Private POLAS-Abfrage: Polizeibeamter persönlich nach der DSGVO verantwortlich

Redaktioneller Kernsatz

Private POLAS-Abfrage: Polizeibeamter persönlich nach der DSGVO verantwortlich

Redaktionelle Zusammenfassung · 816 Wörter

Die Entscheidung erklärt

Ergebnis

Festgestellte Abfrage

Nach den vom Amtsgericht getroffenen Feststellungen erfolgte die Abfrage am 2. März 2021 um 1.41 Uhr vom Dienstrechner des Betroffenen auf einem Polizeirevier. Er nutzte das Informationssystem POLAS und suchte Daten über einen damaligen Kollegen, der sich zu dieser Zeit in Untersuchungshaft befand. Der fehlende dienstliche Anlass war ihm bewusst. Das Amtsgericht verurteilte ihn deswegen wegen einer vorsätzlichen Datenschutzordnungswidrigkeit. Mit seiner Rechtsbeschwerde griff der Betroffene diese Entscheidung an. Zur Fortbildung des Rechts und zur Sicherung einer einheitlichen Rechtsprechung wurde die Sache dem Bußgeldsenat in der Besetzung mit drei Richtern übertragen. Seine Verfahrensrüge und die sachlich-rechtlichen Einwendungen führten letztlich nicht zum Erfolg.

Persönliche Verantwortlichkeit

Im Mittelpunkt stand zunächst die Frage, wer über Zwecke und Mittel der Datenverarbeitung entscheidet. Die Datenschutz-Grundverordnung erfasst mit dem Begriff des Verantwortlichen auch natürliche Personen. Ein Mitarbeiter ohne Leitungsfunktion ist innerhalb seiner gewöhnlichen weisungsgebundenen Tätigkeit allerdings nicht schon deshalb selbst Verantwortlicher, weil er Daten verarbeitet. Umstritten war, wie eine Überschreitung der dienstlichen Befugnisse für eigene Zwecke einzuordnen ist. Der Senat unterschied deshalb zwischen einem Fehlverhalten innerhalb einer betrieblich oder behördlich veranlassten Tätigkeit und einem bewusst außerhalb dieser Aufgaben vorgenommenen Zugriff. Die bloße Tatsache, dass ein Beschäftigter einen Rechner seines Arbeitgebers benutzt, beantwortete die Verantwortlichkeitsfrage für diesen Zugriff noch nicht.

Eigener Zweck statt dienstlicher Aufgabe

Bei der festgestellten privaten Abfrage handelte der Beamte nach Auffassung des Gerichts nicht lediglich entgegen einer Weisung innerhalb seiner Aufgaben. Die Verarbeitung war vielmehr überhaupt nicht dienstlich veranlasst. Für diesen Vorgang entzog er sich der Aufsicht und Leitung seiner Vorgesetzten und entschied selbst über Zweck und Mittel. Damit erfüllte er unmittelbar die Definition des Verantwortlichen nach Artikel 4 Nummer 7 DSGVO. Der Senat schloss sich insoweit den Leitlinien des Europäischen Datenschutzausschusses an, die Beschäftigte bei einer Verarbeitung für vom Arbeitgeber abweichende eigene Zwecke als verantwortlich ansehen. Ausschlaggebend waren hier das bewusste private Handeln und die eigenständige Zwecksetzung, nicht eine formale Leitungsposition innerhalb der Polizeiorganisation.

Keine besondere Regelungslücke

Der Senat setzte sich auch mit der Gegenauffassung auseinander, wonach für weisungsgebundene Beschäftigte eine besondere gesetzliche Vorschrift erforderlich sei. Diese Ansicht hatte unter anderem darauf verwiesen, dass die DSGVO für Auftragsverarbeiter ausdrücklich eine Verantwortlichkeit bei eigener Zweckbestimmung regelt, eine entsprechende Sonderregel für andere Beschäftigte aber nicht enthält. Das überzeugte das Gericht nicht. Die persönliche Verantwortlichkeit ließ sich bereits aus der allgemeinen Begriffsbestimmung herleiten. Ein Umkehrschluss aus der Sondervorschrift war daher nicht geboten. Zudem berücksichtigte der Senat das unionsrechtliche Ziel wirksamer und abschreckender Geldbußen. Eine andere Auslegung könnte gerade bei bewusst privaten Handlungen zu Ahndungslücken führen, weil solche Handlungen den übergeordneten Stellen nicht ohne Weiteres zugerechnet werden können.

Öffentlicher Dienst und Datenverarbeitung

Auch der Umstand, dass der Betroffene im öffentlichen Dienst beschäftigt war, hinderte die Ahndung hier nicht. Der Beschluss erläutert den Ausschluss von Geldbußen gegen öffentliche Stellen und deren Beschäftigte nach dem baden-württembergischen Landesdatenschutzrecht. Für Beschäftigte bezieht sich dieser Schutz nach der herangezogenen Auslegung jedoch auf dienstliches Verhalten. Private Zwecke am Arbeitsplatz können dagegen grundsätzlich eine persönliche Ahndung ermöglichen. Davon getrennt prüfte der Senat den Begriff der Verarbeitung. Artikel 4 Nummer 2 DSGVO nennt zahlreiche unterschiedliche Vorgänge, darunter ausdrücklich das Auslesen und Abfragen. Der Datenschutz erfasst somit schon den Zugriff auf personenbezogene Informationen und setzt nicht erst bei ihrer Speicherung in einer neuen Datei oder bei ihrer Offenlegung ein.

Bloßes Abfragen genügt

Das Gericht lehnte es ab, den Verarbeitungsbegriff für eigenmächtig handelnde Beschäftigte enger auszulegen. Zwischen der Einordnung als Verantwortlicher und der Frage, welche Vorgänge eine Verarbeitung darstellen, besteht keine solche einschränkende Wechselwirkung. Der Senat verwies ergänzend auf die weite Auslegung durch den Europäischen Gerichtshof und dessen Behandlung von Datenabrufen durch Bankmitarbeiter. Diese Grundsätze hielt er auf den polizeilichen Datenzugriff für übertragbar. Wer bewusst außerhalb seiner dienstlichen Aufgaben handelt, sollte nicht gerade deshalb von einer engeren Begriffsbestimmung profitieren. Für den vorliegenden Fall waren damit beide zentralen Voraussetzungen erfüllt: Der Beamte war persönlich verantwortlich, und die von ihm ausgeführte Abfrage war eine Datenverarbeitung.

Folgen und Grenzen

An der Bemessung der Geldbuße fand der Senat ebenfalls nichts zu beanstanden. Die Rechtsbeschwerde wurde insgesamt verworfen; der Betroffene musste die Kosten seines Rechtsmittels tragen. Der Beschluss bestätigte damit die konkrete Ahndung des vorsätzlich privaten Zugriffs. Er behandelt keine versehentliche Abfrage während einer regulären dienstlichen Bearbeitung und enthält keine Entscheidung über einen möglichen Schadensersatz des betroffenen Kollegen. Ebenso wenig wurde eine allgemeine Haftung der Polizeibehörde für sämtliche eigenmächtigen Handlungen ihrer Beschäftigten festgestellt. Die tragende Abgrenzung lautet vielmehr, dass ein Mitarbeiter für eine bewusst zu eigenen Zwecken vorgenommene Datenverarbeitung selbst über Zweck und Mittel entscheiden und dadurch persönlich Verantwortlicher werden kann.