Bußgeld für Polizeikommissar: Private Abfrage zu Daten eines Online-Händlers

Online-Handel, unzuverlässige Datenverarbeitung, Sanktion. Der Fall könnte klar sein: Da wurde vielleicht ein Newsletter ohne Einwilligung verschickt und der Online-Händler bekommt Ärger. 

Doch der Fall, den der hessische Datenschutzbeauftragte in seinem Tätigkeitsbericht für 2021 beschreibt, ist ein bisschen anders aufgebaut, als die „üblichen“ Fälle. Zahlen sollte das Bußgeld nicht der Verkäufer, sondern sein Kunde – ein Polizeioberkommissar. 

Private Datenabfrage in Polizeidatenbank über Online-Händler

Dem Bußgeld voraus geht ein Einkauf des Kunden. Über eine Online-Plattform erwirbt er beim betroffenen Verkäufer ein hochwertiges Notebook. Mit einem Detail des Kaufvertrags war er im Nachhinein offenbar nicht zufrieden. Wie es in der Schilderung heißt, wollte sich der Online-Händler nicht auf Verhandlungen über die gewählte Zahlungsart einlassen. 

Der Beamte wollte daraufhin offenbar seine Verhandlungsposition „verbessern“. Er griff auf POLAS, eine Polizeidatenbank, zu und verschaffte sich hier Informationen zur Person des Verkäufers. Unter Verwendung von Daten, wie dem Geburtsdatum und -ort des Verkäufers oder seiner aktuellen und vergangenen Wohnadresse, schickte er dem Verkäufer dann mehrere Nachrichten. Wie es im Bericht weiter heißt, wollte der Polizist mit den Informationen seiner Forderung nach einer alternativen Zahlungsmethode Nachdruck verleihen. Der Verkäufer allerdings brachte das Verhalten zur Anzeige. Geahndet wurde es mit einer Geldbuße von 400 Euro für den Polizeibeamten. 

Nach Bundesrecht können öffentliche Stellen wie Behörden prinzipiell nicht mit einem Bußgeld belegt werden. Ausnahmen können sich aus speziellen Gesetzen oder Landesrecht ergeben, oder auch in der Situation anfallen, in der die öffentliche Stelle quasi als Unternehmen im Wettbewerb handelt. In diesem Fall allerdings richtete sich das Bußgeld nicht gegen die Behörde, sondern gegen den Beamten selbst. Dahinter steht der sogenannte Mitarbeiterexzess: Mitarbeiter nehmen dabei eigenmächtige Datenverarbeitungen zu privaten Zwecken vor und setzten sich dabei über arbeitsrechtliche Weisungen des Arbeitgebers hinweg. 

Personenbezogene Daten dürfen nur zweckgebunden verarbeitet werden

Online-Händlern wiederum kann das im übertragenen Sinne ein Beispiel für die Zweckbindung als Grundprinzip der Datenverarbeitung sein: Personenbezogene Daten dürfen stets nur für eindeutige, festgelegte und legitime Zwecke erhoben und verarbeitet werden, Vorratsdatenspeicherung ist grundsätzlich keine zulässige Option. Wichtig ist das auch für die Informationspflichten, die erfüllt werden müssen, da der Zweck hier regelmäßig angegeben werden muss, ähnliches gilt auch im Hinblick auf das Verarbeitungsverzeichnis.

Relevant ist der Zweck der Verarbeitung natürlich für die Wahl der Rechtsgrundlage. Ob beispielsweise ein berechtigtes Interesse an der Datenverarbeitung besteht, hängt natürlich auch davon ab, in welchem Rahmen die Daten verarbeitet werden sollen. Das macht es logischerweise erforderlich, sich bereits vor der Datenerhebung Gedanken über ihren Zweck zu machen. Hierbei kann man auch gleich die Probe aufs Exempel durchführen und kontrollieren, ob der Grundsatz der Datenminimierung eingehalten werden wird – also lediglich die Daten erhoben und verarbeitet werden, die für den angestrebten Zweck wirklich erforderlich sind.