Die Vorwürfe sind schnell formuliert: ein Blick in Kundendaten ohne Anlass, eine Datei an die private E-Mail-Adresse geschickt, ein Datensatz an Dritte weitergegeben. Doch nicht jeder Datenschutzverstoß im Job führt automatisch zur Kündigung. Ob eine Abmahnung genügt oder ob das Arbeitsverhältnis tatsächlich endet, hängt vor allem von drei Faktoren ab: der Schwere des Verstoßes, der Frage, ob der Arbeitnehmer über die Regeln informiert und geschult war, und der Gefahr, dass sich das Fehlverhalten wiederholt.
Wichtig in jedem Fall: Wer eine Kündigung erhalten hat, muss innerhalb von drei Wochen nach Zugang Kündigungsschutzklage erheben, wenn er sich wehren will. Diese Frist gilt auch dann, wenn die Kündigung nach Ansicht des Arbeitnehmers unberechtigt ist. Versäumt sie, gilt die Kündigung im Regelfall als wirksam.
Das sollten Beschäftigte wissen
Ein Datenschutzverstoß verletzt die Pflicht zur Rücksichtnahme auf die Interessen des Arbeitgebers und kann je nach Schwere abgemahnt, ordentlich gekündigt oder in Ausnahmefällen fristlos gekündigt werden.
Grundsätzlich muss eine Verhaltenskündigung durch eine vorherige Abmahnung vorbereitet sein. Ohne Abmahnung ist sie nur bei besonders schweren Verstößen wirksam, deren Rechtswidrigkeit für den Arbeitnehmer erkennbar war.
Ob eine Kündigung trägt, richtet sich weniger nach dem Etikett „Datenschutzverstoß“ als nach den Umständen: Art und Umfang der Daten, Verschulden, Folgen und die Frage, ob klare Regeln bestanden.
Die Kündigung ist keine Strafe für die Vergangenheit, sondern soll künftige Störungen verhindern. Fehlt eine Wiederholungsgefahr, scheidet sie im Zweifel aus.
Nach einer Kündigung läuft die Klagefrist: Drei Wochen ab Zugang der Kündigung – unabhängig davon, ob ordentlich oder fristlos gekündigt wurde.
Welche Verhaltensweisen gelten im Job als Datenschutzverstoß?
Nicht jeder Verstoß sieht von außen dramatisch aus. Die Praxis zeigt vor allem diese Fallgruppen: das Aufrufen von Kundendaten, Patientendaten oder Mitarbeiterdaten ohne dienstlichen Anlass, etwa aus Neugier oder für private Zwecke; die Weitergabe personenbezogener Daten an Dritte oder an private Konten; das Weiterleiten betrieblicher Dateien an die eigene private E-Mail-Adresse; das Speichern von Unternehmensdaten auf privaten Geräten oder umgekehrt; das ungeklärte Hochladen von Daten in externe Cloud-Dienste oder private Messenger; das Veröffentlichen von Interna oder personenbezogenen Daten in sozialen Netzwerken; schließlich das eigenmächtige Löschen oder Verändern geschäftlicher Daten ohne Ermächtigung.
Rechtlich läuft das auf zwei Pflichtverletzungen hinaus: den Verstoß gegen die sich aus § 241 Abs. 2 BGB ergebende Pflicht, auf die berechtigten Interessen des Arbeitgebers Rücksicht zu nehmen, und die Verletzung der arbeitsvertraglichen Verschwiegenheitspflicht. Werden Vorschriften zum Datenschutz, etwa aus der Datenschutz-Grundverordnung, schuldhaft übertreten, wird das arbeitsrechtlich wie eine Verletzung der Verschwiegenheitspflicht behandelt. Für den Arbeitgeber wiegt besonders schwer, dass er als Verantwortlicher für Datenpannen gerade stehen kann und behördliche Bußgelder oder Ansprüche von Betroffenen drohen können, wenn Beschäftigte Daten unerlaubt nutzen.
Verwarnung, Abmahnung oder Kündigung: Was darf der Arbeitgeber aussprechen?
