Mit seinem Beschluss vom 25. Februar 2025 (Az. 2 ORbs 16 Ss 336/24) hat das Oberlandesgericht Stuttgart eine klare Grenze gezogen: Wer als Behördenmitarbeiter personenbezogene Daten zu privaten Zwecken abruft, handelt außerhalb seiner dienstlichen Befugnisse – und trägt dafür persönlich die Verantwortung. Besonders bemerkenswert: Die Entscheidung betrifft nicht nur den einzelnen Beamten, sondern sendet ein deutliches Signal an alle öffentlichen und privaten Arbeitgeber.
Worum ging es konkret?
Ein Polizeibeamter hatte in einer Nachtschicht vom Dienstrechner aus Informationen über einen Kollegen abgefragt, der zu dieser Zeit in Untersuchungshaft saß. Die Daten stammten aus dem polizeilichen Auskunftssystem „POLAS“. Der Beamte handelte nicht aus dienstlichem Anlass, sondern aus privatem Interesse – und das war ihm auch bewusst. Das Amtsgericht Stuttgart sah darin eine vorsätzliche Ordnungswidrigkeit wegen unzulässiger Datenverarbeitung und verhängte eine Geldbuße von 1.500 Euro. Die Rechtsbeschwerde dagegen blieb ohne Erfolg.
Privates Verhalten – volle Verantwortung
Im Zentrum der rechtlichen Bewertung steht die Frage, ob der Beamte trotz seiner dienstlichen Einbindung als eigenständig „Verantwortlicher“ im Sinne der DSGVO gelten kann. Die Antwort des Gerichts: Ja – jedenfalls dann, wenn das Handeln rein privat motiviert ist und keinerlei dienstliche Legitimation besteht.
Das hat erhebliche Konsequenzen: Denn wer außerhalb seines Aufgabenbereichs personenbezogene Daten verarbeitet, stellt sich gewissermaßen außerhalb der Organisation – und wird damit selbst haftbar. Diese Sichtweise entspricht auch den Leitlinien des Europäischen Datenschutzausschusses (EDSA), der schon 2021 betonte, dass Mitarbeiter in solchen Fällen als eigenständige Verantwortliche auftreten.
Verarbeitung beginnt beim ersten Klick
Das OLG stellt außerdem klar: Schon das Abrufen von Daten – also das bloße Anklicken eines Datensatzes – erfüllt den Begriff der „Verarbeitung“ im Sinne des Art. 4 Nr. 2 DSGVO. Eine eingeschränkte Auslegung gibt es nicht, auch nicht für sogenannte „Mitarbeiterexzesse“. Wer auf Informationen zugreift, ohne dienstlich dazu befugt zu sein, verarbeitet personenbezogene Daten unzulässig – Punkt.
Konsequenzen für Arbeitgeber und Behörden: Nicht einfach „Einzelfall“
Für Arbeitgeber – insbesondere im öffentlichen Dienst – hat diese Entscheidung eine deutlich größere Tragweite als es auf den ersten Blick scheint. Denn: Wenn Beschäftigte sich durch datenschutzwidriges Verhalten aus dem dienstlichen Verantwortungsbereich herausbewegen, steht zwar der Einzelne im Fokus – aber auch die Organisation gerät unter Druck, vor allem in puncto:
1. Organisationsverschulden vermeiden
Zwar liegt die unmittelbare Verantwortung beim Mitarbeiter – aber: Hat die Organisation genug getan, um solche Vorfälle zu verhindern? Unzureichende Schulungen, mangelnde Zugriffskontrollen oder fehlende Sensibilisierung können als strukturelles Defizit gewertet werden. Ein solches Organisationsversagen kann zu Reputationsverlust und in bestimmten Konstellationen auch zu weiteren Haftungsrisiken führen.
2. Dokumentationspflichten einhalten
Arbeitgeber sind verpflichtet, geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 24 DSGVO nachzuweisen. Dazu gehört auch, dass die Rechtevergabe in sensiblen Systemen wie POLAS oder Kundendatenbanken protokolliert, begrenzt und überprüfbar ist.
3. Schulungen und Aufklärung sind kein „Nice to have“
Regelmäßige Datenschutzschulungen, verständlich und praxisnah, sind unverzichtbar – nicht nur als Absicherung, sondern als präventive Maßnahme. Wichtig ist dabei: Der Unterschied zwischen dienstlicher und privater Datenverarbeitung muss klar kommuniziert werden. Denn oft handeln Mitarbeitende nicht aus Bosheit, sondern aus Unwissenheit oder gedankenloser Neugier.
4. Vorbereitung auf den Ernstfall
Auch bei guter Prävention: Fehlverhalten lässt sich nie ganz ausschließen. Umso wichtiger ist ein klarer Notfallplan. Dazu gehört unter anderem ein definiertes Vorgehen für interne Ermittlungen, ein abgestimmter Kommunikationsprozess sowie ein enger Austausch mit dem Datenschutzbeauftragten.
Fazit: Wer schützt, muss auch kontrollieren
Der Fall des neugierigen Polizeibeamten zeigt deutlich: Datenschutz ist keine Frage des guten Willens, sondern von klaren Zuständigkeiten – und klaren Grenzen. Arbeitgeber sind gefordert, den rechtlichen Rahmen nicht nur zu kennen, sondern ihn auch aktiv durchzusetzen. Denn wo der einzelne Mitarbeiter rechtlich „ausschert“, muss das System vorbereitet sein.
Und: Wer Organisationen vor DSGVO-Risiken schützen will, darf das Thema Mitarbeiterverhalten nicht ausblenden. Schulungen, Protokolle und Zugriffskontrollen sind keine Bürokratie, sondern Versicherungsschutz – gegen das, was mit einem einzigen Klick beginnen kann.