Verstoß gegen Datenschutz: Folgen für Privatpersonen

Verletzungen des Datenschutzes werden nicht nur von Unternehmen und Behörden begangen, auch Privatpersonen verstoßen ab und an gegen datenschutzrechtliche Bestimmungen. Dabei stellen sich einige Fragen: Gilt das Datenschutzrecht überhaupt für Private und wenn ja, wann? Müssen diese mit einem Bußgeld rechnen? Wie jedermann bei einem Verstoß belangt werden kann, damit beschäftigt sich dieser Beitrag.

Wieso sind Privatpersonen an den Datenschutz gebunden?

Die DSGVO gilt für alle Stellen, die in den sachlichen und räumlichen Anwendungsbereich der Verordnung fallen. Geregelt ist dieser in Art. 2 und 3 DSGVO. So heißt es in Art. 2 Abs. 1 DSGVO:

„Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“

Erst in Absatz 2 des Art. 2 DSGVO finden sich Ausnahmen. Relevant für die Frage der Bindung von Privatpersonen an den Datenschutz ist dessen Buchstabe c:

„Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten […]
c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“

Sofern also die sogenannte Haushaltsausnahme greift, werden Privatpersonen nicht durch die DSGVO verpflichtet. Im Umkehrschluss bedeutet das jedoch, dass Private sich grundsätzlich an die DSGVO halten müssen, nämlich dann, wenn die Ausnahme nicht einschlägig ist. Sollte die Verarbeitung demzufolge nicht ausschließlich persönlicher oder familiärer Natur sein, haben sich auch Privatpersonen an die DSGVO zu halten. Die Abgrenzung ist nicht immer ganz einfach.

Mehr zum Thema finden Sie in unserem Beitrag: Wann gilt die DSGVO für Privatpersonen?

Verstoßen werden kann allerdings nicht nur gegen die DSGVO. Private können auch das auf dem allgemeinen Persönlichkeitsrecht fußende informationelle Selbstbestimmungsrecht anderer verletzen, sodass eine Reihe von Ansprüchen, unter anderem auf Schadensersatz und Unterlassung, im Raum stehen.

Private begehen auch Straftaten nach §§ 22, 23, 33 KUG, indem Sie Bildnisse ohne die Einwilligung des Abgebildeten verbreiten bzw. öffentlich zur Schau stellen. Interessant ist zudem die Strafbarkeit gemäß § 126a Abs. 1 und 2 StGB:

„Wer öffentlich, in einer Versammlung oder durch Verbreiten eines Inhalts (§ 11 Absatz 3) personenbezogene Daten einer anderen Person in einer Art und Weise verbreitet, die geeignet und nach den Umständen bestimmt ist, diese Person oder eine ihr nahestehende Person der Gefahr

1. eines gegen sie gerichteten Verbrechens oder

2. einer gegen sie gerichteten sonstigen rechtswidrigen Tat gegen die sexuelle Selbstbestimmung, die körperliche Unversehrtheit, die persönliche Freiheit oder gegen eine Sache von bedeutendem Wert

auszusetzen, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

Handelt es sich um nicht allgemein zugängliche Daten, so ist die Strafe Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.“

Beispiele häufiger Datenschutzverstöße durch Privatpersonen

Privatpersonen verstoßen nicht selten gegen den Datenschutz. Im Folgenden ein paar Beispiele.

Anlassloser Dashcam Betrieb mit permanenter Speicherung

Dashcams sind nicht unumstritten, die Aufsichtsbehörden haben diese schon länger im Blick. Wer in seinem Fahrzeug derartige Kameras installiert, verletzt meist die DSGVO. Die Aufsichtsbehörden sind hier rigoros und nennen unter Anführung datenschutzrechtlicher Erwägungen Fälle, in denen die Dashcam Nutzung zulässig bzw. unzulässig ist.

Gegen die DSGVO verstößt die Dashcam-Nutzung demnach dann, wenn:

• das Verkehrsgeschehen im öffentlichen Raum permanent und anlasslos aufgezeichnet wird UND/ODER
• im ruhenden Verkehr der öffentliche Raum aus einem Fahrzeug heraus überwacht wird.

Zulässig ist die Dashcam-Nutzung nach der DSGVO, wenn:

• technische Möglichkeiten eingesetzt werden, die sicherstellen, dass die Kamera lediglich kurzzeitig anlassbezogen aufzeichnet UND
• die Dashcam nur im fließenden Verkehr eingesetzt wird.

Bloße Bewegungen im Erfassungsbereich der Kamera sind kein ausreichender Anlass. Wichtig ist auch, dass die Pflichten der DSGVO die Privatperson als Verantwortlicher treffen, zum Beispiel die Informationspflicht aus Art. 12 DSGVO und die Pflicht, Auskunftsanfragen nach Art. 15 DSGVO zu beantworten. Kaum ein Dashcam-Nutzender dürfte diese Pflichten je eingehalten haben.