Grundsätzlich gilt: Bei einem steuerbaren Fehlverhalten, zu dem auch Datenschutzverstöße zählen, muss der Arbeitgeber zunächst zu einem milderen Mittel greifen. Das ist regelmäßig die Abmahnung. Sie hat zwei Funktionen – sie rügt das konkrete Fehlverhalten und warnt erkennbar davor, dass im Wiederholungsfall der Bestand des Arbeitsverhältnisses auf dem Spiel steht. Eine Kündigung, die ohne vorherige einschlägige Abmahnung ausgesprochen wird, ist danach meist unwirksam.
Ausnahmen gelten in zwei Konstellationen: wenn bereits von vornherein erkennbar ist, dass sich der Beschäftigte auch nach einer Abmahnung nicht vertragskonform verhalten wird – etwa weil er sein Verhalten hartnäckig für richtig hält – oder wenn die Pflichtverletzung so schwer wiegt, dass selbst ihre erstmalige Hinnahme dem Arbeitgeber objektiv nicht zuzumuten und dies auch für den Arbeitnehmer erkennbar ist. Gedanklich geregelt ist das in § 314 Abs. 2 BGB, der über die Interessenabwägung des § 626 Abs. 1 BGB für die fristlose Kündigung eingeordnet wird. Wer etwa vorsätzlich Daten in größerem Umfang an ein Konkurrenzunternehmen weitergibt, kann sich regelmäßig nicht darauf berufen, vorher abgemahnt werden zu müssen. Wer dagegen eine Datei an das private Postfach schickt, um zu Hause weiterzuarbeiten, hat in aller Regel keinen Anlass zur Annahme, dass der Arbeitgeber gerade dieses Verhalten als so schwerwiegend einstuft, dass jede Warnung entbehrlich wäre.
Ergänzend gilt Verfahrensrecht: In Betrieben mit Betriebsrat ist dieser vor jeder Kündigung nach § 102 BetrVG anzuhören, sonst ist die Kündigung nach § 102 Abs. 1 Satz 3 BetrVG unwirksam – unabhängig davon, wie der Verstoß im Einzelnen zu bewerten ist.
Die drei Stellschrauben: Schwere, Schulung und Wiederholungsgefahr
Die Schwere des Verstoßes
Entscheidend für die Schwere sind vor allem die Art und der Umfang der betroffenen Daten, die Folgen des Verstoßes, der Grad des Verschuldens und die Situation, in der er begangen wurde. Besonders sensible Daten – etwa Gesundheitsdaten, Daten aus dem Meldewesen oder eines Kundenstamms im Ganzen – wiegen schwerer als die einmalige Einsicht in einen weitgehend unkritischen Datensatz. Vorsätzliches Handeln wiegt mehr als ein Flüchtigkeitsfehler. Ein verärgerter Kollege per Nachrichten-Gruppe über einen Vorgesetzten mit Namen und Details zu informieren, ist etwas anderes, als versehentlich einen Verteiler falsch zu setzen. Wichtig ist dabei: Die Schwere wird unabhängig von Wiederholungsgefahr und sonstigen Umständen wie einem bislang unbelasteten Arbeitsverhältnis geprüft. Ein solches Verhältnis wird erst im Rahmen der Gesamtabwägung berücksichtigt – dort kann es aber, gerade bei langjähriger störungsfreier Beschäftigung, den Ausschlag gegen eine fristlose Kündigung geben.
