In der Praxis wird die Verarbeitung personenbezogener Daten durch Unternehmen regelmäßig von Mitarbeitern durchgeführt. Art 29 DSGVO knüpft an die Weisungsgebundenheit von unterstellten Personen an, sodass eine Zurechnung der Verarbeitung personenbezogener Daten durch einen Mitarbeiter zum Arbeitgeber und insofern ein "Zurechnungsprivileg" nur für jene Mitarbeiter möglich sei, die ihrem verantwortlichen Arbeitgeber aufgrund einer fachlichen sowie persönlichen Weisung unterstellt werden können. Dasselbe gelte auch für Personen in arbeitnehmerähnlichen Dienstverhältnissen und leitende Angestellte, die nur im Falle einer Weisungsunterworfenheit als unterstellte Personen angesehen werden können. Im Falle einer Zurechnung ist der Mitarbeiter selbst nicht für die Datenverarbeitung verantwortlich, sondern der Verantwortliche, in dessen Interesse die Verarbeitung durchgeführt wurde. Auch eine gemeinsame Verantwortlichkeit von Arbeitgeber und Mitarbeiter sei denkbar, wenn ein weisungsfreier Mitarbeiter gemeinsam mit seinem Arbeitgeber die Entscheidung trifft, personenbezogene Daten zu verarbeiten. Gleiches gelte nach Ansicht der Autorinnen dann, wenn faktisch keine Weisung erteilt wird, der Arbeitgeber jedoch aus Eigeninteresse auf eine durch den Mitarbeiter initiierte Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt.
