Source: https://www.datenschutzbeauftragter-info.de/uebertragung-der-haftung-nach-dsgvo-auf-den-arbeitnehmer/
Timestamp: 2019-12-05 17:57:13
Document Index: 111533146

Matched Legal Cases: ['Art. 83', 'Art. 83', '§ 43', '§ 42', '§ 17', '§ 201', '§ 206', 'Art. 82', 'Art. 82', '§ 17', '§ 201', '§ 206', '§ 203', 'Art. 82']

Übertragung der Haftung nach DSGVO auf den Arbeitnehmer?
12. Juli 2018 |	13 Kommentare | Von Dr. Datenschutz
Wir erhielten kürzlich eine Nachfrage, ob Arbeitnehmer eine Vereinbarung unterschreiben müssen, nach der sie bei Verstößen gegen die DSGVO privat haften. Müssen jetzt auch die Arbeitnehmer Bußgelder der Aufsichtsbehörden fürchten?
Fragen eines Arbeitnehmers
Wir erhielten diesen Kommentar eines Lesers:
„Ich bin in einer kleinen Firma in Teilzeit angestellt und mein Chef möchte, dass ich eine Datenschutzerklärung unterschreibe, in der ich (!) bei Verstößen mit bis zu 20 Mio. Euro hafte, ohne Aussicht auf Insolvenztilgung, einzige alternative Freiheitsstrafe. Auch wenn das -wie mein Chef sagt- alles nur rein theoretisch ist und nie eintreffen wird, hätte ich es ja doch unterschrieben. Ich finde das ziemlich übertrieben und frage mich, ob das so rechtens ist, wie mein Chef behauptet oder ob er sich vielleicht doch vertan hat?
Muss ich das wirklich unterschreiben? Muss ich mir jetzt wirklich selber kostenpflichtig einen Anwalt nehmen, um verbindliche Informationen dazu zu bekommen?“
Daher widmen wir uns dem Thema der Haftung von Arbeitnehmern bei Verstößen gegen das Datenschutzrecht.
Innerhalb eines Arbeitsverhältnisses gelten besondere Haftungsgrundsätze. Diese wurden von der Rechtsprechung entwickelt, um den Besonderheiten im Arbeitsverhältnis Rechnung zu tragen. In Fällen betrieblich veranlasster Tätigkeiten wird die Haftung zwischen Arbeitgeber und Arbeitnehmer, im Rahmen des sog. innerbetrieblichen Schadensausgleichs, aufgeteilt.
Die jeweiligen Anteile werden dabei in Abhängigkeit vom Grad des Verschuldens des Arbeitnehmers, der den Schaden verursacht hat, gebildet. Dabei wird zwischen folgenden Verschuldensgraden unterschieden:
Leichteste-/ leichte Fahrlässigkeit
Handelt der Arbeitnehmer nur leicht fahrlässig haftet er nicht. Dabei handelt es sich um Fälle von geringfügigen und leicht entschuldbaren Pflichtverstößen, die jedem Arbeitnehmer im Laufe seines Arbeitslebens passieren können.
Normale-/ mittlere Fahrlässigkeit
Handelt der Arbeitnehmer „normal“ fahrlässig wird der Schaden geteilt. Fahrlässig handelt, wer objektiv erforderliche Sorgfalt bei seiner Arbeitstätigkeit außeracht lässt. Dies sind Fälle, in denen der Arbeitnehmer einen Schaden hätte voraussehen müssen, aber nicht daran gedacht hat. Bei der Bildung der individuellen Haftungsquote sind die Gerichte frei. Allerdings wird die Haftung des Arbeitnehmers bei sehr hohen Schäden häufig in der Höhe auf ein Monatsgehalt begrenzt.
Grobe-/ gröbste Fahrlässigkeit
Handelt der Arbeitnehmer grob fahrlässig, haftet er grundsätzlich in vollem Umfang. Aber immer, wenn Juristen davon sprechen, dass etwas grundsätzlich „so“ ist, gibt es auch eine Ausnahme. Hier liegt die Ausnahme darin, dass die Gerichte bei sehr hohen Schäden die Haftung des Arbeitnehmers häufig in der Höhe auf drei Monatsgehälter begrenzen. Gleiches gilt auch bei gröbster Fahrlässigkeit, die vorliegt wenn die Pflichtverletzung zwar vorsätzlich begangen wird, der Schadenseintritt aber nur fahrlässig herbeigeführt wird.
Nur wenn der Arbeitnehmer vorsätzlich handelt und auch den Schaden vorsätzlich verursacht, haftet er voll.
Und was gilt nun bei Bußgeldern aufgrund von Datenschutzverstößen für das Arbeitsverhältnis?
