Mitarbeiterexzesse im Gesundheitsbereich: BlnBDI verhängt Bußgelder und überrascht dabei

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat in ihrem Jahresbericht 2025 mehrere Bußgeldverfahren gegen Beschäftigte im Gesundheitsbereich dokumentiert. Der gemeinsame Nenner aller Verfahren ist der unbefugte Zugriffe auf Patienten- und Beschäftigtendaten, für die kein beruflicher Anlass bestand. Klassische Fälle von sog. Mitarbeiterexzessen. 

Was ist ein Mitarbeiterexzess?

Der Begriff des Mitarbeiterexzesses bezeichnet Situationen, in denen Beschäftigte zwar technisch berechtigt sind, im Rahmen ihrer beruflichen Tätigkeit auf bestimmte Daten zuzugreifen – diesen Zugriff aber tatsächlich zu privaten oder sachfremden Zwecken nutzen. Das ist ein Unterschied, der datenschutzrechtlich erhebliche Konsequenzen hat.

Handelt ein Beschäftigter weisungskonform und im Rahmen seiner arbeitsrechtlichen Pflichten, verarbeitet er Daten als Teil der verantwortlichen Stelle – es liegt kein eigenständiger Datenverarbeitungsvorgang vor. Weicht er hingegen eigenmächtig von den internen Vorgaben ab, handelt er außerhalb seines Tätigkeitsrahmens. Für diese Verarbeitung fehlt dann regelmäßig jede Rechtsgrundlage im Sinne von Art. 6 bzw. Art. 9 DSGVO.

Die Beispiele aus dem Tätigkeitsbericht

Ein Arzt rief im Krankenhausinformationssystem die Gesundheitsdaten einer ihm fachlich unterstellten Beschäftigten ab, ohne erkennbaren dienstlichen Grund. Da die Betroffene im selben Haus angestellt war, hatte er einen Zugang zu ihren Daten. Das ändert an der datenschutzrechtlichen Bewertung allerdings nichts: Fehlt der sachliche Anlass, fehlt auch die Rechtsgrundlage.

Im gleichen Verfahren wurde bekannt, dass der Arzt nach einer Krankmeldung seines Assistenzarztes auch dessen Infektionsstatus im Krankenhausinformationssystem überprüft hatte – ebenfalls ohne Befugnis. Auch hier greift das Argument der rein technischen Zugriffsberechtigung nicht: Die Verarbeitung des Infektionsstatus ist besonders sensibel (Art. 9 DSGVO) und bedarf einer ausdrücklichen Rechtsgrundlage, die im konkreten Fall nicht vorlag.

Neben diesen Fällen dokumentiert die BlnBDI weitere Bußgeldverfahren, in denen Beschäftigte im Gesundheitsbereich Patienten- und Beschäftigtendaten zu privaten Zwecken abgerufen hatten. Die Bußgelder richteten sich dabei direkt gegen die handelnden Personen, nicht gegen die Arbeitgeber.

Wer ist verpflichtet – das Unternehmen oder die Beschäftigten?

Grundsätzlich ist der Verantwortliche nach Art. 32 DSGVO verpflichtet, durch geeignete technische und organisatorische Maßnahmen (TOM) sicherzustellen, dass unbefugte Zugriffe verhindert oder zumindest erkannt werden. Kommt es dennoch zu einem Exzess, kann gegenüber der zuständigen Aufsichtsbehörde eine Meldepflicht nach Art. 33 DSGVO entstehen. Das mag verwundern, da der Arbeitgeber bei einem Exzess ja gerade kein Verantwortlicher für die exzessive Verarbeitung mehr ist. Im Tätigkeitsbericht heißt es dazu: 

„Wenn Beschäftigte hingegen Daten, auf die sie im Arbeitskontext berechtigt zugreifen dürfen, zu eigenen, privaten Zwecken verarbeiten, werden sie selbst zu Verantwortlichen. Da für die Verarbeitung der Daten dann kein beruflicher Anlass besteht, fehlt es auch regelmäßig an einer Rechtsgrundlage, um diese Verarbeitungen zu rechtfertigen.“

Wer jetzt denkt, dass dem Arbeitgeber, der in der Regel Verantwortliche, keine Pflichten aus dem Exzess entstehen, wundert sich ein paar Zeilen später:

„Rechtswidrige Datenverarbeitungen im Mitarbeiterexzess stellen keine Verstöße des Arbeitgebers dar. Dieser ist jedoch nach Kenntnisnahme unverzüglich zur Meldung des Datenschutzvorfalles verpflichtet, sofern die Anforderungen von Art. 33 Abs. 1 DSGVO gegeben sind.“ 

Eine Erklärung, wie ein Nicht-Verantwortlicher zum Verantwortlichen nach Art. 33 DSGVO mit entsprechenden Sanktionsrisiken werden kann, erfolgt leider nicht. Allerdings hat die belgische Aufsichtsbehörde im Jahr 2025 in dieselbe Richtung (wir berichteten) entschieden.

Inhaltlich erscheint eine Meldepflicht des Arbeitgebers sinnvoll. Bei einer Meldung geht es auch darum, einen rechtswidrigen Zustand so schnell wie möglich zu beenden und eine weitere Vergrößerung des Schadens zu verhindern. Hierfür kann das fachliche und technische Know How eines Arbeitgebers sinnvoll sein, auch wenn die Anforderung an den Arbeitgeber dogmatisch überrascht.