7 Fragen zum Mitarbeiterexzess im Datenschutz

21. September 2026

In der heutigen Arbeitswelt sind viele Arbeitsschritte digitalisiert. Hierbei sind personenbezogene Daten meist nur wenige Klicks entfernt. Doch was passiert, wenn Beschäftigte personenbezogene Daten aus dem beruflichen Umfeld für private Zwecke nutzen?

1. Was ist ein Mitarbeiterexzess?

Ein Mitarbeiterexzess liegt vor, wenn Beschäftigte personenbezogene Daten außerhalb ihrer dienstlichen oder arbeitsvertraglichen Pflichten verarbeiten und daher lediglich für private bzw. arbeitsfremde Zwecke verwenden. Demnach entscheiden Beschäftigte eigenmächtig über Zweck und Mittel der Datenverarbeitung. Ein klassisches Beispiel ist der Zugriff auf Kundendatenbanken, um Informationen über Bekannte, Freunde oder Familienmitglieder zu erhalten, ohne dass es einen Tätigkeitsbezug gibt.

2. Wer ist verantwortlich für Datenschutzverstöße im Arbeitsverhältnis?

Datenschutzrechtliche Verstöße von Beschäftigen im Rahmen ihrer Tätigkeit sind grundsätzlich ihren Arbeitgebern zuzurechnen. Das hat zur Folge, dass die Arbeitgeber als Verantwortliche im Sinne des Datenschutzrechts fungieren und sich mögliche Sanktionen gegen sie richten.

3. Wer ist Verantwortlicher bei einem Mitarbeiterexzess?

Bei einem Mitarbeiterexzessen sieht es anders aus. Hier entzieht sich der oder die Beschäftigte der Aufsicht und Leitung seiner bzw. ihrer Vorgesetzten. Deswegen kann nicht der jeweilige Arbeitgeber als Verantwortlicher für den datenschutzrechtlichen Verstoß herangezogen werden. Stattdessen wird der oder die Beschäftigte selbst als Verantwortlicher angesehen, denn die Handlung liegt außerhalb des Verantwortungsbereichs des Arbeitgebers.

4. Muss der Arbeitgeber nachweisen, dass er bei einem Mitarbeiterexzess nicht verantwortlich ist?

Ja, den Arbeitgeber trifft eine Nachweispflicht. Er muss darlegen können, dass er für den Schaden nicht verantwortlich ist. Hierfür muss der Arbeitgeber Vorkehrungen treffen wie beispielsweise klare Weisungen, Zugriffskontrollen oder Protokollierungen. Ohne solche Vorkehrungen bleibt der Arbeitgeber in der Haftung und somit verantwortlich.

5. Besteht eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde?

Ja, der Arbeitgeber muss den datenschutzrechtlichen Verstoß –auch bei einem Mitarbeiterexzess – der zuständigen Aufsichtsbehörde melden.

6. Welche Folgen hat ein Mitarbeiterexzess?

Die Folgen eines Mitarbeiterexzess sind vielfältig. Arbeitsrechtlich kann eine Abmahnung oder eine Kündigung drohen. Bei verbeamtetem Personal ist zugleich ein Disziplinarverfahren denkbar. Außerdem kann die zuständige Aufsichtsbehörde ein Bußgeld gegen den Beschäftigten verhängen. Bei besonders schweren Fällen ist auch ein Strafverfahren möglich.

7. Kann der Betriebs- bzw. Personalrat Präventionsmaßnahmen ergreifen?

Definitiv ja! Präventiv sollten Sensibilisierungsmaßnahmen ergriffen werden, um Mitarbeitende aufzuklären und zu schützen. Mitarbeitenden muss deutlich gemacht werden, dass der Zugriff auf personenbezogenen Daten nur aus beruflichen Gründen erfolgen darf und private Interessen keinen zulässigen Grund darstellen. Es können beispielsweise entsprechende Schulungen oder Infomaterialien angeboten werden.