Nach Art. 83 DSGVO können Aufsichtsbehörden zwar Bußgelder verhängen, die auch bis 20.000.000 € betragen können (mehr dazu hier), der Adressat eines solchen Bußgeldes ist aber immer der (für die Datenverarbeitung) Verantwortliche – und das ist der Arbeitgeber.
Ein Arbeitnehmer haftet daher in Bezug auf ein Bußgeld nach Art. 83 DSGVO nur im Innenverhältnis und dafür gelten die oben genannten Grundsätze genauso. Das liegt daran, dass die Einhaltung der datenschutzrechtlichen Vorgaben, zu den Pflichten des Arbeitsverhältnisses gehören, die bei der täglichen Arbeit zu beachten sind.
Weitere Bußgeld- und Strafvorschriften
Daneben können den Arbeitnehmer aber Bußgelder nach § 43 BDSG treffen, dieser gilt jedoch nur für bestimmte Verstöße bei Abschluss von Verbraucherdarlehensverträgen.
Hinzu kommen die Strafvorschriften des § 42 BDSG, dieser sieht auch Geld oder Freiheitsstrafen vor. Damit die Voraussetzungen dafür erfüllt sind, müsste der datenschutzrechtliche Verstoß des Arbeitnehmers als solcher aber nicht nur vorsätzlich (wissentlich) sein, sondern auch gewerbsmäßig oder gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
Verstöße gegen den Datenschutz können zudem auch nach anderen Gesetzen strafbar sein, z. B. nach
§ 17 UWG (Verrat von Geschäfts- und Betriebsgeheimnissen),
§ 201 StGB (Verletzung der Vertraulichkeit des Wortes) oder
§ 206 StGB (Verletzung des Post- oder Fernmeldegeheimnisses).
Und wie ist es, wenn man etwas Abweichendes unterschreiben soll?
Das Bundesarbeitsgericht (BAG, 05.02.2004 – 8 AZR 91/03) hat dazu folgendes entschieden:
„Die Grundsätze über die Beschränkung der Haftung des Arbeitnehmers bei betrieblich veranlassten Tätigkeiten sind einseitig zwingendes Arbeitnehmerschutzrecht. Von ihnen kann weder einzel- noch kollektivvertraglich zu Lasten des Arbeitnehmers abgewichen werden.“
Wenn der Arbeitgeber also auf einen Arbeitnehmer zukommt und ihn bittet eine Regelung zu unterschreiben, die von den oben genannten Grundsätzen abweicht, ist diese nichtig. Auch wenn der Arbeitnehmer die Vereinbarung unterschreiben sollte, wird diese von einem Gericht nicht angewendet werden.
Tipp für Arbeitgeber
Falls Sie ihre Arbeitnehmer eine Verpflichtung auf das Datengeheimnis unterschreiben lassen (hier mehr dazu, ob eine solche Verpflichtung nach DSGVO erforderlich ist) achten Sie darauf, dass die oben genannten Grundsätze in der Verpflichtung Anklang finden, um die Arbeitnehmer nicht unnötig zu verschrecken. Denn nur so kann das normale Arbeitsleben auch mit der DSGVO weitergehen.
Arbeitszeiten als personenbezogene Daten – Theorie und Wirklichkeit
Impfpflicht & Datenschutz: Der Impfnachweis im Beschäftigungsve (...)
Datenschutzbeauftragter: Unterstützung durch den Verantwortlichen
Mehr zum Thema: Arbeitnehmer, Bußgeld, Haftung, Haftungsbeschränkung, Strafrecht
13 Kommentare zu diesem Beitrag
Danke für die Ausführungen. Interessant in diesem Zusammenhang wäre es noch, wie es sich mit dem Schadensersatz nach Art. 82 verhält. Mal angenommen, ein Mitarbeiter verliert einen USB Stick mit sensiblen Daten, die dann veröffentlicht werden. Der Arbeitgeber hat in einer Datenschutzschulung und in seinen IT-Richtlinien den Einsatz von USB Sticks untersagt. Einer der Geschädigten fordert nun Schadensersatz. Geht das auch über die verantwortliche Stelle oder direkt an den Mitarbeiter?
Alex am 19. Juli 2018, 07:43 Uhr
Auch ein Schadensersatzanspruch nach Art. 82 DSGVO richtet sich nur gegen den Verantwortlichen. Im Innenverhältnis gelten dann zwischen dem Arbeitgeber und Arbeitnehmer die o.g. Grundsätze der Arbeitnehmerhaftung. Welcher Verschuldensgrad in dem von Ihnen geschilderten Sachverhalt anzunehmen ist, ist eine Einzelfallentscheidung, bei der auch noch weitere Gesichtspunkte eine Rolle spielen dürfen.
