Fristlose Kündigung wegen Missbrauchs von Kundendaten

Seit dem endgültigen Inkrafttreten der Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 gibt es die Befürchtung von Abmahnungen und Bußgeldern. Wie sich zeigt, waren diese Befürchtungen nicht ganz grundlos, denn in den vergangenen Jahren wurden bereits mehrfach Verstöße geahndet. Auch auf das Arbeitsverhältnis hat der Datenschutz Einfluss.

Ein guter Wille reicht nicht aus

Laut Artikel 32 der DSGVO müssen Unternehmen geeignete technische und organisatorische Maßnahmen ergreifen, um die Verarbeitung von personenbezogenen Daten zu schützen. Das gilt insbesondere auch für die im Umgang mit Kundendaten betrauten Mitarbeiter und für solche Mitarbeiter, die Sicherheitslücken aufdecken sollen. In einer Pressemitteilung berichtet das Arbeitsgericht Siegburg über eine Klage gegen eine fristlose Kündigung wegen eines Missbrauchs im Umgang mit sensiblen Daten.

Ein IT-Mitarbeiter sei verpflichtet, sensible Kundendaten zu schützen und dürfe diese nicht zu anderen Zwecken missbrauchen – Auch nicht, um auf bestehende Sicherheitslücken hinzuweisen und hieran ein Exempel zu statuieren. Ein Verstoß gegen diese Pflichten rechtfertige in der Regel eine fristlose Kündigung durch den Arbeitgeber (Urteil vom 15. Januar 2020, Aktenzeichen 3 Ca 1793/19).

Datenzugriff missbraucht und Sicherheitslücke ausgenutzt

Der IT-Mitarbeiter war als SAP-Berater tätig und bestellte vom Rechner eines Spielcasinos aus Kopfschmerztabletten für zwei Vorstandsmitglieder einer SAP-Kundin. Bezahlt wurde die Bestellung per Lastschrift, wobei der IT-Mitarbeiter auf die zuvor von einem verschlüsselten Rechner heruntergeladenen Namen, Anschriften und Bankverbindungsdaten zurückgriff. Hintergrund der Aktion war es, aufzuzeigen, wie einfach Datenmissbrauch sei, was bei den Verantwortlichen zu Kopfschmerzen führen müsse. Dafür hatte der Spaßvogel die bestellten Kopfschmerztabletten vorgesehen. 

Der Zweck heiligt nicht die Mittel

Auch wenn die Aktion sicherlich kreativ und auch gut gemeint war. Den Richter am Arbeitsgericht konnte er nicht überzeugen. Die fristlose Kündigung sei gerechtfertigt, denn durch seine Aktion habe der IT-Mitarbeiter gegen seine Pflicht zur Rücksichtnahme auf die Interessen des Arbeitgebers eklatant verstoßen. Sensible Kundendaten sind zu schützen und nicht zu missbrauchen. Auch für das Aufdecken vermeintlicher Sicherheitslücken dürfen Kundendaten nicht missbraucht werden. Der Kläger hat somit massiv das Vertrauen der Auftraggeber in einen IT-Sicherheits-Dienstleister und deren Mitarbeiter gestört und damit die Kundenbeziehung massiv gefährdet. Der Zweck heiligte in diesem Fall also nicht das Mittel.