Schulung und klare Regeln
Ein häufig unterschätzter Punkt: Der Arbeitgeber kann Beschäftigte nur auf Regeln verpflichten, die er selbst erkennbar gesetzt hat. Aus der Datenschutz-Grundverordnung ergtibt sich für den Arbeitgeber die Pflicht, geeignete technische und organisatorische Maßnahmen zu treffen – dazu können je nach Betrieb Datenschutzrichtlinien, Zugriffsbeschränkungen, Freigabeprozesse und die Schulung der Beschäftigten gehören. Bei der Prüfung einer Kündigung achten wir deshalb besonders darauf, ob der Vorwurf überhaupt eine klare, für den Betroffenen erkennbare Regel betrifft und ob der Arbeitgeber die Schulung nachweisen kann. Fehlt ein entsprechender Nachweis oder gab es nur einen allgemein gehaltenen Aushang im Flur, schwächt das die Kündigung erheblich – denn ein solcher Aushang erfüllt nicht die Warnfunktion einer konkreten Abmahnung. Umgekehrt gilt: Wer nachweislich geschult wurde und die Regeln kennt, kann sich später kaum damit verteidigen, nicht gewusst zu haben, was erlaubt ist. Für Beschäftigte lohnt es sich deshalb, eigene Unterlagen zu Schulungen, Anweisungen und Zugriffsrechten aufzubewahren – gerade diese Dokumente entscheiden im Streitfall oft über Erfolg und Misserfolg der Verteidigung.
Wiederholungsgefahr
Eine Kündigung soll künftige Störungen verhindern, nicht die Vergangenheit bestrafen. Das arbeitsrechtliche System verlangt deshalb eine negative Prognose: Es muss Grund zur Annahme bestehen, dass es auch künftig zu gleichartigen Pflichtverletzungen kommt. Genau deshalb ist die Abmahnung so wichtig – sie objektiviert diese Prognose. Fehlt jede Wiederholungsgefahr, weil es sich um einen einmaligen, klar abgeschlossenen Vorfall ohne Fortsetzungswillen handelt, scheidet eine fristlose Kündigung im Regelfall aus. Für Betroffene hat das eine praktische Konsequenz, die in der Beratung oft übersehen wird: Wie man sich nach dem Vorwurf verhält, ist selbst Teil der Abwägung. Wer vor der Anhörung oder dem Arbeitsgericht den Vorfall einräumt, sein Fehlverhalten einsieht und plausibel erklärt, kann die Wiederholungsgefahr entkräften. Wer hingegen uneinsichtig jede Rüge von sich weist, obwohl die Fakten klar sind, liefert dem Arbeitgeber gerade das Argument, das er für die negative Prognose braucht. Deshalb empfehlen wir, vor jeder Stellungnahme zu einem konkreten Vorwurf – mündlich wie schriftlich – den Sachverhalt intern oder anwaltlich prüfen zu lassen und nichts vorschnell einzuräumen oder zu bestreiten.
Drei Wochen: Die Frist, über die jede Klageentscheidung fällt
Wichtig: Wer eine Kündigung wegen eines Datenschutzverstoßes erhält, muss innerhalb von drei Wochen nach Zugang der schriftlichen Kündigung Klage beim Arbeitsgericht erheben (§ 4 KSchG). Das gilt nach § 13 Abs. 1 Satz 2 KSchG auch für fristlose Kündigungen. Wird die Frist versäumt, gilt die Kündigung nach § 7 KSchG grundsätzlich als von Anfang an wirksam – selbst wenn rechtlich Einwände bestanden hätten. Eine Zulassung der verspäteten Klage ist nur unter engen Voraussetzungen möglich und sollte niemals einkalkuliert werden.
Verwechselt werden darf diese Klagefrist nicht mit der Erklärungsfrist aus § 626 Abs. 2 BGB: Diese zwei Wochen betreffen den Arbeitgeber, der eine fristlose Kündigung nach Kenntnis der maßgeblichen Tatsachen aussprechen muss. Sie läuft gegen den Arbeitnehmer nicht. Sein alleiniger Stoppuhr-Start ist der Zugang der Kündigung.
Noch ein Punkt zur realistischen Einschätzung: Der allgemeine Kündigungsschutz nach dem Kündigungsschutzgesetz greift erst nach sechs Monaten Betriebszugehörigkeit (§ 1 KSchG) und in der Regel nur in Betrieben mit mehr als zehn Arbeitnehmern (§ 23 Abs. 1 KSchG). In der Probezeit oder im Kleinbetrieb können andere Unwirksamkeitsgründe – etwa eine fehlerhafte Anhörung des Betriebsrats, Formmängel oder ein unverhältnismäßiges Vorgehen trotz fehlender Abmahnung – gleichwohl eine Abfindung oder Bestandsschutz eröffnen. Trägt die Kündigung nicht, muss der Arbeitgeber zudem im Prozess die Gründe darlegen und beweisen; bei Datenschutzzugriffen stützt er sich regelmäßig auf Systemprotokolle, deren Aussagekraft und Zuordenbarkeit durchaus anfechtbar sein können.
