Relevante Rechtsprechung – Update #5 :: Datenschutzstelle Liechtenstein

Die Datenschutzstelle (DSS) publiziert regelmässig Zusammenfassungen datenschutzrechtlich relevanter Gerichtsurteile. Im heutigen Rechtsprechungs-Newsletter findet sich ein Urteil des Europäischen Gerichtshofs (EuGH) sowie eines des österreichischen Bundesverwaltungsgerichts (BVwG). Beide Urteile sind zwar schon etwas älter (2024 und 2025), bleiben jedoch aufgrund ihrer Thematik stets aktuell, insbesondere auch in der aktuellen Beratung und Bearbeitung von Beschwerden durch die DSS. Es geht um die Haftungsbefreiung von Verantwortlichen (Haftung für Fehler von Angestellten), und um Videoaufnahmen im Nachbarschaftsbereich. Beim Urteil betreffend die Haftung von Arbeitgebern beschränken sich die Ausführungen der DSS auf die datenschutzrechtliche Rollenverteilung.

EuGH-Urteil vom 11. April 2024, C-741/21, GP gegen juris GmbH: Haftung des Verantwortlichen bei Fehlverhalten von Angestellten
Verantwortliche können sich nicht ohne weiteres aus der Haftung gemäss Art. 82 Abs. 2 DSGVO befreien, indem sie die Schuld für einen allfälligen Schaden einer ihr gemäss Art. 29 DSGVO unterstellten Person zuweisen. Das heisst, in der Regel haftet der Arbeitgeber für datenschutzrechtliche Fehler seiner Angestellten.

Eine betroffene Person hatte trotz nachweislich mehrmalig eingereichter Widersprüche gegen die Verarbeitung ihrer personenbezogenen Daten weiterhin Werbemails eines Unternehmens erhalten. Sie forderte deswegen Schadenersatz. Der Verantwortliche stellte sich auf den Standpunkt, dass der Fehler nicht seine Schuld gewesen sei, sondern der eines konkreten Mitarbeiters, und er deswegen nicht hafte.

Der EuGH entschied, dass ein Verantwortlicher sich nicht schlicht unter Hinweis darauf, dass das Fehlverhalten von einer ihm im Sinne von Art. 29 DSGVO unterstellten Person verursacht worden sei, aus seiner Haftung befreien könne. Art. 82 Abs. 3 DSGVO sehe für einen Verantwortlichen die Möglichkeit einer Befreiung aus der Haftung gemäss Art. 82 Abs. 2 DSGVO nur dann vor, wenn er nachweise, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich sei. Gemäss EuGH sei es Sache des Verantwortlichen, sich zu vergewissern, dass seine Weisungen von seinen Angestellten korrekt ausgeführt würden. Daher könne sich der Verantwortliche nicht einfach durch Berufung auf Fahrlässigkeit oder Fehlverhalten einer ihm unterstellten Person von seiner Haftung befreien.

Anmerkung der DSS: Aus dem Urteil ergibt sich, dass es für eine Haftungsbefreiung des Verantwortlichen nicht ausreicht, wenn ihn «kein Verschulden» im klassischen deliktischen Sinn trifft. Vielmehr muss er nachweisen, dass der gesamte schadensbegründende Vorgang ausserhalb seines Verantwortungsbereichs liegt. Dass Mitarbeitende sich nicht an aufgestellte Regeln halten, entlastet ein Unternehmen somit nicht automatisch. Dies ist im Übrigen nichts Neues, sondern im liechtensteinischen Vertragsrecht bereits seit dem 20. Januar 1926 verankert, also seit gut 100 Jahren, in Form der sogenannten Hilfspersonenhaftung: Gemäss § 44 Abs. 1 SchlT PGR haftet der Verantwortliche grundsätzlich für seine Hilfspersonen.

Eine Haftungsbefreiung des Verantwortlichen aufgrund eines Fehlverhaltens einer ihm unterstellten Person kommt nur in eng begrenzten Ausnahmefällen zum Tragen, so etwa, wenn eine unterstellte Person völlig ausserhalb ihrer Aufgaben und entgegen klaren, angemessenen und wirksam umgesetzten organisatorischen und technischen Vorgaben gehandelt hat. Handelt die unterstellte Person nämlich über ihren zulässigen Auftrag hinaus und ausschliesslich für ihre eigenen privaten Zwecke oder für die Zwecke eines Dritten, so wird sie dadurch selbst ein eigenständiger Verantwortlicher.¹ Dies ist etwa der Fall, wenn eine angestellte Person beschliesst, personenbezogene Daten in ihrem Aufgabenbereich zu verwenden, um ein eigenes Unternehmen zu gründen.² Ein weiteres Beispiel: Die österreichische Datenschutzbehörde entschied am 27. Januar 2026, dass eine Mitarbeiterin, die die Telefonnummer eines Kunden mit einer dritten Person für einen persönlichen Gefallen teilte und damit gegen die Unternehmensregeln verstiess, als eigene Verantwortliche zu qualifizieren und damit auch schadenersatzpflichtig und zu büssen ist. Diese Entscheidung wurde inzwischen rechtskräftig vom BVwG bestätigt.

