Datenschutz: Verstöße und Folgen für Privatpersonen

Nicht nur Privatermittler, auch jede Privatperson muss sich an Regeln halten. Nur wenn die sogenannte Haushaltsausnahme greift, werden Privatpersonen nicht durch die DSGVO verpflichtet.

Haushaltsausnahme ist, wenn Bild-/ Videomaterial ausschließlich zur privaten Nutzung – etwa bei Familienfeiern – für den höchstpersönlichen Gebrauch angefertigt wird und nicht verbreitet wird – also auch nicht in sozialen Medien und nicht weitergegeben wird – also auch nicht als Beweismittel an ein Gericht!

Im Umkehrschluss bedeutet das jedoch, dass Private sich grundsätzlich an die DSGVO halten müssen, nämlich dann, wenn die Ausnahme nicht einschlägig ist. Sollte die Verarbeitung demzufolge nicht ausschließlich persönlicher oder familiärer Natur sein, haben sich auch Privatpersonen an die DSGVO zu halten. Unwissenheit schützt auch hier vor Strafe nicht!

Begründung

Die DSGVO gilt für alle Stellen, egal ob privat, oder gewerblich, die in den sachlichen und räumlichen Anwendungsbereich der Verordnung fallen. Geregelt ist dieser in Art. 2 und 3 DSGVO. So heißt es in Art. 2 Abs. 1 DSGVO:

„Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“

Erst in Absatz 2 des Art. 2 DSGVO finden sich Ausnahmen. Relevant für die Frage der Bindung von Privatpersonen an den Datenschutz ist dessen Buchstabe c:

„Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten […]

c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.“

Zugegeben, die Abgrenzung ist nicht immer ganz einfach.

Verstoßen werden kann allerdings nicht nur gegen die DSGVO. Private können auch das auf dem allgemeinen Persönlichkeitsrecht fußende informationelle Selbstbestimmungsrecht anderer verletzen, sodass eine ganze Reihe von Ansprüchen, unter anderem auf Schadensersatz und Unterlassung, im Raum stehen.

Private begehen auch Straftaten nach §§ 22, 23, 33 KUG, indem Sie Bildnisse ohne die Einwilligung des Abgebildeten verbreiten bzw. öffentlich zur Schau stellen. (bspw. in sozialen Netzwerken)

Interessant ist zudem die Strafbarkeit gemäß § 126a Abs. 1 und 2 StGB:

„Wer öffentlich, in einer Versammlung oder durch Verbreiten eines Inhalts (§ 11 Absatz 3) personenbezogene Daten einer anderen Person in einer Art und Weise verbreitet, die geeignet und nach den Umständen bestimmt ist, diese Person oder eine ihr nahestehende Person der Gefahr

1. eines gegen sie gerichteten Verbrechens oder

2. einer gegen sie gerichteten sonstigen rechtswidrigen Tat gegen die sexuelle Selbstbestimmung, die körperliche Unversehrtheit, die persönliche Freiheit oder gegen eine Sache von bedeutendem Wert auszusetzen, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

Handelt es sich um nicht allgemein zugängliche Daten, so ist die Strafe Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.“

Privatpersonen verstoßen nicht selten gegen den Datenschutz, hier ein paar Beispiele.

Anlassloser Dashcam Betrieb mit permanenter Speicherung Dashcams sind nicht unumstritten, die Aufsichtsbehörden haben diese schon länger im Blick. Wer in seinem Fahrzeug derartige Kameras installiert, verletzt meist die DSGVO. Die Aufsichtsbehörden sind hier rigoros und nennen unter Anführung datenschutzrechtlicher Erwägungen Fälle, in denen die Dashcam Nutzung zulässig bzw. unzulässig ist.

Gegen die DSGVO verstößt die Dashcam-Nutzung demnach dann, wenn:

• das Verkehrsgeschehen im öffentlichen Raum permanent und anlasslos aufgezeichnet wird und/oder
• im ruhenden Verkehr der öffentliche Raum aus einem Fahrzeug heraus überwacht wird.

