In einem Urteil des OLG Brandenburg wurde klargestellt, dass der Auftraggeber in einem Mitarbeiterexzess nicht haften muss, solange er die notwendigen technischen und organisatorischen Maßnahmen (TOMs) umgesetzt hat. Ein Mitarbeiter des Auftragsverarbeiters hatte unerlaubt Daten von mehr als 200 Kunden exportiert.
Haftung bei Mitarbeiterexzessen
Obgleich der Verstoß beim Auftragsverarbeiter stattfand, haften die Betroffenen zunächst dem Verantwortlichen. Jeder an einer Verarbeitung beteiligte Verantwortliche ist für den Schaden verantwortlich, unabhängig vom Grad der Beteiligung oder der Zurechnung der schädigenden Handlung.
Verantwortlichkeit des Unternehmens
Nach Ansicht des Gerichts wird ein Verschulden des Verantwortlichen grundsätzlich vermutet. Allerdings kann das Unternehmen sich gemäß Art. 82 Abs. 3 DSGVO exkulpieren, wenn es die notwendigen TOMs umgesetzt hat. Diese könnten beinhalten:
- Fehlende internen Regelungen/Richtlinien
- Nicht ausreichend geschulte Mitarbeiter
- Fehlende Vertraulichkeitspflichten
- Inkonsistente Berechtigungskonzepte
- Fehlerhafte Software-Konfiguration
Beispielsweise könnte ein Mitarbeiter der Vertriebsabteilung auf eine Personalakte zugreifen, die fälschlicherweise auf einem unternehmensweit freigegebenen Laufwerk gespeichert war. In solchen Fällen könnte das Unternehmen haftbar sein.
Es ist jedoch wichtig zu beachten, dass der Verantwortliche den Nachweis erbringen muss, in keinerlei Hinsicht für den Umstand verantwortlich zu sein. Dies bedeutet, dass eine gründliche Überprüfung und Dokumentation der implementeden Maßnahmen unerlässlich ist.
Quelle: www.dr-datenschutz.de