如果公司在数据保护方面出现失误，谁应当承担法律责任？——是员工个人还是公司整体？德国联邦最高法院（BGH）在2025年10月7日作出了一项重要判决（案号：VI ZR 297/24），为相关问题提供了明确指引。该裁决强化了企业责任，并重新界定了员工在数据保护法中的角色。
相关责任的法律依据
《通用数据保护条例》第4条第7项规定了数据处理的“控制者”。控制者是单独或与他人共同决定数据处理目的和手段的个人或机构。控制者承担全部法律责任，对违规行为负责，并且是主张罚款和赔偿责任的主要对象。实务中，在何种情况下犯错的员工会成为控制者。
德国联邦最高法院判决详情
德国联邦最高法院现已明确指出，员工通常不能被视为《通用数据保护条例》中所定义的“控制者”。法官的裁决遵循了法学界的主流观点以及欧洲法院（EuGH）的判例。
联邦最高法院的判决理由如下：
- 根据《通用数据保护条例》第29条，员工是属于控制者（即雇主）管辖下的“受指示人员”。
- 员工行为基于雇主的指示和监督。
- 员工并不自行决定数据处理的基本目的和手段（即“为什么”和“怎么样”），而只是执行被分配的任务。
因此，雇主始终是唯一的控制者，必须确保公司遵守《通用数据保护条例》。
该判决对企业意味着什么：
这一明确表态对企业的数据保护管理有着重要的实际意义。
- 数据保护责任明确归于公司管理层。
德国联邦最高法院明确指出，数据保护合规是管理层的职责。即使具体操作错误是由员工造成的，管理层也不能将责任推给个别员工。
- 指令和培训的重要性不断提升
若企业需要承担全部责任，则有义务保证员工处理数据的合规性。明确的工作指示、易于理解的数据保护政策以及定期培训不再是可选项，而是履行责任的必要条件。
- 员工并未被免除责任
该判决并非允许员工疏忽行事的“通行证”。虽然员工对主管机关或外部原告不以《通用数据保护条例》控制者身份承担责任，但在内部关系上，他们仍需向雇主负责。在重大过失或故意的情况下，公司可依据劳动法对员工追究赔偿责任。
- 重点在于组织，而非个人
该判决迫使企业将关注点从寻找个别“控制者”转向建立健全的数据保护管理体系。有效的技术和组织措施（TOMs）是预防违规的最佳保障。
关于员工数据保护责任的问答
- 员工是否始终无需对《通用数据保护条例》违规行为承担个人责任？
通常情况下，员工无需因此向外部第三方或监管机构承担罚款责任。但在与雇主的内部关系中，如果员工存在过错行为，则需对由此产生的损失（例如公司支付的罚款）承担赔偿责任。
- 如果员工故意窃取或滥用数据，应如何处置？
此时，员工行为超出了其职权范围，可能构成犯罪，并需对其行为承担完全的个人责任。不再适用对受指示约束的雇员的保护。
- 居家办公时，谁对数据负责？
即使在居家办公，企业仍是数据保护法上的控制者。但企业必须通过明确的规定和技术要求（例如信息安全措施）确保员工能够履行义务。
- 作为企业，应当如何更好地履行其责任？
企业建立稳健的数据保护管理体系、任命数据保护专员、定期对员工进行培训以及制定明确的内部规定。
- 如何获取专业支持以确定数据保护角色？
明确的组织结构是降低责任风险的关键。sofortdatenschutz.de的专家可以帮助您根据数据保护规定优化企业结构。欢迎联系我们。
关于企业责任的明确判决
德国联邦最高法院的判决为企业数据保护的核心问题带来了期待已久的明确指引。它终结了关于员工可能承担责任的争论，将企业管理层的全部责任置于焦点。对于企业而言，信息十分明确：数据保护是管理层的职责，只有通过完善的组织架构、明确的规章制度以及经过培训的员工，才能切实将数据保护落到实处。
