zusammenhang mit einem ärztlichen Behandlungsverhältnis oder anhand von Bewerbungsunterlagen – dürfen ohne Einwilligung der betroffenen Person nicht für eine private Kontaktaufnahme genutzt werden. Doch leider kommt es immer wieder zur missbräuchlichen Verwendung solcher Daten für nicht zulässige private Zwecke.

Der LDI NRW lagen mehrere Eingaben zur Nutzung von Kontaktdaten vor, die in beruflichem Zusammenhang erlangt, jedoch für private Zwecke verwendet wurden.

In einem Fall hatte die betroffene Person eine Klinik für eine medizinische Behandlung aufgesucht. Insoweit lagen der Klinik unter anderem der Vor- und Nachname der betroffenen Person vor. Die zuständigen Ärzt*innen der Klinik hatten somit aufgrund des Behandlungsverhältnisses Kenntnis von diesen Informationen. Eine dieser Personen hat den Vor- und Nachnamen sodann genutzt, um die betroffene Person später im Sozialen Netzwerk Facebook zu suchen und auf privater Ebene zu kontaktieren.

In einem anderen Fall hatte die betroffene Person sich auf eine Arbeitsstelle beworben. Aus den Bewerbungsunterlagen ergab sich auch die private Mobilfunknummer. Es fand ein persönliches Vorstellungsgespräch statt; ein Beschäftigungsverhältnis ergab sich jedoch nicht. Eine Person, die bei dem potenziellen Arbeitgeber Zugriff auf die Bewerbungsunterlagen hatte, nutzte später die private Mobilfunknummer der betroffenen Person für eine Kontaktaufnahme über den Messenger WhatsApp. Auch diese Kontaktaufnahme geschah aus privater Motivation heraus.

Eine Kontaktaufnahme über Soziale Netzwerke oder Messenger unter Nutzung des Namens oder der Mobilfunknummer stellt eine automatisierte Verarbeitung dieser personenbezogenen Daten dar. Eine solche Verarbeitung ist nur zulässig, wenn hierfür eine Rechtsgrundlage vorliegt.

Eine Einwilligung der betroffenen Person lag in beiden Fällen nicht vor. Da die Datenverarbeitung zu privaten Zwecken erfolgt war, diente sie auch nicht der Erfüllung oder Anbahnung eines Vertrages im Zusammenhang mit dem ärztlichen Behandlungsverhältnis bzw. dem Bewerbungsverhältnis.

Es ist auch kein berechtigtes Interesse erkennbar, die im beruflichen Zusammenhang zugänglich gemachten Daten für private Zwecke zu nutzen. Weiterhin müssen weder Patient*innen noch Bewerber*innen mit einer solchen Datenverarbeitung rechnen. Patient*innen erwarten, dass die Vertraulichkeit aller Informationen gewahrt wird, die im Zusammenhang mit der Behandlung bekanntgemacht werden. Ebenso erwarten Bewerber*innen, dass potenzielle Arbeitgeber*innen bzw. die dort tätigen Personen die erlangten Daten nur zu Zwecken des Bewerbungsverhältnisses verwenden. Daher überwiegt das entgegenstehende Interesse der betroffenen Personen, dass derartige Informationen nicht für Zwecke außerhalb des ärztlichen Behandlungsverhältnisses bzw. des Bewerbungsverhältnisses verwendet werden.

In beiden Fällen wurde in Anbetracht der Gesamtumstände eine Verwarnung ausgesprochen. Diese richtete sich gegen die jeweils handelnde natürliche Person, die in diesen Fällen als datenschutzrechtlich Verantwortlicher einzuordnen war. Da die jeweiligen Daten nur zu beruflichen Zwecken hätten verarbeitet werden dürfen, lag die Nutzung zu rein privaten Zwecken nicht im Bereich der dienstlichen Befugnisse. Diese Datenverarbeitung war daher nicht dem jeweiligen Arbeitgeber zuzurechnen. Vielmehr haben die natürlichen Personen über die Zwecke und Mittel der Datenverarbeitung bestimmt und waren daher selbst Verantwortliche.

Es lag auch keine Ausnahme vom Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) vor. Diese findet zwar gemäß ihres Art. 2 Abs. 2 Buchstabe c keine Anwendung auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. Dies soll nach Erwägungsgrund 18 Satz 1 DSGVO der Fall sein, wenn die Verarbeitung ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird (siehe dazu auch 25. Bericht unter Ziffer 4.7). Hier wurden jedoch jeweils Daten genutzt, die den handelnden Personen gerade aufgrund deren beruflicher Tätigkeit bekanntgeworden bzw. verfügbar waren. Die Verwendung der Daten war daher zwar privat motiviert, stand aber zugleich in einem Bezug zur beruflichen Tätigkeit.

Personenbezogene Daten dürfen nur bei Vorliegen einer Rechtsgrundlage und nur für legitime Zwecke verarbeitet werden. Hat eine Person im beruflichen Kontext Zugriff auf personenbezogene Daten, so dürfen diese grundsätzlich auch nur für berufliche Zwecke und im Rahmen des insoweit Erforderlichen genutzt werden. Eine Nutzung von beruflich erlangten Informationen zur privaten Kontaktaufnahme ist daher – sofern keine wirksame Einwilligung der betroffenen Person vorliegt – nicht zulässig. Da sich die Zugriffsmöglichkeit auf die Daten gerade aus der beruflichen Tätigkeit ergibt, erfolgt eine Verarbeitung solcher Daten nicht zur Ausübung ausschließlich persönlicher Tätigkeiten, sondern unterliegt den datenschutzrechtlichen Vorgaben.

Quelle: LDI NRW

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks