Bußgeld gegen Beschäftigte? Der Mitarbeiterexzess im Datenschutz

Während das Unternehmen als verantwortliche Stelle nach der Datenschutz-Grundverordnung (DSGVO) regelmäßig in der Pflicht steht, rückt in der Praxis auch die mögliche persönliche Haftung einzelner Mitarbeiter in den Fokus. Vor allem in Fällen, in denen Mitarbeiter eigenmächtig oder bewusst rechtswidrig handeln, stellt sich die Frage, ob und inwieweit sie selbst zur Verantwortung gezogen werden können. In diesem Zusammenhang spielt die Rechtsfigur des sogenannten Mitarbeiterexzesses eine zentrale Rolle.

Die DSGVO weist die Verantwortung für die Einhaltung datenschutzrechtlicher Vorgaben grundsätzlich dem Verantwortlichen zu. Verantwortlicher ist nach der Definition des Art. 4 Nr. 7 DSGVO diejenige Institution, die Zweck und Mittel der Datenverarbeitung vorgibt und daher entscheidet, welche personenbezogenen Daten auf welche Weise und wozu verarbeitet werden. Diese Rolle kommt in der Regel dem Unternehmen und damit dem Arbeitgeber zu, da er Anweisungen zur konkreten Nutzung personenbezogener Daten erteilt. Beschäftigte werden nach der Konstruktion der DSGVO im Regelfall als unselbstständige Teile des Verantwortlichen beziehungsweise als dem Verantwortlichen unterstellte Personen im Sinne des Art. 29 DSGVO angesehen. Diese Einstufung bestätigte zuletzt auch der BGH im Beschluss von 07.10.2025 (Az.: VI ZR 297/24).

Trotz dieser klaren Zuordnung zur verantwortlichen Stelle schließt die DSGVO eine persönliche Haftung einzelner Mitarbeiter nicht kategorisch aus.

Diese Möglichkeit spielt vor allem dort eine Rolle, wo Mitarbeitende zwar im Kontext der Berufstätigkeit, aber eigenmächtig und außerhalb organisatorischer Anweisungen agieren etwa durch die unerlaubte Einsichtnahme in Kundendaten zu privaten Zwecken oder deren Weitergabe an Dritte. Hier stellt sich die Frage, ob das Unternehmen diese Verhaltensweise noch gegen sich gelten lassen muss, oder ob eine persönliche Haftung des Mitarbeiters eingreift.

Besondere Bedeutung kommt der Figur des Mitarbeiterexzesses zu. Darunter versteht man ein Verhalten eines Mitarbeiters, das völlig außerhalb des ihm zugewiesenen Aufgabenbereichs liegt und rein für private Zwecke erfolgt.

In solchen Fällen wird der Beschäftigte selbst zum Verantwortlichen nach der DSGVO, da er gerade nicht mehr die durch seinen Arbeitgeber festgelegten Zwecke verfolgt, sondern selbst Zweck und Mittel der Datenverarbeitung definiert. Diese rechtliche Einordnung als Verantwortlicher nach Art. Nr. 7 DSGVO bringt es nun unter anderem mit sich, dass auch der Beschäftigte Adressat eines datenschutzrechtlichen Bußgeldes sein kann.

Für Unternehmen ergibt sich daraus die Notwendigkeit, Datenschutz nicht nur formal, sondern auch faktisch zu organisieren und zu kontrollieren. Eine präzise Aufgabenbeschreibung, Schulungen und regelmäßige Überprüfungen sind essenziell, um sich gegenüber möglichen Vorwürfen der unzureichenden Kontrolle abzusichern.

Gleichzeitig sollten Mitarbeiter für die Konsequenzen eines eigenmächtigen oder vorsätzlichen Verhaltens sensibilisiert werden. Zwar ist die Verhängung eines Bußgeldes direkt gegen einen Beschäftigten ein seltener Ausnahmefall, doch in Fällen grober Pflichtverletzung oder bewusst rechtswidrigen Handelns kann auch eine unmittelbare persönliche Inanspruchnahme drohen.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.