Mitarbeiterexzesse – Teil 2: Verantwortlichkeiten, Prävention
DP+
Bild: iStock.com/skynesher
Haftung bei Datenschutzverstößen im Beschäftigtenverhältnis
Der erste Teil dieser kurzen Reihe stellte das Phänomen der Mitarbeiterexzesse dar. Der zweite Teil beschreibt nun die jeweiligen datenschutzrechtlichen Verantwortlichkeiten und gibt Hinweise für Arbeitgeber, wie sie hier präventiv tätig werden können.
Die Folgen eines vorsätzlichen Pflichtverstoßes von Mitarbeitenden, also des sogenannten Mitarbeiterexzesses, beschränken sich nicht auf arbeitsrechtliche Konsequenzen. Sie können auch datenschutzrechtlich erhebliche Haftungsrisiken auslösen – sowohl für die handelnde Person als auch für das Unternehmen.
Wer als Verantwortlicher nachweisen kann, dass er alle organisatorischen Pflichten erfüllt hat, kann sich in bestimmten Fällen entlasten. Doch die Hürden für diesen Nachweis liegen hoch. Umso wichtiger ist es, die eigene Datenschutzorganisation regelmäßig auf Schwachstellen zu überprüfen.
Betroffenenrechte
Wird ein Beschäftigter im Rahmen eines Mitarbeiterexzesses selbst zum Verantwortlichen, gelten für ihn die Pflichten der Datenschutz-Grundverordnung (DSGVO) in vollem Umfang. Da es sich nicht um eine rein private Tätigkeit handelt, greift die Ausnahme von Art. 2 Abs. 2 Buchst. c DSGVO nicht. Zwar sind einige Pflichten – wie das Führen eines Verzeichnisses oder die Benennung eines Datenschutzbeauftragten – regelmäßig nicht einschlägig, zentrale Betroffenenrechte jedoch sehr wohl.
Auskunftsanspruch auch bei unbefugtem Datenzugriff durch Beschäftigte
Betroffene haben gegenüber einem Mitarbeitenden, der durch eigenes Handeln zum Verantwortlichen wird, einen vollständigen Auskunftsanspruch nach Art. 15 DSGVO. Daneben kann auch das Unternehmen verpflichtet sein, Auskunft darüber zu geben, welcher Beschäftigte unbefugt auf personenbezogene Daten zugegriffen hat , so der EuGH in C-154/21 zum Umfang eines Auskunftsanspruch…
Weiterlesen mit DP+
Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?
Verfasst von
Olga Diesendorf
Olga Diesendorf ist externe Datenschutzbeauftragte und spezialisiert sich u.a. auf die Beratung von Kunden im Gesundheitswesen.
Rudi Kramer
Rudi Kramer ist Syndikusanwalt in Nürnberg und engagiert sich als Dozent bei der Initiative „Datenschutz geht zur Schule“ des BvD e.V.