Dr. Datenschutz am 23. Juli 2018, 17:06 Uhr
Zunächst vielen Dank für die Ausführungen. Ich habe hierzu allerdings eine Nachfrage: Angenommen der Arbeitnehmer handelt „nur“ normal bis gröbst fahrlässig, seine Haftung wird also ggf. auf ein bis drei Monatsgehälter begrenzt. Gehe ich dann richtigerweise davon aus, dass der Verantwortliche den restlichen Bußgeldbetrag zu tragen hat, also vereinfacht gesagt, bis zu 20 Millionen minus drei Monatsgehälter?
AM am 27. Juli 2018, 09:11 Uhr
Grundsätzlich haftet nach außen der Verantwortliche voll, da er ja auch das Risiko trägt. Wie die Betroffenen dann im Einzelfall im Innenverhältnis haften ist eine arbeitsrechtliche Fragestellung.
Dr. Datenschutz am 2. August 2018, 10:09 Uhr
„Verstöße gegen den Datenschutz können zudem auch nach anderen Gesetzen strafbar sein, z. B. nach
– § 17 UWG (Verrat von Geschäfts- und Betriebsgeheimnissen),
– § 201 StGB (Verletzung der Vertraulichkeit des Wortes) oder
– § 206 StGB (Verletzung des Post- oder Fernmeldegeheimnisses).“
hier wäre meiner Meinung nach auch noch der § 203 StGB zu nennen der eine nicht unerhebliche Gruppe der Arbeitnehmer/innen betrifft.
T.Gehlhaar am 6. August 2018, 12:53 Uhr
Mein Arbeitgeber hat in der Datenschutzerklärung einen Passus drin, der mich zu einer Haftung verpflichtet für unbeabsichtigte Verletzungen des Datenschutz. Wie sieht hier die rechtliche Bewertung aus? Soweit ich weiss kann ich nur für vorsätzliche und grob fahrlässig haften aber eben nicht für leicht fahrlässig oder sogar schuldloses Handeln, was aber durch den Passus „unbeabsichtigt“ konterkariert wird. Leider erlaubt mir mein Arbeitgeber kein Unterschreiben mit Streichung des Wortes, sondern besteht auf einer vollständigen Anerkennung . Ich arbeite in der IT Entwicklung und dort können sogar mit größter Sorgfalt solche unbeabsichtigten Verletzungen passieren.
RatloserITNerd am 3. September 2018, 20:16 Uhr
Die Antwort auf Ihrer Frage können Sie dem Beitrag entnehmen („Und wie ist es, wenn man etwas Abweichendes unterschreiben soll?“).
Dr. Datenschutz am 4. September 2018, 10:15 Uhr
Wie ist diese Passage zu werten: „Gesetzliche Folge von Verstößen gegen meine Vertraulichkeitsverpflichtung können auch Schadensersatzansprüche der Personen, auf die die Daten sich beziehen, gegen mich persönlich sein, für die ich unter Umständen unbeschränkt mit meinem gesamten Vermögen und ohne Möglichkeit einer Restschuldbefreiung in einem Insolvenzverfahren hafte. „
Frederike Naumann am 4. Dezember 2018, 11:33 Uhr
Ein Schadensersatzanspruch nach Art. 82 DSGVO richtet sich nur gegen den Verantwortlichen. Im Innenverhältnis gelten dann zwischen dem Arbeitgeber und Arbeitnehmer die o.g. Grundsätze der Arbeitnehmerhaftung. Daneben können eventuell auch zivilrechtliche Schadensersatzansprüche in Frage kommen, soweit der betroffenen Person durch den Datenschutzverstoß ein Schaden entstanden ist.
Leider dürfen wir im Rahmen des Blogs keine Rechtsberatung im Einzelfall durchführen. Sie können sich dazu an einen spezialisierten Rechtsanwalt wenden.
Dr. Datenschutz am 5. Dezember 2018, 18:34 Uhr
Gesetzt den Fall, der Geschäftsführer fordert von mir als IT-Admin die Umsetzung einer Maßnahme, die ich für nicht DSGVO-konform halte. Ich würde dies nicht mit unserem Datenschutzbeauftragten kommunizieren, da ich den GF auf gut deutsch nicht „in die Pfanne hauen will“. Wie sieht es mit meiner Haftbarkeit in einem solchen Fall aus? Sollte ich in so einem Fall eine explizite schriftliche Arbeitsanweisung von Seiten der Geschäftsführung einfordern, aus der klar hervorgeht, dass ich für diese Maßnahme nicht verantwortlich zeichne?
Maddin am 7. Dezember 2018, 15:40 Uhr
Dazu habe ich verschiedene Anmerkungen:
1. Die Verantwortung trägt immer der Geschäftsführer, sofern Sie sich nicht explizit entgegen einer Dienstanweisung verhalten. Aus diesem Gesichtspunkt haben Sie wenig zu befürchten.
