Datenschutzverstoß (Organhaftung)

Definition

Ein Datenschutzverstoß kann für die Geschäftsleitung zur Organhaftung führen, wenn sie das Unternehmen nicht so organisiert hat, dass personenbezogene Daten nach der DSGVO geschützt sind. Bußgelder und Schadenersatz richten sich zunächst gegen das Unternehmen, der Schaden kann aber beim Geschäftsführer landen.

Erklärung / Hintergrund

Die DSGVO verpflichtet den Verantwortlichen, also in der Regel das Unternehmen, personenbezogene Daten rechtmäßig zu verarbeiten und angemessen zu schützen. Verstöße können teuer werden. Die Aufsichtsbehörden können Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Betroffene können Schadenersatz verlangen, auch für immaterielle Schäden (Art. 82 DSGVO).

Für die Geschäftsleitung ergeben sich drei Haftungsrisiken:

• Innenhaftung: Die Datenschutzorganisation, oft Datenschutz-Compliance genannt, gehört zu den Leitungsaufgaben. Fehlen Zuständigkeiten, Verzeichnisse, technische Schutzmaßnahmen oder Schulungen, kann die Gesellschaft ihren Schaden nach § 43 Abs. 2 GmbHG vom Geschäftsführer verlangen. Dazu gehören etwa Kosten der Aufarbeitung und Schadenersatz an Betroffene.
• Bußgeld: DSGVO-Bußgelder richten sich gegen das Unternehmen. Nach der Rechtsprechung des Europäischen Gerichtshofs muss dafür nicht nachgewiesen werden, welche Leitungsperson gehandelt hat. Erforderlich ist aber ein vorsätzlicher oder fahrlässiger Verstoß. Ob die Gesellschaft das Bußgeld beim Geschäftsführer zurückholen kann, ist umstritten (Bußgeldregress).
• Außenhaftung: Eine persönliche Haftung des Geschäftsführers gegenüber Betroffenen ist nur in Ausnahmefällen denkbar. In erster Linie haftet das Unternehmen.

Hinzu kommen Kosten eines behördlichen Verfahrens vor der Datenschutzaufsicht. Manche Bedingungswerke übernehmen solche Kosten über einen Baustein, der oft Datenrechtsschutz heißt. Planungsbüros verarbeiten personenbezogene Daten etwa von Bauherren, Mietern und Mitarbeitern. Ein häufiger Auslöser ist ein Cyberangriff mit Datenabfluss.

Für die D&O gilt: Der Innenanspruch kann versichert sein. Manche Bedingungswerke enthalten aber einen Cyber-Ausschluss. Das Bußgeld selbst ist nicht versichert, und nach den GDV-Musterbedingungen auch nicht der Regress. Schadenersatz an Betroffene und Kosten nach einem Datenschutzvorfall trägt in erster Linie die Cyberversicherung des Unternehmens.

Abgrenzung:

• Datenschutzverstoß vs. NIS2-Managerhaftung: Die DSGVO schützt personenbezogene Daten. NIS2 betrifft die Cybersicherheit bestimmter Unternehmen und sieht eine eigene Verantwortung der Geschäftsleitung vor.
• D&O vs. Cyberversicherung: Die Cyberversicherung schützt das Unternehmen bei Datenschutzvorfällen. Die D&O schützt die Geschäftsleitung, wenn ihr Versäumnisse bei den Pflichten nach der DSGVO vorgeworfen werden (Datenschutz-Grundverordnung (DSGVO)).

Synonyme: DSGVO-Verstoß, Datenschutzhaftung der Geschäftsleitung.

Praxisrelevanz

Legen Sie fest, wer im Büro für den Datenschutz zuständig ist, und prüfen Sie, ob Sie einen Datenschutzbeauftragten benennen müssen. Sorgen Sie für ein Verzeichnis der Verarbeitungstätigkeiten, für technische Schutzmaßnahmen und für Schulungen. Halten Sie einen Ablauf für Datenschutzvorfälle bereit, denn Meldungen an die Aufsicht müssen unverzüglich erfolgen, möglichst binnen 72 Stunden, nachdem Ihnen der Vorfall bekannt wurde. Ob Ihre Cyberversicherung und Ihre D&O zusammen alle Folgen abdecken, sollten Sie gemeinsam prüfen lassen.

Praxisbeispiel

Ein Architekturbüro speichert Mieterdaten aus einem Sanierungsprojekt ungeschützt auf einem Server, der aus dem Internet erreichbar ist. Unbekannte greifen die Daten ab. Die Aufsichtsbehörde verhängt ein Bußgeld von 50.000 Euro, und mehrere Mieter verlangen Schadenersatz. Die GmbH verlangt von ihrem Geschäftsführer Ersatz der Kosten.

Haftungsseite: Der Geschäftsführer kann nach § 43 Abs. 2 GmbHG haften, wenn er keine angemessene Datenschutzorganisation eingerichtet hat. Die Gesellschafter müssen die Geltendmachung beschließen. Ob er auch das Bußgeld ersetzen muss, ist umstritten.

Deckungsseite: Besteht eine Cyberversicherung, kann sie Schadenersatz an die Mieter und Kosten der Aufarbeitung tragen. Soweit sie zahlt, kann sie beim Geschäftsführer Rückgriff nehmen, wenn sie darauf nicht verzichtet hat. Für den Anspruch gegen den Geschäftsführer kommt die D&O in Betracht, sofern kein Cyber-Ausschluss greift. Das Bußgeld und sein Regress sind nach den GDV-Musterbedingungen nicht versichert.

FAQ

Haftet der Geschäftsführer für Datenschutzverstöße?

Gegenüber der Gesellschaft, wenn er keine angemessene Datenschutzorganisation eingerichtet hat. Gegenüber Betroffenen haftet in erster Linie das Unternehmen.

Gegen wen richtet sich ein DSGVO-Bußgeld?

Gegen das Unternehmen als Verantwortlichen. Die Behörde muss nicht nachweisen, welche Leitungsperson gehandelt hat, wohl aber einen schuldhaften Verstoß.

Kann die Gesellschaft ein DSGVO-Bußgeld vom Geschäftsführer zurückverlangen?

Das ist umstritten. Nach den GDV-Musterbedingungen wäre ein solcher Regress jedenfalls nicht versichert.

Welche Versicherung zahlt bei einem Datenschutzvorfall?

Für das Unternehmen in erster Linie die Cyberversicherung. Für Ansprüche gegen die Geschäftsleitung die D&O, sofern kein Ausschluss greift.

Was muss ich nach einem Datenschutzvorfall tun?

Den Vorfall prüfen und unverzüglich, möglichst binnen 72 Stunden, der Aufsicht melden. Betroffene sind bei hohem Risiko zu benachrichtigen.

Verwandte Begriffe

• NIS2-Managerhaftung – die Pflichten zur Cybersicherheit.
• Cyberrisiken in der D&O-Versicherung – wie D&O und Cyberversicherung zusammenspielen.
• Compliance-Management-System – wie sich Datenschutz organisieren lässt.
• Bußgeldausschluss – warum Bußgelder nicht versichert sind.
• Organisationsverschulden – der typische Vorwurf.