Haftung wegen Datenschutzverstößen vermeiden!

„Ist die Haftung bei Verstößen gegen den Datenschutz ausschließlich bei der Geschäftsführung angesiedelt?“

Gesellschaftsrechts- und Haftungsexperte Hans-Peter Heinemann von Dr. Hille Heinemann Rechtsanwälte antwortet: 

Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und das Bundesdatenschutzgesetz (BDSG) in Deutschland schützen die Rechte von natürlichen Personen hinsichtlich der Verarbeitung ihrer personenbezogenen Daten. Dabei entstehen Haftungsrisiken bei allen relevanten Handlungen, nämlich: Erhebung, Speicherung, Verarbeitung und Weitergabe von Daten, wobei Unternehmen eine Vielzahl von Pflichten auferlegt werden, um den Schutz dieser Daten sicherzustellen. Für Geschäftsführer und Vorstände von Unternehmen stellt sich regelmäßig die Frage, wann sie für Verstöße gegen das Datenschutzrecht persönlich haftbar gemacht werden können.

Haftung von Geschäftsführern und Vorständen

Im Allgemeinen haften Geschäftsführer und Vorstände für Verstöße gegen das Datenschutzrecht, wenn sie ihre Pflichten als Verantwortliche oder Aufsichtspersonen im Unternehmen grob fahrlässig oder vorsätzlich verletzen. Es gibt verschiedene Szenarien, in denen die persönliche Haftung von Führungskräften in Frage kommt:

• Verletzung der Aufsichtspflicht: Geschäftsführer und Vorstände haben die Pflicht, sicherzustellen, dass die Datenschutzvorgaben im Unternehmen eingehalten werden. Diese Pflicht beinhaltet sowohl die Einführung geeigneter Datenschutzmaßnahmen als auch die regelmäßige Kontrolle der Umsetzung. Wenn ein Unternehmen gegen die Datenschutzbestimmungen verstößt und der Geschäftsführer oder Vorstand nicht nachweisen kann, dass er alle zumutbaren Maßnahmen ergriffen hat, um den Verstoß zu verhindern, kann eine Haftung auf Grundlage der Verletzung der Aufsichtspflicht (u.a. § 130 OWiG) in Betracht gezogen werden.
• Verantwortlichkeit als „Verantwortlicher“ im Sinne der DSGVO: Die DSGVO definiert den „Verantwortlichen“ als die Person oder Organisation, die entscheidet, wie und warum personenbezogene Daten verarbeitet werden. Wenn der Geschäftsführer oder Vorstand in einer solchen Entscheidung involviert ist und die Datenschutzvorschriften nicht beachtet, kann er in seiner Funktion als Verantwortlicher haftbar gemacht werden. Auch hier ist die Unterscheidung zwischen Fahrlässigkeit und Vorsatz entscheidend.
• Fehlende Implementierung von Datenschutzmaßnahmen: Ein weiteres Haftungsrisiko besteht, wenn der Geschäftsführer oder Vorstand keine angemessenen technischen und organisatorischen Maßnahmen ergreift, um die Sicherheit personenbezogener Daten zu gewährleisten. Dies kann beispielsweise das Versäumnis umfassen, geeignete Verschlüsselungstechnologien zu implementieren oder Datenschutz-Schulungen für Mitarbeiter durchzuführen.
• Verletzung von Informationspflichten: Die DSGVO verpflichtet Unternehmen, betroffene Personen über die Verarbeitung ihrer Daten zu informieren und deren Einwilligung einzuholen, wenn dies erforderlich ist. Wenn der Geschäftsführer oder Vorstand hier versäumt, diese Vorgaben ordnungsgemäß umzusetzen, können sie ebenfalls persönlich haftbar gemacht werden.

