BGH-Urteil klärt Haftung von Mitarbeitern bei DSGVO-Verstößen und unrechtmäßigem Datenzugriff
Marliese Mülichen
BGH-Urteil klärt Haftung von Mitarbeitern bei DSGVO-Verstößen und unrechtmäßigem Datenzugriff
Bundesgerichtshof klärt Haftungsfragen bei Datenschutzverstößen nach DSGVO
Der Bundesgerichtshof (BGH) hat am 7. Oktober 2025 ein richtungsweisendes Urteil zu den datenschutzrechtlichen Verantwortlichkeiten nach der Datenschutz-Grundverordnung (DSGVO) gefällt. Die Entscheidung präzisiert, unter welchen Umständen Beschäftigte für den unsachgemäßen Umgang mit personenbezogenen Daten rechtlich zur Rechenschaft gezogen werden können. Zudem bestätigt das Gericht, dass im Jahr 2025 keine weiteren öffentlichen Stellen wegen ähnlicher Verstöße – etwa durch unrechtmäßigen Datenzugriff durch Mitarbeiter – mit Sanktionen belegt wurden.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Im Mittelpunkt des Verfahrens (Aktenzeichen: VI ZR 297/24) stand die Frage, ob Beschäftigte als "Verantwortliche" im Sinne der DSGVO einzustufen sind. Nach Artikel 4 Absatz 7 gilt als Verantwortlicher, wer über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Mit diesem Status gehen umfassende Pflichten einher, darunter Transparenz, Sicherheit und die Wahrung der Rechte der betroffenen Personen.
Der BGH urteilte, dass Beschäftigte in der Regel im Auftrag ihres Arbeitgebers handeln, wie es Artikel 29 DSGVO vorsieht. Selbst bei Missbrauch von Zugriffsrechten auf personenbezogene Daten seien sie daher nicht automatisch als Verantwortliche anzusehen. Das Gericht betonte jedoch, dass Mitarbeiter, die eigenständig – etwa durch unrechtmäßige Datenabfragen – handeln, persönlich für ihr Fehlverhalten haften.
Die Entscheidung fällt in eine Phase, in der 2025 keine deutschen öffentlichen Stellen wegen vergleichbarer Verstöße mit Bußgeldern belegt wurden. Aus den vorliegenden Unterlagen geht hervor, dass es keine dokumentierten Fälle gab, in denen unrechtmäßiger Datenzugriff durch Mitarbeiter zu Sanktionen gegen die jeweiligen Organisationen führte.
Das Urteil unterstreicht, dass Arbeitgeber als Verantwortliche die primäre Pflicht zur Einhaltung der DSGVO tragen. Zwar werden Beschäftigte meist nicht als Verantwortliche eingestuft, doch bleiben sie bei vorsätzlichem Fehlverhalten nicht sanktionsfrei. Die Richter schaffen damit klarere Grenzen für die Haftung bei unrechtmäßigem Datenzugriff.