Achtung: Die Tätigkeit als „Hilfssheriff“ kann schnell nach hinten losgehen, wenn die Polizei die Datenschutzaufsicht informiert und diese eine Hausdurchsuchung vornimmt.

Videoüberwachung in der Nachbarschaft

Videoüberwachung ist ein Dauerbrenner bei den Aufsichtsbehörden. Nicht nur von Unternehmensseite, auch privat werden Kameras angebracht. Filmen Privatpersonen allerdings nicht nur ihr eigenes Grundstück, sondern auch öffentliche Orte, kann es Ärger geben. Die Datenschutzkonferenz äußert sich hierzu deutlich:

„Die Beobachtungsbefugnis endet an der eigenen Grundstücksgrenze. […] Nachbarn, Passanten, Kinder, Lieferanten, Besucher und sonstige Verkehrsteilnehmer müssen eine dauerhafte und ggf. anlasslose Überwachung in Wohnbereichen nicht hinnehmen.“

Damit ist klar: Selbst bei einem Einbruchsrisiko ist es nicht erlaubt, die Kamera (ganz oder teilweise) auf den öffentlichen Gehweg oder die fremde Wiese hinter dem eigenen Grundstück zu richten, geschweige denn auf Nachbars Gartenliege. Bei Nichteinhaltung können zivilrechtliche Unterlassungs- und Abwehransprüche geltend gemacht werden. Wird der höchstpersönliche Lebensbereich einer Person verletzt, ist eine Strafbarkeit nach § 201a StGB denkbar.

Mitarbeiterexzess: Verwendung von Daten des Arbeitgebers zu privaten Zwecken

Manchmal geraten Beschäftigte auf Abwege und verwenden personenbezogene Daten zu privaten Zwecken, auf die sie im Rahmen ihres Arbeitsverhältnisses Zugriff haben. Hierbei handelt es sich um einen sogenannten Mitarbeiterexzess, bei welchem Aufsichtsbehörden bereits Bußgelder vergaben: Beispielsweise mussten in zwei Fällen Beschäftigte nach Zusendung pornografischen Materials und der Weiterverwendung der Kontaktdaten einer Testperson eines Corona-Testzentrums zahlen.

Der Beschäftigte kann sich nach einem solchen Exzess nicht auf die Haushaltsausnahme berufen, denn die von ihm zweckentfremdeten Daten hat er dienstlich erlangt. Nach Erwägungsgrund 18 S. 1 der DSGVO greift die Haushaltsausnahme nur, wenn die Verarbeitung „ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird“. Dieser Bezug liegt bei einem Mitarbeiterexzess aber vor.

Unrechtmäßige Anfertigung von Fotos, Stalking oder Nachstellen

In Sachen Fotos ohne Einwilligung, Stalking oder Nachstellen kennen die Aufsichtsbehörden (zu Recht) kein Pardon: Drei- und vierstellige Geldbußen gab es für Privatpersonen, die einen AirTag am Auto einer anderen Person anbrachten oder nicht anderweitig bezeichnete GPS-Tracker verwendeten, um deren Standort zu ermitteln. Für das Verfolgen und Fotografieren mehrerer Jugendlicher gab es ebenfalls ein Bußgeld.

Die Haushaltsausnahme sahen die Behörden in diesen Fällen nicht einschlägig (die bayerische Aufsichtsbehörde bejahte die Ausnahme für AirTags übrigens noch im Tätigkeitsbericht für 2021, S. 30). Das Greifen oder Nicht-Greifen lässt sich durchaus diskutieren: Erfolgt die Datenverarbeitung bei Begehen einer Straftat ausschließlich zur Ausübung persönlicher Tätigkeiten? Ist die Datenverarbeitung im Rahmen eines Stalkings vergleichbar mit der geschäftlichen Datenverarbeitung, weswegen die Eröffnung des Anwendungsbereichs der DSGVO gerechtfertigt erscheint?

Gegen die Haushaltsausnahme spricht, dass derjenige, der die (Straf-)Rechtsordnung verletzt, eben nicht nur persönlich – privat – für sich handelt, sondern andere verbotenerweise beeinträchtigt. Da das Strafrecht zum öffentlichen Recht gehört, könnte ein Verstoß dagegen öffentlich und eben nicht mehr persönlich sein.

Kann man einen Verstoß gegen den Datenschutz anzeigen?

