BGH-Urteil entlastet Mitarbeiter im öffentlichen Dienst bei Datenschutzverstößen
Angelo Briemer
BGH-Urteil entlastet Mitarbeiter im öffentlichen Dienst bei Datenschutzverstößen
Ein aktuelles Urteil des Bundesgerichtshofs (BGH) hat geklärt, wer im öffentlichen Sektor die rechtliche Verantwortung für Datenschutzverstöße trägt. In der am 7. Oktober 2025 ergangenen Entscheidung heißt es, dass Beschäftigte in der Regel nicht als "Verantwortliche" im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten – selbst wenn sie missbräuchlich auf personenbezogene Daten zugreifen. Dies folgt auf mehrere Bußgelder gegen Mitarbeiter wegen unrechtmäßiger Datenbankabfragen.
Der BGH bestätigte in seinem Urteil (Aktenzeichen VI ZR 297/24), dass Beschäftigte üblicherweise im Auftrag ihres Arbeitgebers handeln und nicht als eigenständige Verantwortliche agieren. Nach der DSGVO ist der "Verantwortliche" diejenige Stelle, die rechtlich für die Datenverarbeitung verantwortlich ist und bei Verstößen haftet. Das Gericht bezog sich in seiner Entscheidung nicht auf eine bestimmte öffentliche Behörde.
Bereits in diesem Jahr hatte der Hamburger Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) sechs Mitarbeiter des öffentlichen Dienstes wegen unzulässigen Zugriffs auf private Daten von Bürgern mit Bußgeldern belegt. In diesen Fällen wurden Abfragen ohne berechtigten dienstlichen Anlass vorgenommen. Im März 2025 verhängte auch der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) eine Strafe gegen einen Polizisten, der ohne Rechtfertigung persönliche Daten einer Frau abgerufen hatte und dafür mit 3.500 Euro belegt wurde.
Mit dem BGH-Urteil verlagert sich die Haftung für Datenschutzverletzungen von den einzelnen Mitarbeitern zurück auf ihre Arbeitgeber. Zwar können Beschäftigte im öffentlichen Dienst weiterhin disziplinarische Maßnahmen oder Bußgelder erwarten, doch das Urteil stellt klar, dass sie nicht automatisch als Verantwortliche im Sinne der DSGVO eingestuft werden. Die Entscheidung reiht sich ein in eine Serie von Sanktionen wegen unbefugter Datenzugriffe bei deutschen Behörden.
