Mitarbeiterexzesse – Teil 2: Verantwortlichkeiten, Prävention

Die Folgen eines vorsätzlichen Pflichtverstoßes von Mitarbeitenden, also des sogenannten Mitarbeiterexzesses, beschränken sich nicht auf arbeitsrechtliche Konsequenzen. Sie können auch datenschutzrechtlich erhebliche Haftungsrisiken auslösen – sowohl für die handelnde Person als auch für das Unternehmen.

Wer als Verantwortlicher nachweisen kann, dass er alle organisatorischen Pflichten erfüllt hat, kann sich in bestimmten Fällen entlasten. Doch die Hürden für diesen Nachweis liegen hoch. Umso wichtiger ist es, die eigene Datenschutz­organisation regelmäßig auf Schwachstellen zu überprüfen.

Betroffenenrechte

Wird ein Beschäftigter im Rahmen eines Mitarbeiterexzesses selbst zum Verantwortlichen, gelten für ihn die Pflichten der Datenschutz-Grundverordnung (DSGVO) in vollem Umfang. Da es sich nicht um eine rein private Tätigkeit handelt, greift die Ausnahme von Art. 2 Abs. 2 Buchst. c DSGVO nicht. Zwar sind einige Pflichten – wie das Führen eines Verzeichnisses oder die Benennung eines Datenschutzbeauftragten – regelmäßig nicht einschlägig, zentrale Betroffenenrechte jedoch sehr wohl.

Auskunftsanspruch auch bei unbefugtem Datenzugriff durch Beschäftigte

Betroffene haben gegenüber einem Mitarbeitenden, der durch eigenes Handeln zum Verantwortlichen wird, einen vollständigen Auskunftsanspruch nach Art. 15 DSGVO. Daneben kann auch das Unternehmen verpflichtet sein, Auskunft darüber zu geben, welcher Beschäftigte unbefugt auf personenbezogene Daten zugegriffen hat , so der EuGH in C-154/21 zum Umfang eines Auskunftsanspruch…