Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat ihren Jahresbericht 2025 veröffentlicht. Ein Abschnitt beschäftigt sich mit einem Muster, das in jedem Betrieb mit sensiblen Daten auftreten kann: Beschäftigte nutzen Zugriffsrechte, die sie für ihre Arbeit haben, für private Zwecke.
Drei Fälle aus dem Gesundheitsbereich stehen im Bericht. Ein Mitarbeiter drehte private Filmaufnahmen in einer Klinik und gab sie weiter, der Bußgeldbescheid dazu ist inzwischen rechtskräftig. Ein Arzt rief ohne Anlass die Gesundheitsdaten einer ihm unterstellten Beschäftigten ab und prüfte außerdem unbefugt den Infektionsstatus eines Assistenzarztes, auch hier wurde ein Bußgeld verhängt. Ein Rezeptionist einer psychiatrischen Ambulanz nutzte die private E-Mail-Adresse einer Patientin, um sie außerhalb des Praxisbetriebs privat anzuschreiben, das Bußgeld dazu erging bereits im Vorjahr. Konkrete Beträge oder Aktenzeichen nennt der Bericht für diese drei Fälle nicht.
Was rechtlich passiert: Sobald jemand Daten, auf die er beruflich zugreifen darf, für einen privaten Zweck verarbeitet, wird nach Auffassung der Behörde die betreffende Person selbst zur Verantwortlichen im Sinne der DSGVO, nicht mehr die Klinik oder Praxis. Und weil kein beruflicher Anlass mehr besteht, fehlt für diese private Verarbeitung in aller Regel jede Rechtsgrundlage. Bei Gesundheitsdaten kommt erschwerend hinzu: Sie zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, für die ein noch engerer Rahmen gilt als für gewöhnliche Daten.
Das Muster reicht weit über Kliniken hinaus: Das Muster ist branchenunabhängig. Wer als Personalverantwortlicher Zugriff auf Gehaltsdaten hat, wer als IT-Admin Postfächer einsehen kann, wer als Vertriebler die Kundendatenbank durchsuchen darf, sitzt im selben Risiko. Die Frage ist nicht, ob der Zugriff technisch möglich war, sondern ob er für die konkrete Aufgabe nötig war.
Was die Behörde von Arbeitgebern erwartet: Der Bericht nennt zwei Punkte. Erstens technisch-organisatorische Maßnahmen, die unbefugte Verarbeitungen von vornherein erschweren, etwa Zugriffsbeschränkungen nach dem Prinzip der minimalen Berechtigung und Protokollierung sensibler Abfragen. Das ist die praktische Umsetzung von Art. 32 DSGVO, der Verantwortliche zu angemessenen Sicherheitsmaßnahmen verpflichtet. Zweitens regelmäßige Schulungen, damit allen Beschäftigten klar ist, wo die Grenze zwischen dienstlichem und privatem Datenzugriff verläuft.
Für die Praxis heißt das: Ein Zugriffskonzept, das nur auf dem Papier existiert, schützt niemanden. Wer prüfen will, ob im eigenen Betrieb nachvollziehbar ist, wer wann auf welche sensiblen Daten zugegriffen hat, sollte genau dort ansetzen, bevor die Aufsichtsbehörde es tut.
Quelle: BlnBDI, Jahresbericht 2025, Abschnitt B-II-3, abgerufen am 08.07.2026 unter datenschutz-berlin.de/jahresbericht-2025/#B-II-3.
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 11.07.2026.