BGH-Urteil entlastet Arbeitnehmer: Keine DSGVO-Haftung für Datenverarbeitung im Job
Gretel Birnbaum
BGH-Urteil entlastet Arbeitnehmer: Keine DSGVO-Haftung für Datenverarbeitung im Job
Bundesgerichtshof klärt Datenschutzverantwortung: Arbeitnehmer gelten in der Regel nicht als „Verantwortliche“ nach DSGVO
Der Bundesgerichtshof (BGH) hat in einem richtungsweisenden Urteil die Verantwortlichkeiten im Datenschutz präzisiert. Am 7. Oktober 2025 entschied das Gericht, dass Arbeitnehmer normalerweise nicht als „Verantwortliche“ im Sinne der Datenschutz-Grundverordnung (DSGVO) einzustufen sind. Die Entscheidung bringt Klarheit darüber, wer in Betrieben die rechtliche Verantwortung für die Verarbeitung personenbezogener Daten trägt.
Im Mittelpunkt des Verfahrens (Aktenzeichen VI ZR 297/24) stand die Frage, ob Beschäftigte als „Verantwortliche“ nach den DSGVO-Regeln gelten können. Der BGH urteilte, dass sie in der Regel im Auftrag ihres Arbeitgebers handeln und nicht als eigenständige Verantwortliche agieren. Diese Unterscheidung ist von zentraler Bedeutung, da Verantwortliche die volle rechtliche Haftung für die Datenverarbeitung sowie mögliche Verstöße tragen.
Das Urteil folgt auf jüngste Sanktionen gegen Mitarbeiter, die ihren Datenzugriff missbraucht hatten. In Baden-Württemberg wurde ein Polizist mit 3.500 Euro Geldbuße belegt, weil er unbefugt die Daten einer Frau im Melderegister abgefragt hatte. Auch die Hamburger Datenschutzbehörde ahndete sechs Fälle im öffentlichen Dienst, in denen Beschäftigte ohne berechtigten Grund private Daten von Bürgern abgerufen hatten. Vor dieser Entscheidung gab es laut Recherchen keine vorherigen BGH-Urteile dazu, wer als „Verantwortlicher“ nach DSGVO einzustufen ist. Die nun getroffene Klärung schafft eine deutlichere Grundlage für die Haftungsfrage bei der Datenverarbeitung im Arbeitsumfeld.
Die BGH-Entscheidung schränkt die direkte Haftung von Arbeitnehmern nach der DSGVO in den meisten Fällen ein. Die Hauptverantwortung für die Einhaltung des Datenschutzes bleibt damit bei den Arbeitgebern als primären Verantwortlichen. Gleichzeitig zeigen die Bußgelder für unrechtmäßigen Datenzugriff, dass die Behörden weiterhin konsequent gegen den Missbrauch offizieller Systeme durch Einzelpersonen vorgehen.
