Haftung für Mitarbeiterfehler

EuGH: Unternehmen haften für Datenschutzfehler ihrer Mitarbeiter

Die Datenschutzstelle des Fürstentums Liechtenstein (DSS) hat in ihrem Rechtsprechungs-Update vom 15. September 2026 ein Urteil des Europäischen Gerichtshofs aus dem April 2024 erneut aufgegriffen. Es geht um eine Frage, die in der Praxis ständig auftaucht. Kann sich ein Unternehmen aus der Haftung ziehen, wenn ein einzelner Mitarbeiter den Datenschutzverstoß begangen hat? Die DSS hält das Urteil für weiterhin aktuell, weil es in ihrer Beratung und bei Beschwerden regelmäßig eine Rolle spielt. Ihre Ausführungen beschränken sich auf die datenschutzrechtliche Rollenverteilung.

Der Fall: Werbemails trotz Widerspruch

Eine betroffene Person hatte der Verarbeitung ihrer personenbezogenen Daten mehrfach und nachweisbar widersprochen. Das Recht dazu ergibt sich aus Art. 21 DS-GVO. Trotzdem bekam sie weiter Werbemails des Unternehmens. Sie verlangte deshalb Schadensersatz.

Das Unternehmen wehrte sich mit einem naheliegenden Argument. Der Fehler gehe auf einen bestimmten Mitarbeiter zurück und nicht auf das Unternehmen selbst. Deshalb hafte es nicht.

Die Entscheidung des EuGH

Der EuGH hat dieses Argument mit Urteil vom 11. April 2024 in der Rechtssache C-741/21 zurückgewiesen. Ein Verantwortlicher kann sich nicht einfach damit entlasten, dass eine ihm unterstellte Person im Sinne von Art. 29 DS-GVO den Fehler verursacht hat.

Das Gericht stützt sich auf den Wortlaut von Art. 82 Abs. 3 DS-GVO. Danach wird der Verantwortliche von der Haftung nach Art. 82 Abs. 2 DS-GVO nur befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, der den Schaden ausgelöst hat. Der EuGH sieht den Verantwortlichen selbst in der Pflicht. Er muss sich vergewissern, dass seine Beschäftigten seine Weisungen korrekt umsetzen. Fahrlässigkeit oder Fehlverhalten eines Mitarbeiters reicht als Entlastung deshalb nicht aus.

Was das Urteil für die Haftung bedeutet

Die DSS zieht daraus eine klare Folgerung. Für eine Haftungsbefreiung genügt es nicht, dass den Verantwortlichen kein Verschulden im klassischen deliktsrechtlichen Sinn trifft. Er muss nachweisen, dass der gesamte Vorgang, der den Schaden verursacht hat, außerhalb seines Verantwortungsbereichs liegt. Wenn sich Beschäftigte nicht an interne Regeln halten, entlastet das ein Unternehmen also nicht automatisch.

Neu ist dieser Gedanke nach Ansicht der DSS nicht. Im liechtensteinischen Vertragsrecht gilt die sogenannte Hilfspersonenhaftung seit dem 20. Januar 1926. Nach § 44 Abs. 1 SchlT PGR haftet der Verantwortliche grundsätzlich für seine Hilfspersonen. Im deutschen Recht folgt ein vergleichbarer Grundsatz für Vertragsverhältnisse aus § 278 BGB zur Haftung für Erfüllungsgehilfen.

Wann ein Mitarbeiter selbst zum Verantwortlichen wird

Eine Haftungsbefreiung wegen des Fehlverhaltens eines Beschäftigten kommt nur in eng begrenzten Ausnahmefällen in Betracht. Die DSS nennt als Beispiel einen Mitarbeiter, der völlig außerhalb seiner Aufgaben handelt und dabei klare, angemessene und wirksam umgesetzte technische und organisatorische Vorgaben missachtet.

Handelt ein Beschäftigter über seinen zulässigen Auftrag hinaus und nur für eigene private Zwecke oder für die Zwecke eines Dritten, wird er selbst zum eigenständigen Verantwortlichen im Sinne von Art. 4 Nr. 7 DS-GVO. Die DSS verweist dazu auf die Leitlinien 04/2022 des Europäischen Datenschutzausschusses zur Berechnung von Geldbußen und auf die Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter. Ein typischer Fall ist ein Angestellter, der personenbezogene Daten aus seinem Aufgabenbereich nutzt, um ein eigenes Unternehmen zu gründen.

Ein zweites Beispiel stammt aus Österreich. Die österreichische Datenschutzbehörde entschied am 27. Januar 2026 über eine Mitarbeiterin, die die Telefonnummer eines Kunden als persönlichen Gefallen an eine dritte Person weitergegeben hatte. Sie verstieß damit gegen die Regeln ihres Unternehmens. Die Behörde stufte sie als eigene Verantwortliche ein. Sie haftet damit selbst auf Schadensersatz und kann mit einer Geldbuße belegt werden. Nach Angaben der DSS hat das österreichische Bundesverwaltungsgericht diese Entscheidung inzwischen rechtskräftig bestätigt.

Die Beispiele zeigen, wie schwer das Fehlverhalten wiegen muss, damit das Unternehmen entlastet ist. Beim Werbemail-Versand trotz Widerspruch bleibt das Unternehmen in der Haftung. Nutzt ein Angestellter Daten dagegen für eine eigene Firmengründung oder einen privaten Gefallen, liegt der Vorgang völlig außerhalb des Verantwortungsbereichs des Unternehmens. Der Angestellte überschreitet seine Befugnisse und wird dadurch selbst zum Verantwortlichen.

Eine Pflicht bleibt in jedem Fall beim Unternehmen. Es muss nach Art. 24 Abs. 1 DS-GVO geeignete technische und organisatorische Maßnahmen treffen, damit die DSGVO eingehalten wird. Dazu gehören nach Ansicht der DSS etwa Schulungen und Informationen für die Beschäftigten.

Unsere Empfehlungen

Unternehmen und KMU

Der Fall aus dem Urteil ist ein klassischer Prozessfehler. Ein Widerspruch wird erfasst, aber nicht zuverlässig umgesetzt. Solche Fehler lassen sich technisch vermeiden.

• Widersprüche gegen Werbung automatisch in einer zentralen Sperrliste erfassen, die alle Newsletter- und CRM-Systeme abgleichen.
• Interne Datenschutzregeln schriftlich festhalten und Schulungen mit Datum und Teilnehmern dokumentieren.
• Stichproben einplanen, ob Weisungen im Alltag umgesetzt werden. Der EuGH verlangt, dass sich das Unternehmen davon vergewissert.
• Zugriffsrechte nach dem Need-to-know-Prinzip vergeben und beim Austritt von Beschäftigten sofort entziehen.

Behörden und öffentliche Stellen

Auch öffentliche Stellen haften nach Art. 82 DS-GVO. Kritisch sind vor allem Abfragen in Registern und Fachverfahren ohne dienstlichen Anlass. Dienstanweisungen sollten klar regeln, welche Abfragen erlaubt sind. Zugriffe sollten protokolliert und die Protokolle regelmäßig ausgewertet werden. Wer nachweisen will, dass ein Beschäftigter eigenmächtig gehandelt hat, braucht genau diese Unterlagen.

Gesundheitseinrichtungen

Neugierzugriffe auf Patientenakten sind ein typisches Risiko. Gesundheitsdaten gehören zu den besonderen Kategorien nach Art. 9 DS-GVO. Ein Schaden wiegt hier schnell schwer. Kliniken und Praxen sollten rollenbasierte Zugriffsrechte einrichten, Zugriffe protokollieren und das Personal regelmäßig schulen. Ein dokumentiertes Verbot allein reicht nicht, wenn niemand kontrolliert, ob es eingehalten wird.

Kanzleien und Freiberufler

Der Fall eines Mitarbeiters, der mit Kundendaten ein eigenes Unternehmen gründet, ist für Kanzleien und Beratungsbüros nah an der Praxis. Arbeitsverträge und Verpflichtungserklärungen sollten die Nutzung von Mandantendaten klar regeln. Beim Ausscheiden von Beschäftigten gehören Zugriffssperre und Rückgabe aller Unterlagen zum Standard. Für Berufsgeheimnisträger kommt die Strafbarkeit nach § 203 StGB hinzu. Auch mitwirkende Personen müssen zur Verschwiegenheit verpflichtet werden.

Quelle: Datenschutzstelle Fürstentum Liechtenstein (DSS), Relevante Rechtsprechung Update #5 vom 15. September 2026, EuGH, Urteil vom 11. April 2024, Rs. C-741/21

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
• Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
• Nachweis der Datenlöschung – So dokumentieren Sie korrekt
• Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
• Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
• Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft

Dieser Absatz enthält Affiliatelinks/Werbelinks