Auch wenn man bei der Polizei eher an die Aufklärung von Gewaltverbrechen und die Durchführung von Verkehrskontrollen denkt, gibt es Delikte aus dem Datenschutzbereich, in denen sie ermittelt. Das sogenannte Datenschutzstrafrecht findet sich klassisch im StGB, aber auch im BDSG und GeschGehG. Hier folgt eine Auswahl:

• Ausspähen und Abfangen von Daten bzw. die Vorbereitung hierauf (§§ 202a, 202b, 202c StGB),
• Datenveränderung (§ 303a StGB),
• Gefährdendes Verbreiten personenbezogener Daten, sogenannter Feindeslisten (§ 126a StGB),
• Verletzung von Privat- und Geschäftsgeheimnissen (§ 23 GeschGehG, § 203 StGB)
• Sowie Datenhandel, Datenschutzverletzungen und Datenbetrug (vgl. § 42 BDSG).

Datenschutzdelikte kann man der Polizei anzeigen. Sofern es sich um relative oder absolute Antragsdelikte handelt, ist ggf. ein Strafantrag erforderlich.

Wird die Polizei bei Verkehrskontrollen und Unfällen auf Dashcams aufmerksam, kann sie die Datenschutzbehörden im Rahmen einer Ordnungswidrigkeitenanzeige informieren (§ 53 Abs. 1 S. 3 OWiG) oder auch nur eine Ereignismitteilung abgeben. Darauf verlassen sollte man sich jedoch nicht, sodass es sinnvoller sein kann, sich selbst an die Datenschutzaufsichtsbehörde zu wenden, wenn man die Rechtmäßigkeit des Dashcam-Einsatzes bezweifelt.

Wo kann man einen Verstoß einer Privatperson gegen den Datenschutz melden?

Wer eine Datenschutzverletzung durch eine Privatperson melden möchte, kann sich bei den Datenschutzaufsichtsbehörden beschweren. Alles Wichtige zum Erheben einer Beschwerde und wie diese abläuft, können Sie hier nachlesen.

Welche Strafe droht Privatpersonen bei einem Verstoß gegen Datenschutz?

Wie den obigen Straftatbeständen zu entnehmen ist, drohen Geldstrafen, Freiheitsstrafen sind zumindest denkbar. Über die Höhe einer Geld- oder Freiheitsstrafe können keine verlässlichen Angaben gemacht werden, da diese von den Umständen des Einzelfalls abhängt; die Höhe eines Geldstrafen-Tagessatzes bestimmt sich nach den persönlichen und wirtschaftlichen Verhältnissen des Täters (§ 40 Abs. 2 StGB). Die Strafzumessung erfolgt nicht willkürlich, vielmehr gibt es Regeln.

Bei Bußgeldern im Rahmen von Datenschutz-Ordnungswidrigkeiten ist in Deutschland ungefähr mit einem drei- bis vierstelligen Betrag zu rechnen, wie beispielsweise im Fall eines Kundendaten privat nutzenden Twitch-Streamers (mittlerer vierstelliger Betrag), eines Zugriffs auf die Patientendaten des Nachbarn (2000 €) sowie unzulässiger privater Videoüberwachung (500 €). Die meisten bekannt gewordenen Bußgelder gegen Privatpersonen bewegen sich im dreistelligen Bereich. Da es allerdings einige Ausreißer nach oben gibt, lassen sich keine verbindlichen Aussagen treffen.

Ordnungswidrigkeiten werden zudem nicht stiefmütterlich behandelt: Datenschutzaufsichtsbehörden stehen Durchsuchungs- und Beschlagnahmebefugnisse (siehe Tätigkeitsbericht LfD Sachsen 2021, ab S. 182 sowie der bereits oben erwähnte Dashcam-Hilfssheriff-Fall) zur Verfügung.

Schadensersatz bei Verstoß von Privatpersonen gegen Datenschutz

Wenn Privatpersonen datenschutzrechtliche Bestimmungen verletzen, ist ein Anspruch auf Schadensersatz aus Art. 82 Abs. 1 DSGVO denkbar. Zumindest in Bezug auf Videoüberwachung in der Nachbarschaft gab es bereits ein entsprechendes Urteil des Landgerichts Berlin.

Privatpersonen müssen auf Datenschutz achten – sonst droht Ärger

Privatpersonen können sich in Sachen Datenschutz nicht entspannt zurücklehnen. Auch sie haben sich an datenschutzrechtliche Bestimmungen zu halten, sofern die Verarbeitung nicht zur Ausübung ausschließlich privater oder familiärer Tätigkeiten erfolgt. Ein Verstoß gegen den Datenschutz durch Privatpersonen kann zu Geld- oder Freiheitsstrafen, Schadensersatzansprüchen bzw. zu mehr oder weniger empfindlichen Geldbußen führen. Insbesondere bei der Nutzung von Dashcams, Videoüberwachung, bei Mitarbeiterexzess oder Stalking gab es bereits Bußgelder. Die Aufsichtsbehörden werden durchaus auch von der Polizei informiert und ermitteln sogar selbst. Wer einen Datenschutzverstoß befürchtet, kann diesen bei der Datenschutzaufsichtsbehörde melden.