Zulässig ist die Dashcam-Nutzung nach der DSGVO, wenn:

• technische Möglichkeiten eingesetzt werden, die sicherstellen, dass die Kamera lediglich kurzzeitig anlassbezogen aufzeichnet und
• die Dashcam nur im fließenden Verkehr eingesetzt wird.

Bloße Bewegungen im Erfassungsbereich der Kamera sind kein ausreichender Anlass. Wichtig ist auch, dass die Pflichten der DSGVO die Privatperson als Verantwortlicher treffen, zum Beispiel die Informationspflicht aus Art. 12 DSGVO und die Pflicht, Auskunftsanfragen nach Art. 15 DSGVO zu beantworten.

Kaum ein Dashcam-Nutzer dürfte diese Pflichten je eingehalten haben.

Die Tätigkeit als „Hilfssheriff“ kann schnell nach hinten losgehen, wenn die Polizei die Datenschutzaufsicht informiert und diese eine Hausdurchsuchung vornimmt, was schneller passiert, als viele das glauben.

Videoüberwachung in der Nachbarschaft Videoüberwachung ist ein Dauerbrenner bei den Aufsichtsbehörden.

Nicht nur von Unternehmensseite, auch privat werden zunehmend Kameras angebracht.

Filmen Privatpersonen allerdings nicht nur ihr eigenes Grundstück, sondern auch öffentliche Orte, kann es Ärger geben. Die Datenschutzkonferenz äußert sich hierzu deutlich:

„Die Beobachtungsbefugnis endet an der eigenen Grundstücksgrenze. […] Nachbarn, Passanten, Kinder, Lieferanten, Besucher und sonstige Verkehrsteilnehmer müssen eine dauerhafte und ggf. anlasslose Überwachung in Wohnbereichen nicht hinnehmen.“

Damit ist klar, selbst bei einem Einbruchsrisiko ist es nicht erlaubt, die Kamera (ganz oder teilweise) auf den öffentlichen Gehweg oder die fremde Wiese hinter dem eigenen Grundstück zu richten, geschweige denn auf Nachbars Gartenliege. Bei Nichteinhaltung können zivilrechtliche Unterlassungs- und Abwehransprüche geltend gemacht werden. Wird der persönliche Lebensbereich einer Person verletzt, ist eine Strafbarkeit nach § 201a StGB denkbar.

Mitarbeiterexzess – das juristische Wort für die Verwendung von Daten des Arbeitgebers zu privaten Zwecken.

Manchmal geraten Beschäftigte auf Abwege und verwenden personenbezogene Daten zu privaten Zwecken,

auf die sie im Rahmen ihres Arbeitsverhältnisses Zugriff haben. Hierbei handelt es sich um einen sogenannten Mitarbeiterexzess, bei welchem Aufsichtsbehörden bereits Bußgelder vergaben.

Beispielsweise mussten in zwei Fällen Beschäftigte nach Zusendung pornografischen Materials und der Weiterverwendung von Kontaktdaten einer Testperson eines Corona-Testzentrums zahlen.

Der Beschäftigte kann sich nach einem solchen Exzess nicht auf die Haushaltsausnahme berufen, denn die

von ihm zweckentfremdeten Daten hat er dienstlich erlangt. Nach Erwägungsgrund 18, S. 1 der DSGVO greift die Haushaltsausnahme nur, wenn die Verarbeitung „ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit vorgenommen wird“. Dieser Bezug liegt bei einem Mitarbeiterexzess aber vor.