2. Ich würde trotzdem rein vorsorglich eine Dienstanweisung in einer nachweisbaren Form (schriftlich oder per Mail) bevorzugen.
3. Ich würde dringend empfehlen, den betrieblichen Datenschutzbeauftragten hinzuzuziehen. Das ist in keinster Weise ein „in die Pfanne“ hauen, vielmehr zeichnet das Sie als aufmerksamen und verantwortungsbewussten Arbeitnehmer aus. Nur wenn der DSB informiert ist über die Geschäftsabläufe, kann er unterstützend mitwirken – das hilft auch dem Geschäftsführer.
Dr. Datenschutz am 11. Dezember 2018, 14:07 Uhr
Hallo, angenommen der GF verlangt von mir Kaltakquise per E-Mail durchzuführen und die Daten der online gefundenen Personen im CRM zu speichern, inwiefern mache ich mich als Mitarbeiter dafür strafbar? Meines Wissens, sind solche E-Mails und die Datenspeicherung nur erlaubt, wenn die Person zugestimmt hat. Dies wäre in diesem Fall nicht vorhanden.
MitarbeiterX am 17. Januar 2019, 09:11 Uhr
Grundsätzlich ist der Verantwortliche (also der Arbeitgeber) für die Verarbeitung personenbezogener Daten verantwortlich und auch für die Weisungen die er diesbezüglich erteilt. Leider dürfen wir im Rahmen des Blogs keine Rechtsberatung im Einzelfall durchführen. Sie können sich dazu an einen spezialisierten Rechtsanwalt oder den Datenschutzbeauftragten Ihres Arbeitgebers wenden.
Dr. Datenschutz am 22. Januar 2019, 10:39 Uhr
Archiv: Monat auswählen Dezember 2019 (4) November 2019 (21) Oktober 2019 (22) September 2019 (21) August 2019 (22) Juli 2019 (23) Juni 2019 (19) Mai 2019 (21) April 2019 (20) März 2019 (21) Februar 2019 (20) Januar 2019 (22) Dezember 2018 (16) November 2018 (22) Oktober 2018 (21) September 2018 (20) August 2018 (23) Juli 2018 (21) Juni 2018 (21) Mai 2018 (20) April 2018 (20) März 2018 (21) Februar 2018 (20) Januar 2018 (23) Dezember 2017 (20) November 2017 (22) Oktober 2017 (20) September 2017 (22) August 2017 (23) Juli 2017 (21) Juni 2017 (21) Mai 2017 (21) April 2017 (18) März 2017 (23) Februar 2017 (20) Januar 2017 (22) Dezember 2016 (22) November 2016 (22) Oktober 2016 (20) September 2016 (21) August 2016 (23) Juli 2016 (21) Juni 2016 (22) Mai 2016 (20) April 2016 (22) März 2016 (28) Februar 2016 (20) Januar 2016 (20) Dezember 2015 (20) November 2015 (21) Oktober 2015 (22) September 2015 (22) August 2015 (21) Juli 2015 (23) Juni 2015 (22) Mai 2015 (18) April 2015 (20) März 2015 (23) Februar 2015 (20) Januar 2015 (22) Dezember 2014 (22) November 2014 (20) Oktober 2014 (22) September 2014 (22) August 2014 (21) Juli 2014 (24) Juni 2014 (19) Mai 2014 (21) April 2014 (21) März 2014 (20) Februar 2014 (20) Januar 2014 (22) Dezember 2013 (21) November 2013 (21) Oktober 2013 (21) September 2013 (21) August 2013 (20) Juli 2013 (23) Juni 2013 (20) Mai 2013 (19) April 2013 (21) März 2013 (20) Februar 2013 (18) Januar 2013 (22) Dezember 2012 (20) November 2012 (22) Oktober 2012 (22) September 2012 (20) August 2012 (24) Juli 2012 (23) Juni 2012 (21) Mai 2012 (20) April 2012 (18) März 2012 (21) Februar 2012 (20) Januar 2012 (22) Dezember 2011 (22) November 2011 (20) Oktober 2011 (22) September 2011 (24) August 2011 (23) Juli 2011 (22) Juni 2011 (21) Mai 2011 (22) April 2011 (19) März 2011 (22) Februar 2011 (21) Januar 2011 (21) Dezember 2010 (23) November 2010 (24) Oktober 2010 (21) September 2010 (23) August 2010 (24) Juli 2010 (23) Juni 2010 (24) Mai 2010 (19) April 2010 (17) März 2010 (13) Februar 2010 (2) Januar 2010 (4)