Mit Beschluss vom 7. Oktober 2025 (Az. VI ZR 297/24) hat der Bundesgerichtshof (BGH) eine Nichtzulassungsbeschwerde zurückgewiesen, die eine zentrale datenschutzrechtliche Frage aufwarf: Können Arbeitnehmer datenschutzrechtlich eigenständige Verantwortliche nach Art. 4 Nr. 7 DSGVO sein? Die Antwort des Senats fällt klar aus – und sie folgt einer Linie, die sich bereits seit einigen Jahren durch die Rechtsprechung des EuGH zieht.
Worum ging es?
Die Klägerin hatte auf Schadensersatz wegen einer Datenschutzverletzung geklagt – konkret wohl wegen eines Verhaltens eines Mitarbeiters oder einer Mitarbeiterin eines Unternehmens. Zentraler Punkt: Die Klägerin wollte geltend machen, dass nicht (nur) das Unternehmen, sondern auch die einzelne Person als datenschutzrechtlich Verantwortliche im Sinne der DSGVO anzusehen sei. In der Beschwerde wurde u.a. argumentiert, dass diese Frage bislang nicht abschließend vom EuGH geklärt sei – und daher eine Vorlage an Luxemburg notwendig sei.
Was sagt der BGH dazu?
Der VI. Zivilsenat macht kurzen Prozess: Eine Revision sei nicht zuzulassen, da die Rechtsfrage weder grundsätzliche Bedeutung habe, noch eine Entscheidung zur Fortbildung des Rechts oder zur Sicherung der Einheitlichkeit der Rechtsprechung erforderlich sei.
Im Kern stellt der BGH klar:
Arbeitnehmer handeln im Rahmen ihrer Tätigkeit grundsätzlich nicht als datenschutzrechtlich Verantwortliche. Vielmehr sind sie ihrem Arbeitgeber – dem „Verantwortlichen“ im Sinne von Art. 4 Nr. 7 DSGVO – unterstellt. Diese Einordnung ergibt sich aus der gefestigten Rechtsprechung des Europäischen Gerichtshofs:
-
EuGH, Urt. v. 11.04.2024 – C-741/21 („juris GmbH“)
-
EuGH, Urt. v. 22.06.2023 – C-579/21 („Pankki S“)
Beide Entscheidungen betonen: Beschäftigte eines Unternehmens sind in der Regel keine eigenständigen Verantwortlichen, sondern interne Organe des datenschutzrechtlich verantwortlichen Unternehmens.
Der BGH kritisiert zudem, dass die Klägerin sich in ihrer Beschwerde nicht substantiiert mit dieser EuGH-Rechtsprechung auseinandergesetzt habe – was allein schon die behauptete Vorlagepflicht infrage stellt.
Was bedeutet das für die Praxis?
Für datenschutzrechtlich tätige Anwältinnen und Anwälte sowie für Unternehmen ist diese Entscheidung keine Überraschung – aber eine Bestätigung: Die Verantwortlichkeit im Sinne der DSGVO liegt regelmäßig beim Unternehmen, nicht bei einzelnen Beschäftigten.
Das hat erhebliche Konsequenzen:
-
Keine individuelle Haftung von Mitarbeitenden wegen Datenschutzverstößen im Rahmen ihrer Tätigkeit.
-
Schadensersatzansprüche nach Art. 82 DSGVO sind regelmäßig gegen das Unternehmen zu richten.
-
Compliance-Strukturen und Weisungsgebundenheit bleiben zentrale Kriterien für die datenschutzrechtliche Einordnung.
Eine abweichende Bewertung kann allenfalls dann erfolgen, wenn der Beschäftigte eigenständig, weisungsfrei und außerhalb seiner arbeitsvertraglichen Pflichten personenbezogene Daten verarbeitet – etwa bei einer vorsätzlichenDatenschutzverletzung aus eigenem Antrieb. Diese Fälle bleiben aber Ausnahmeerscheinungen.
Fazit
Der BGH hat mit diesem Beschluss keinen dogmatischen Neuland betreten, sondern die Linie des EuGH nachvollzogen und bestätigt. Für die Praxis bleibt es dabei: Wer Datenschutzverstöße einklagen will, muss sich genau überlegen, gegen wen sich der Anspruch richten soll – und gut begründen können, warum ein einzelner Mitarbeiter (ausnahmsweise) als Verantwortlicher haften soll.
Denn: Der rechtliche Rahmen ist enger als mancher Kläger denkt.