Ordnungswidrigkeiten sind Verstöße gegen das Datenschutzrecht, die bußgeldbewehrt sind.

Zentrale Norm ist Art. 83 DSGVO.

Allerdings stellt sieht § 61 ThürDSG Sonderregeln vor.

Insbesondere werden nach § 61 Abs. 4 ThürDSG keine Geldbußen gegen öffentliche Stellen verhängt. Dementsprechend ist auch bei den Zuständigkeiten des Landesdatenschutzbeauftragten gem. § 7 Abs. 2 S. 2 ThürDSG geregelt, dass er keine Geldbußen gegen öffentliche Stellen verhängen darf.

Auch in der Kommentarliteratur¹⁾ wird nicht darauf eingegangen, inwieweit die Nichtverhängung von Bußgeldern auch für Mitarbeiter öffentlicher Stellen greift.

Dem Wortlaut nach wird bei öffentlichen Stellen nur keine Geldbuße verhängt. Das würde dafür sprechen, dass die Ordnungswidrigkeit als solche durchaus von natürlichen Personen als Beschäftigten der öffentlichen Stelle begangen werden werden. Es erfolgt nur eben keine „Zurechnung“ zu der öffentlichen Stelle derart, dass auch diese mit einer Geldbuße belegt wird. Auch der Vergleich mit § 30 OWiG spricht dafür, beide Verhältnisse separat zu betrachten. Bei einer unklaren dogmatischen Einordnung²⁾ der Verbandsbuße ergibt sich im Ergebnis jedenfalls aus § 30 Abs. 1 und 4 OWiG, dass es sich um zwei Rechtsverhältnisse handelt, wobei es möglich ist, dass nur die Verbandsbuße festgesetz wird und das Verfahren gegen den Täter eingestellt wird (§ 30 Abs. 4 OWiG) oder umgekehrt nur eine Geldbuße gegen den Täter festgesetzt wird aber nicht gegen die (quasi-)juristische Person (§ 30 Abs. 1 OWiG, da das Opportunitätsprinzip („kann“) gilt.³⁾

Auch wenn es in gewisser Weise wertungswidersprüchlich erscheint, sollte unter Vorsichtsaspekten bis zu einer Klärung davon ausgegangen werden, dass Beschäftigte öffentlicher Stellen mit Geldbußen belegt werden können.

Selbst in diesem Falle wird es aber keinesfalls zu den enormen Bußgeldern kommen, die für private Stellen festgesetzt werden können. Vielmehr deckelt § 61 Abs. 4 ThürDSG das Bußgeld auf maximal 50.000 EUR. Fahrlässige (Erst-)Verstöße werden erfahrungsgemäß nur mit winzigen Bruchteilen solcher Höchstbeträge belegt.

In jedem Falle wird von einer Ordnungswidrigkeit oder gar Straftat des Beschäftigten auszugehen sein, wenn eine datenschutzwidrige Handlung zu Zwecken erfolgt, die keinen dienstlichen Bezug haben. Beispielsweise könnte das der Fall sein, wenn dienstliche Datenbanken genutzt werden, um in einem privaten Nachbarschaftsstreit die Gegenseite zu schädigen.

• 22.11.2018 LfDI Baden-Württemberg: 20.000 EUR, Social-Media-Anbieter hatte Passwörter unverschlüsselt gespeichert, was anlässlich eines erfolgreichen Hackerangriffs aufgefallen ist.⁴⁾

Paal/Pauly/Frenzel, 2. Aufl. 2018, DS-GVO Art. 83