Mögliche Strafen und Konsequenzen

Die Strafen für Verstöße gegen das Datenschutzrecht sind erheblich und können auch die Geschäftsführer und Vorstände persönlich betreffen. Insbesondere die DSGVO sieht hohe Bußgelder vor, die in zwei Kategorien unterteilt werden:

• Bußgelder bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist): Diese Strafen können verhängt werden, wenn die Vorschriften zur Einhaltung der Datenschutzprinzipien, der Rechte der betroffenen Personen oder der Sicherheitsanforderungen verletzt werden.
• Bußgelder bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist): Diese höheren Strafen gelten bei schwerwiegenderen Verstößen, wie der Nichteinhaltung der Grundsätze der Verarbeitung oder der unrechtmäßigen Verarbeitung personenbezogener Daten.

Darüber hinaus können auch strafrechtliche Konsequenzen drohen, wenn Verstöße gegen das Datenschutzrecht vorsätzlich begangen wurden. In Deutschland sieht das Strafgesetzbuch (StGB) in § 42 BDSG (Bundesdatenschutzgesetz) Strafen vor, die eine Freiheitsstrafe von bis zu drei Jahren oder eine Geldstrafe umfassen können, wenn vorsätzlich oder fahrlässig gegen Datenschutzbestimmungen verstoßen wird.

Zudem können Geschäftsführer und Vorstände zivilrechtlich von betroffenen Personen auf Schadensersatz verklagt werden, wenn diese durch einen Datenschutzverstoß geschädigt wurden. Dies kann zu weiteren finanziellen Belastungen für das Unternehmen und die betroffenen Führungskräfte führen.

Wie Geschäftsführer und Vorstände Haftung vermeiden können

Um der persönlichen Haftung für Datenschutzverstöße vorzubeugen, können Geschäftsführer und Vorstände verschiedene präventive Maßnahmen ergreifen:

• Ernennung eines Datenschutzbeauftragten: Ein Datenschutzbeauftragter (DSB) sollte in jedem Unternehmen benannt werden, das personenbezogene Daten verarbeitet. Der DSB hat die Aufgabe, das Unternehmen hinsichtlich der Einhaltung der Datenschutzvorschriften zu beraten und regelmäßig Schulungen durchzuführen. Die Bestellung eines kompetenten Datenschutzbeauftragten stellt sicher, dass alle rechtlichen Vorgaben beachtet werden.
• Datenschutzmanagementsysteme und regelmäßige Audits: Unternehmen sollten ein systematisches Datenschutzmanagement einführen, das regelmäßig überprüft wird. Dies umfasst die Dokumentation aller Datenverarbeitungsprozesse sowie die Implementierung technischer und organisatorischer Sicherheitsmaßnahmen, wie etwa Zugriffskontrollen, Verschlüsselung und regelmäßige Sicherheitsprüfungen.
• Schulung der Mitarbeiter: Alle Mitarbeiter, die mit personenbezogenen Daten in Berührung kommen, sollten regelmäßig in Bezug auf die DSGVO und die unternehmensinternen Datenschutzrichtlinien geschult werden. Eine hohe Sensibilisierung der Mitarbeiter für den Umgang mit personenbezogenen Daten kann dazu beitragen, Verstöße zu verhindern.
• Durchführung von Datenschutz-Folgenabschätzungen: In bestimmten Fällen, insbesondere bei der Verarbeitung sensibler Daten oder bei risikobehafteten Verarbeitungsvorgängen, ist eine Datenschutz-Folgenabschätzung erforderlich. Diese hilft dabei, potenzielle Risiken für die Rechte und Freiheiten betroffener Personen frühzeitig zu identifizieren und zu minimieren.
• Verträge mit Auftragsverarbeitern: Wenn ein Unternehmen externe Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, ist es wichtig, dass mit diesen Dienstleistern entsprechende Verträge abgeschlossen werden, die die Anforderungen der DSGVO widerspiegeln. Hierzu gehört die vertragliche Verpflichtung des Auftragsverarbeiters zur Einhaltung der Datenschutzbestimmungen und zur Implementierung geeigneter Sicherheitsmaßnahmen.

Sie haben Rückfragen zum Thema an B4B-Experte Hans-Peter Heinemann oder wünschen eine persönliche Beratung? Dann nehmen Sie jetzt direkt Kontakt auf.