Unrechtmäßiger Datenabruf aus Neugierde
In verschiedenen Bereichen werden Datenbanken und Abfragesysteme zur Verarbeitung von personenbezogenen Daten zu festgelegten, eindeutigen und legitimen Zwecken von Arbeitgebenden bereitgestellt, um Aufgaben dienstlicher Natur zu erfüllen. Doch was passiert, wenn diese Datenbanken zu privaten Zwecke eines Mitarbeitenden des öffentlichen Dienstes genutzt werden? Zwar sieht § 28 LDSG unter anderem vor, dass gegen öffentliche Stellen keine Geldbußen verhängt werden dürfen. Eine „Immunität“ für Mitarbeitende einer öffentlichen Stelle bedeutet dies jedoch nicht. Vielmehr ist von dem oben genannten Grundsatz eine Ausnahme zu machen, wenn das Verhalten eines oder einer Mitarbeitenden der öffentlichen Stelle nicht zuzurechnen ist, das heißt, ein Mitarbeitendenexzess vorliegt.
Die rein private Nutzung eines dienstlich zur Verfügung gestellten Abfragesystems stellt regelmäßig eine eigenmächtige Verarbeitung zu gesetzesfremden Zwecken dar, welche dem Arbeitgeber bzw. der öffentlichen Stelle nicht zuzurechnen ist. Ferner ist der handelnde Mitarbeitende auch nicht als öffentliche Stelle im Sinne des § 2 Abs. 1 oder Abs. 2 LDSG zu qualifizieren. Für zweckwidrige, rechtsgrundlose Verarbeitungen kann dementsprechend gemäß Art. 83 Abs. 5 Buchst. a. DSGVO eine Geldbuße verhängt werden. Deshalb wurden erneut Bußgelder wegen der Nutzung dienstlich zur Verfügung gestellte Datenbanken zu privaten Zwecken verhängt.
So überschritt eine Mitarbeiterin eines Klinikums ihren Zuständigkeitsbereich, welcher die Abrechnungen von erbrachten Leistungen betraf, um mehr über ihre neue Nachbarin zu erfahren. Durch den Abruf in dem dortigen Patientenverwaltungssystem konnten nicht nur die vollständigen Personalien der Nachbarin eingesehen werden, sondern auch sämtliche Klinikaufenthalte und Diagnosen. Erfreulicherweise hatte das Klinikum wesentlich zur Aufklärung des Sachverhaltes beigetragen und auch selbst arbeitsrechtliche Schritte gegen die Mitarbeiterin eingeleitet. Gegen die Betroffene wurde ein Bußgeld in Höhe von insgesamt 2.000,00 Euro verhängt. Bei der Bemessung fanden die Tatsache, dass es sich um einen Erstverstoß handelte und die Betroffene auch arbeitsrechtliche Maßnahmen erhielt, wie auch der Umstand, dass es sich um Daten der besonderen Kategorie nach Art. 9 DSGVO handelte, Berücksichtigung.
Auch im Bereich der Polizei sind solche zweckwidrigen und rechtsgrundlosen Abfragen Gegenstand von Bußgeldverfahren. So hatte eine Beschäftigte der Polizei diverse Abfragen in dem Meldeportal MeldIT getätigt. So soll in einem Fall eine Berichterstattung im Radio die Betroffene so bewegt haben, dass sie sich dazu entschied, sich weitere Informationen zu den Akteuren der Berichterstattung selbst zu beschaffen. Gegen die Betroffene wurde ein Bußgeld in Höhe von 1.200,00 Euro als wirksam, abschreckend und verhältnismäßig erachtet.
Quelle: LfDI BW
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber:innen (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter. Alles zu IT-Betrieb, IT-Sicherheit und Administration von Websites
- Tragbarer Tresor für die Reise zum Schutz von Wertsachen
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
Dieser Absatz enthält Affiliatelinks/Werbelinks