Nach Ansicht der DSS zeigen diese Beispiele anschaulich die Anforderungen an die Intensität bzw. die Art des Fehlverhaltens von Mitarbeitenden, welche zu einer Haftungsbefreiung des Verantwortlichen führen können. Während beim nicht stornierten Werbemail-Versand der Verantwortliche in der Haftung bleibt, kann er sich bei der Verwendung von personenbezogenen Daten durch einen Angestellten beispielsweise zum Zweck der Gründung eines eigenen Unternehmens oder zur Erfüllung eines persönlichen Gefallens von seiner Haftung befreien, da diesfalls der schadensbegründende Vorgang völlig ausserhalb seines Verantwortungsbereichs liegt und die angestellte Person durch das unrechtmässige Überschreiten der ihr erteilten Befugnis selbst zum Verantwortlichen wird. In jedem Fall jedoch hat der Verantwortliche (das Unternehmen) dafür zu sorgen, dass angemessene technische und organisatorische Massnahmen, wie z.B. Schulungen und Informationen für Mitarbeitende, ergriffen werden, um die Einhaltung der DSGVO sicherzustellen (Art. 24 Abs. 1 DSGVO).

BVwG-Erkenntnis W258 2242162-1/24E vom 15. September 2025 GmbH: Videoaufnahmen in der Nachbarschaft / Haushaltsausnahme
Videoaufnahmen sind nur dann von der sogenannten Haushaltsausnahme gemäss Art. 2 Abs. 2 Bst. c DSGVO gedeckt, wenn die personenbezogenen Daten ausschliesslich für persönliche oder familiäre Zwecke verarbeitet werden und sie sich auf den eigenen Privatbereich beschränken.

Ein Nachbar hatte in einer gemeinsamen Tiefgarage eine Kamera aufgestellt und heimlich Fotos seiner Nachbarin und ihrer Kinder gemacht. Diese Aufnahmen gab er zudem an Dritte weiter. Die österreichische Datenschutzbehörde (DSB) entschied, dass dies einen Verstoss gegen das Recht auf Geheimhaltung der Nachbarin darstellt. Die Kameraaufnahme war nicht durch die sogenannte Haushaltsausnahme der DSGVO (Art. 2 Abs. 2 Bst. c DSGVO) gedeckt, weil sie nicht nur dem privaten Gebrauch diente.

Gegen diese Entscheidung der DSB legte der Nachbar Beschwerde beim Bundesverwaltungsgericht (BVwG) ein, verlor aber auch dort. Das Gericht bestätigte, dass Video- oder Fotoaufnahmen, die Personen identifizierbar machen, personenbezogene Daten im Sinne der DSGVO sind. Die Haushaltsausnahme gelte zudem nur, wenn die Daten ausschliesslich für persönliche oder familiäre Zwecke verarbeitet werden. Da der Nachbar die Kamera auf einen Bereich ausserhalb seines eigenen Privatbereichs richtete und die Bilder sogar an Dritte weitergab, lag keine ausschliesslich persönliche oder familiäre Tätigkeit vor. Die Aufnahmen waren ausserdem heimlich und nicht transparent und stellten somit einen Verstoss gegen Art. 5 DSGVO dar. Das Gericht entschied folglich, dass sowohl die Aufnahmen als auch die Weitergabe rechtswidrig waren.

Anmerkung der DSS: Bei Videoaufnahmen im eigenen Umfeld ist penibelst darauf zu achten, dass auch tatsächlich nur der eigene Bereich erfasst wird, denn das Gericht hielt in Rz. 3.1.1. fest: «Soweit sich eine Videoüberwachung auch nur teilweise auf den öffentlichen Raum erstreckt und dadurch auf einen Bereich ausserhalb der privaten Sphäre desjenigen gerichtet ist, der die Daten auf diese Weise verarbeitet, kann sie nicht als eine ausschliesslich „persönliche oder familiäre“ Tätigkeit angesehen werden.» Deswegen fallen solche Aufnahmen in den Anwendungsbereich der DSGVO und sind folglich die dortigen Vorschriften einzuhalten (Rechtsgrundlage für die Datenverarbeitung, Einhaltung des Transparenzgrundsatzes etc.). Dies gilt erst recht, wenn eine Videoüberwachung den privaten Raum eines Dritten ohne dessen Zustimmung erfasst.

Näheres zur Videoüberwachung im Nachbarschafts- und Wohnbereich sowie zu weiteren Spezialgebieten (Drohnen, Dashcams, Wildtierkameras) finden Sie hier.

Hinweis: Eine umfassende Zusammenstellung relevanter Rechtsprechung im Datenschutzbereich finden Sie im Judikaturspiegel der Datenschutzstelle.

Zurück