Zwei typische Konstellationen
Erstens: Eine Sachbearbeiterin schaut aus Neugier nach, ob sich ein Nachbar noch Kunde des Unternehmens ist, und ruft dessen Datensatz auf. Das ist ein klarer Verstoß – aber ein einmaliger, ohne Weitergabe, ohne wirtschaftlichen Vorteil. Bei langjähriger, unbelasteter Betriebszugehörigkeit wird eine fristlose Kündigung hier regelmäßig an der erforderlichen Abmahnung scheitern; eine ordentliche Kündigung ist je nach Datenbestand möglich, aber auch nicht zwingend.
Zweitens: Ein Mitarbeiter leitet eine Kundendatei an seine private E-Mail-Adresse, um am Wochenende weiterzuarbeiten. Gut gemeint ändert nichts an der Pflichtwidrigkeit, wenn eine Weiterleitung nicht erlaubt ist. Gleichwohl verändern Motiv und fehlender Missbrauch die Abwägung: Ohne weitere Rechtsverletzungen oder Vorbelastungen kommt hier eine fristlose Kündigung ohne vorherige Abmahnung regelmäßig nicht in Betracht.
Beide Fälle zeigen dasselbe: Der Vorwurf allein entscheidet nicht – die Umstände tun es.
Was Beschäftigte nach einer Kündigung konkret tun können
Zuerst das Kündigungsschreiben sichern und den Zugangstag dokumentieren, denn von ihm hängt die Klagefrist ab. Dann den Kündigungstext genau lesen: Welcher Vorwurf wird erhoben, welche Daten, welche Daten? Ist der Vorwurf unklar, lassen sich Nachschieben von Gründen und bloße Verdachtskonstruktionen oft angreifen. Anschließend Unterlagen zusammentragen: eigene Zugriffsrechte, Arbeitsanweisungen, Schulungsnachweise, Richtlinien, die Kommunikation mit Vorgesetzten. Nichts unterschreiben – sei es ein Aufhebungsvertrag, ein Schuldeingeständnis oder eine Löschvereinbarung –, solange die Lage nicht geprüft ist. Und keine vorschnellen Erklärungen abgeben, die als uneinsichtiges Verhalten gegen einen verwendet werden können. Bleibt Zeit, sollte anwaltlicher Rat eingeholt werden, solange die Dreiwochenfrist noch nicht einmal halb verstrichen ist – je nach Konfliktlage sind auch außergerichtliche Lösungen mit Abfindung eine reale Option.
Der Vorwurf allein ist noch keine Kündigung
Datenschutzverstöße sind ernst zu nehmen, weil sie den Arbeitgeber selbst in die Haftung bringen und sein Vertrauen in Anspruch nehmen können. Ob sie aber tatsächlich den Job kosten, ist eine Frage der Schwere, der Regelungsdichte und Schulung im Betrieb und der Wiederholungsgefahr – nicht der Bezeichnung des Vorwurfs. Genau diese Punkte prüfen wir bei der SYMANN LAW Rechtsanwaltsgesellschaft mbH gemeinsam mit Ihnen: Ist die Kündigung überhaupt wirksam ausgesprochen, war eine Abmahnung erforderlich, trägt die Interessenabwägung, und welche Verteidigung ist unter den drei Wochen Klagefrist realistisch umsetzbar? Bestand Ihr Arbeitsverhältnis in München, ist in der Regel das Arbeitsgericht München zuständig. Wenn Sie eine Kündigung oder Abmahnung wegen eines Datenschutzverstoßes erhalten haben, lassen Sie die Unterlagen frühzeitig prüfen – wir klären mit Ihnen die rechtlichen Möglichkeiten und die nächsten Schritte.
