Im aktuellen Tätigkeitsbericht der Brandenburgischen Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht (LDA Brandenburg) wird ein facettenreicher Fall aus dem Büroalltag geschildert, der in einem Bußgeld für die Mitarbeiterin eines Sozialamts mündete.
Was war passiert?
Die Mitarbeiterin hatte mit ihrem privaten Smartphone während der Arbeit ein Selfie erstellt, da sie von einem sozialen Netzwerk aufgefordert worden war, Bilder zum aktuellen Standort bzw. zu gegenwärtigen Tätigkeiten anzufertigen und hochzuladen. Laut den Ausführungen der LDA waren auf diesem Foto auch hochsensible Daten Dritter zu erkennen. Denn
„zum Zeitpunkt der Aufforderung waren auf den Monitoren am Arbeitsplatz einer Sozialamtsmitarbeiterin Schreiben geöffnet, die Angaben zum vollständigen Namen einer Leistungsempfängerin, ihrer Mitgliedschaft in einer Bedarfsgemeinschaft, der Art und Höhe der bezogenen Leistung sowie ihrem Wohnort in einem Seniorenheim enthielten.“
Sensible Sozialdaten
Diese Informationen waren nicht nur personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO bzw. besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, sondern auch Sozialdaten im Sinne von § 67 Abs. 2 S. 1 SGB X. Das Fotografieren und die Veröffentlichung des Fotos stellen auch eine Verarbeitung im Sinne der DSGVO dar. Überdies wäre hiermit eine Datenschutzverletzung (Datenpanne) nach Art. 33 Abs. 1 DSGVO anzunehmen.
Nach der Veröffentlichung dieses Fotos sollen 20 Personen die Möglichkeit des Zugriffs auf dieses Bild und somit auf die erkennbaren personenbezogenen Daten der Leistungsempfängerin gehabt haben. Die Veröffentlichung der Daten hatte keinen dienstlichen Bezug und verstieß zudem gegen die bei Dienstantritt unterzeichnete Verpflichtungserklärung zur Einhaltung des Datenschutzes. Auch war die Sozialamtsmitarbeiterin im Datenschutzrecht geschult worden.
Die zuständige Aufsichtsbehörde erließ aufgrund des Verstoßes gegen Art. 6 und Art. 9 DSGVO direkt gegen die Mitarbeiterin ein Bußgeld und führte dazu im Detail im Tätigkeitsbericht aus:
„Wegen dieses Verstoßes setzten wir gegen die Sozialamtsmitarbeiterin eine Geldbuße im mittleren dreistelligen Bereich fest. Hierbei berücksichtigten wir insbesondere die besondere Schutzwürdigkeit der betroffenen Daten sowie die Anzahl der Personen, für die das Foto zum Abruf bereitstand. Zudem haben wir bei unserer Entscheidung einbezogen, dass der Verstoß geeignet war, das Vertrauen der Allgemeinheit in die Rechtmäßigkeit des Umgangs mit personenbezogenen Daten durch die damit befassten öffentlichen Stellen empfindlich zu beeinträchtigen. Auf der anderen Seite war zu berücksichtigen, dass die Mitarbeiterin sich geständig einließ und reumütig zeigte.“
Die (persönlichen) Folgen
Der Fall zeigt erneut, dass bei bestimmtem, rechtswidrigem Verhalten während der Arbeit direkt eine Ordnungswidrigkeit der handelnden Person angenommen werden kann, die zur Verhängung eines persönlichen Bußgeldes bzw. der Einleitung eines Verfahrens gegen diese Peson führen kann. So könnte z. B. auch eine strafbewehrte Verletzung von Privatgeheimnissen nach § 203 StGB im Raume stehen. Hinzukommen könnten noch etwaige weitere arbeitsrechtliche Maßnahmen.
Awareness ist wichtig!
Sowohl Unternehmen als auch öffentliche Stellen sind daher gehalten, die Beschäftigten regelmäßig im Datenschutzrecht zu schulen und auf den Umstand der persönlichen Haftung hinzuweisen. Auch die Anforderungen an eine rechtmäßige Datenverarbeitung sollten Teil der Awareness sein.
Interne Richtlinien, wie z. B. das Verbot der privaten Nutzung der Arbeitsmittel, schaffen hier eine Basis, betreffen aber natürlich nicht direkt den Umgang mit privaten Endgeräten im Büro. Ebenso sollten Social-Media-Guidelines (siehe auch den Handlungsrahmen für die Nutzung von „Social Media“ durch öffentliche Stellen des Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI) Rheinland-Pfalz) längst intern etabliert sein, um hiermit Daten des Verantwortlichen aber auch sonstige Informationen, die bspw. dem Geschäftsgeheimnis unterliegen, vor der rechtswidrigen Veröffentlichung in sozialen Netzwerken zu schützen – und alle Akteure hinreichend zu sensibilisieren.
Das gilt auch insbesondere für Marketingabteilungen, wenn diese Fotos oder Videos von Beschäftigten an ihren Arbeitsplätzen für die eigene Website oder Social-Media-Auftritte anfertigen. Selbst kleinere Informationen im Hintergrund können heute durch Heranzoomen im Bild oder Video plötzlich zu erkennen sein (wir berichteten). Das Löschen dieser Bilder oder Videoaufnahmen nach deren Veröffentlichung im Netz ist dann kaum mehr umsetzbar. Für die betroffenen Personen kann der Schaden gerade bei sensiblen Daten erheblich sein. Neben einem Bußgeld durch die zuständige Aufsichtsbehörde sind bei Datenschutzverletzungen auch Schadensersatzansprüche durch die Betroffenen möglich.
Keine Kommentare