LDI NRW kann Beschäftigte öffentlicher Stellen mit Bußgeld belegen
Öffentliche Stellen haben viele Daten, und das lädt manchmal zum Missbrauch ein, zum Beispiel: Eine Polizeibeamtin möchte wissen, ob ihr neuer Nachbar vorbestraft ist. Deshalb sucht sie ihn in den Datenbanken, die ihr für dienstliche Zwecke zur Verfügung stehen. Oder: Ein Kommunalbeamter recherchiert aus Neugier die Adressen von Promis im Melderegister und schickt sie an Freunde.
Das ist selbstverständlich verboten. Wenn Beschäftigte öffentlicher Stellen dienstliche Daten zu privaten Zwecken verarbeiten, ist das kein Kavaliersdelikt. Solche Verstöße kann die LDI NRW mit Geldbußen sanktionieren. Das gilt sowohl für die Beschäftigten öffentlicher Stellen des Landes und der Kommunen in NRW, als auch für Beschäftigte der Bundesbehörden, die in NRW wohnen.
Beschäftigte nordrhein-westfälischer öffentlicher Stellen in NRW
Für die Beschäftigten der öffentlichen Stellen des Landes oder der Kommunen in Nordrhein-Westfalen gilt das Datenschutzgesetz Nordrhein-Westfalen (DSG NRW). Das Gesetz regelt, dass ein solcher Datenmissbrauch als eine Ordnungswidrigkeit bestraft werden kann, wenn die*der Beschäftigte vorsätzlich gehandelt hat (§ 33 und § 69 DSG NRW). Ein bloß fahrlässiges Handeln ist – mangels entsprechender Regelung im DSG NRW – dagegen nicht mit einer Geldbuße bedroht.
Konkret heißt das für unsere Beispiele: In beiden Fällen handelt es sich um Ordnungswidrigkeiten. Die LDI NRW kann gegen die Polizistin und den Kommunalbeschäftigten Geldbußen verhängen. Die Geldbuße kann – je nach Einzelfall – maximal 50.000 Euro betragen.
Beschäftigte des Bundes, die in NRW wohnen
Für die Beschäftigten des Bundes gilt grundsätzlich das Bundesdatenschutzgesetz. Das Gesetz regelt zwar keine Ordnungswidrigkeiten, die an Beschäftigte als Täter*innen anknüpfen. Eine Geldbuße kommt aber in Betracht, wenn Beschäftigte Daten für eigene Zwecke verarbeiten und dabei eindeutig außerhalb der Anweisungen handeln, die für die Datenverarbeitung in der Behörde gelten. In solchen Fällen sprechen Fachleute von „Exzessen“. Wenn Beschäftigte eigenmächtig für eigene Zwecke handeln, werden sie selbst zu der Stelle, die für die Datenverarbeitung verantwortlich ist. Für sie gilt die Datenschutz-Grundverordnung (DS-GVO), die auch Geldbußen regelt.
Für unser Beispiel mit der Polizistin heißt das: Wenn sie als Bundespolizistin gegen den Datenschutz verstößt, indem sie dienstliche Datenbanken nach ihrem Nachbarn durchsucht, dann begeht sie einen Exzess. In diesem Fall ist eine Geldbuße nach der DS-GVO möglich.
Zwar ist eigentlich der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit für die Aufsicht über öffentliche Stellen des Bundes zuständig. Weil die Polizistin aber nicht im Rahmen ihrer behördlichen Aufgaben, sondern aus ganz privaten Gründen gehandelt hat, ist sie selbst nach der DS-GVO als private Verantwortliche heranzuziehen. Für die Datenschutzkontrolle über private Verantwortliche, ist die Landesbehörde zuständig. Konkret würde also die LDI NRW über eine Geldbuße entscheiden, wenn die Bundesbeamtin ihren Wohnsitz in NRW hat.
Beschäftigte privater Stellen
Dasselbe wie für Beschäftigte von Bundesbehörden gilt übrigens auch für Exzesse, die von Beschäftigten privater Unternehmen oder Stellen begangen werden. Auch diese können für ihr Fehlverhalten persönlich mit Geldbußen sanktioniert werden (Art. 83 DS-GVO).