Ein Datenschutzverstoß kann für die Geschäftsleitung zur Organhaftung führen, wenn sie das Unternehmen nicht so organisiert hat, dass personenbezogene Daten nach der DSGVO geschützt sind. Bußgelder und Schadenersatz richten sich zunächst gegen das Unternehmen, der Schaden kann aber beim Geschäftsführer landen.
Die DSGVO verpflichtet den Verantwortlichen, also in der Regel das Unternehmen, personenbezogene Daten rechtmäßig zu verarbeiten und angemessen zu schützen. Verstöße können teuer werden. Die Aufsichtsbehörden können Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Betroffene können Schadenersatz verlangen, auch für immaterielle Schäden (Art. 82 DSGVO).
Für die Geschäftsleitung ergeben sich drei Haftungsrisiken:
Hinzu kommen Kosten eines behördlichen Verfahrens vor der Datenschutzaufsicht. Manche Bedingungswerke übernehmen solche Kosten über einen Baustein, der oft Datenrechtsschutz heißt. Planungsbüros verarbeiten personenbezogene Daten etwa von Bauherren, Mietern und Mitarbeitern. Ein häufiger Auslöser ist ein Cyberangriff mit Datenabfluss.
Für die D&O gilt: Der Innenanspruch kann versichert sein. Manche Bedingungswerke enthalten aber einen Cyber-Ausschluss. Das Bußgeld selbst ist nicht versichert, und nach den GDV-Musterbedingungen auch nicht der Regress. Schadenersatz an Betroffene und Kosten nach einem Datenschutzvorfall trägt in erster Linie die Cyberversicherung des Unternehmens.
Abgrenzung:
Synonyme: DSGVO-Verstoß, Datenschutzhaftung der Geschäftsleitung.
Legen Sie fest, wer im Büro für den Datenschutz zuständig ist, und prüfen Sie, ob Sie einen Datenschutzbeauftragten benennen müssen. Sorgen Sie für ein Verzeichnis der Verarbeitungstätigkeiten, für technische Schutzmaßnahmen und für Schulungen. Halten Sie einen Ablauf für Datenschutzvorfälle bereit, denn Meldungen an die Aufsicht müssen unverzüglich erfolgen, möglichst binnen 72 Stunden, nachdem Ihnen der Vorfall bekannt wurde. Ob Ihre Cyberversicherung und Ihre D&O zusammen alle Folgen abdecken, sollten Sie gemeinsam prüfen lassen.
Ein Architekturbüro speichert Mieterdaten aus einem Sanierungsprojekt ungeschützt auf einem Server, der aus dem Internet erreichbar ist. Unbekannte greifen die Daten ab. Die Aufsichtsbehörde verhängt ein Bußgeld von 50.000 Euro, und mehrere Mieter verlangen Schadenersatz. Die GmbH verlangt von ihrem Geschäftsführer Ersatz der Kosten.
Haftungsseite: Der Geschäftsführer kann nach § 43 Abs. 2 GmbHG haften, wenn er keine angemessene Datenschutzorganisation eingerichtet hat. Die Gesellschafter müssen die Geltendmachung beschließen. Ob er auch das Bußgeld ersetzen muss, ist umstritten.
Deckungsseite: Besteht eine Cyberversicherung, kann sie Schadenersatz an die Mieter und Kosten der Aufarbeitung tragen. Soweit sie zahlt, kann sie beim Geschäftsführer Rückgriff nehmen, wenn sie darauf nicht verzichtet hat. Für den Anspruch gegen den Geschäftsführer kommt die D&O in Betracht, sofern kein Cyber-Ausschluss greift. Das Bußgeld und sein Regress sind nach den GDV-Musterbedingungen nicht versichert.
Gegenüber der Gesellschaft, wenn er keine angemessene Datenschutzorganisation eingerichtet hat. Gegenüber Betroffenen haftet in erster Linie das Unternehmen.
Gegen das Unternehmen als Verantwortlichen. Die Behörde muss nicht nachweisen, welche Leitungsperson gehandelt hat, wohl aber einen schuldhaften Verstoß.
Das ist umstritten. Nach den GDV-Musterbedingungen wäre ein solcher Regress jedenfalls nicht versichert.
Für das Unternehmen in erster Linie die Cyberversicherung. Für Ansprüche gegen die Geschäftsleitung die D&O, sofern kein Ausschluss greift.
Den Vorfall prüfen und unverzüglich, möglichst binnen 72 Stunden, der Aufsicht melden. Betroffene sind bei hohem Risiko zu benachrichtigen.