Unrechtmäßige Anfertigung von Fotos, Stalking oder Nachstellen In Sachen Fotos ohne Einwilligung, Stalking oder Nachstellen kennen die Aufsichtsbehörden (zu Recht) kein Pardon: Drei- und vierstellige Geldbußen gab es für Privatpersonen, die einen AirTag am Auto einer anderen Person anbrachten oder nicht anderweitig bezeichnete GPS-Tracker verwendeten, um deren Standort zu ermitteln. Für das Verfolgen und Fotografieren mehrerer Jugendlicher gab es ebenfalls ein Bußgeld. Gegen die Haushaltsausnahme spricht, dass derjenige, der die (Straf-)Rechtsordnung verletzt, eben nicht nur persönlich – privat – für sich handelt, sondern andere verbotenerweise beeinträchtigt. Da das Strafrecht zum öffentlichen Recht gehört, könnte ein Verstoß dagegen öffentlich und eben nicht mehr persönlich sein.

Kann man einen Verstoß gegen den Datenschutz anzeigen?

Auch wenn man bei der Polizei eher an die Aufklärung von Gewaltverbrechen und die Durchführung von Verkehrskontrollen denkt, gibt es Delikte aus dem Datenschutzbereich, in denen sie ermittelt.

Das sogenannte Datenschutzstrafrecht findet sich klassisch im StGB, aber auch im BDSG und GeschGehG.

Hier folgt eine Auswahl:

• Ausspähen und Abfangen von Daten bzw. die Vorbereitung hierauf (§§ 202a, 202b, 202c StGB),
• Datenveränderung (§ 303a StGB),
• Gefährdendes Verbreiten personenbezogener Daten, sogenannter Feindeslisten (§ 126a StGB),
• Verletzung von Privat- und Geschäftsgeheimnissen (§ 23 GeschGehG, § 203 StGB)
• Sowie Datenhandel, Datenschutzverletzungen und Datenbetrug (vgl. § 42 BDSG).

Wird die Polizei bei Kontrollen und Unfällen auf Dashcams aufmerksam, kann sie die Datenschutzbehörden im Rahmen einer Ordnungswidrigkeiten Anzeige informieren (§ 53 Abs. 1 S. 3 OWiG) oder auch nur eine Ereignismitteilung abgeben. Darauf verlassen sollte man sich jedoch nicht, so dass es sinnvoller sein kann, sich selbst an die Datenschutzaufsichtsbehörde zu wenden, wenn man die Rechtmäßigkeit des Dashcam-Einsatzes bezweifelt.

Wie den obigen Straftatbeständen zu entnehmen ist, drohen Geldstrafen, Freiheitsstrafen sind denkbar.

Über die Höhe einer Geld- oder Freiheitsstrafe können keine verlässlichen Angaben gemacht werden, da diese von den Umständen des Einzelfalls abhängt; die Höhe eines Geldstrafen-Tagessatzes bestimmt sich nach den persönlichen und wirtschaftlichen Verhältnissen des Täters (§ 40 Abs. 2 StGB).

Die Strafzumessung erfolgt nicht willkürlich, es gibt Regeln.

Bei Bußgeldern im Rahmen von Datenschutz-Ordnungswidrigkeiten ist in Deutschland ungefähr mit einem drei- bis vierstelligen Betrag zu rechnen, wie beispielsweise im Fall eines Kundendaten privat nutzenden Twitch-Streamers (mittlerer vierstelliger Betrag), eines Zugriffs auf die Patientendaten des Nachbarn (2000 €) sowie unzulässiger privater Videoüberwachung (500 €).

Ordnungswidrigkeiten werden zudem nicht stiefmütterlich behandelt: Datenschutzaufsichtsbehörden stehen Durchsuchungs- und Beschlagnahmebefugnisse zur Verfügung.

Wenn Privatpersonen datenschutzrechtliche Bestimmungen verletzen, ist ein Anspruch auf Schadensersatz aus Art. 82 Abs. 1 DSGVO denkbar. Zumindest in Bezug auf Videoüberwachung in der Nachbarschaft gab es bereits ein entsprechendes Urteil des Landgerichts Berlin.

Privatpersonen können sich in Sachen Datenschutz nicht entspannt zurücklehnen, auch sie haben sich an datenschutzrechtliche Bestimmungen zu halten, sofern die Verarbeitung nicht zur Ausübung ausschließlich privater oder familiärer Tätigkeiten erfolgt.