Beratung buchen
Wissensbereich

Haftungsfragen: Wer zahlt bei Datenschutzverstößen – das Unternehmen oder das Management?

Datenschutzverstöße können für Unternehmen erhebliche finanzielle und reputative Folgen haben. Doch wer haftet eigentlich für Datenschutzverstöße – das Unternehmen oder die Geschäftsleitung persönlich? Diese Frage ist für Geschäftsführer und Führungskräfte von besonderer Bedeutung, da Datenschutz nicht nur eine organisatorische, sondern auch eine haftungsrechtliche Komponente hat. In diesem Beitrag klären wir, wer in welchen Fällen zur Verantwortung gezogen werden kann und wie sich Unternehmen sowie das Management absichern können.

Haftung des Unternehmens bei Datenschutzverstößen

Grundsätzlich haftet das Unternehmen als juristische Person für Verstöße gegen die Datenschutzgrundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG). Die Datenschutzbehörden können gegen das Unternehmen Bußgelder verhängen, wenn Datenschutzvorgaben nicht eingehalten werden. Diese Bußgelder können beträchtlich sein – bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes sind möglich.
Wann haftet das Unternehmen?
  • Fehlende oder unzureichende technische und organisatorische Maßnahmen (TOMs): Wenn beispielsweise keine ausreichende Verschlüsselung oder Zugriffskontrollen vorhanden sind.
  • Verstöße gegen Betroffenenrechte: Wenn Kunden oder Mitarbeitende ihr Recht auf Auskunft, Löschung oder Berichtigung nicht durchsetzen können.
  • Mangelhafte Dokumentation: Fehlendes Verzeichnis von Verarbeitungstätigkeiten oder nicht durchgeführte Datenschutz-Folgenabschätzungen (DSFA).
  • Datenpannen und Meldepflichtverletzungen: Wenn eine Verletzung des Schutzes personenbezogener Daten nicht rechtzeitig gemeldet wird.
Mehr über organisatorische Maßnahmen erfährst Du in unserem Beitrag: Die Geschäftsleitung als Verantwortlicher – Was bedeutet das konkret?.

Persönliche Haftung der Geschäftsleitung

Auch wenn das Unternehmen grundsätzlich für Datenschutzverstöße haftet, kann die Geschäftsführung unter bestimmten Umständen persönlich zur Verantwortung gezogen werden. Dies ist besonders dann der Fall, wenn nachweislich vorsätzlich oder grob fahrlässig gegen Datenschutzvorgaben verstoßen wurde.
Wann haftet die Geschäftsleitung persönlich?
  • Verletzung von Aufsichtspflichten: Wenn Geschäftsführer keine ausreichenden Maßnahmen zur Einhaltung des Datenschutzes ergreifen.
  • Bewusste Duldung von Datenschutzverstößen: Wenn Datenschutzvergehen im Unternehmen bekannt sind, aber keine Abhilfemaßnahmen erfolgen.
  • Fehlende Sensibilisierung und Schulung: Wenn die Geschäftsführung es versäumt, Mitarbeitende im Datenschutz zu schulen.
  • Unzureichende Ressourcenbereitstellung: Wenn trotz interner Hinweise auf Datenschutzmängel keine finanziellen oder personellen Mittel bereitgestellt werden.
Lies auch: Warum Datenschutz ein Chefthema ist.

Beispiele aus der Praxis

Fallbeispiel 1: Fehlende technische Sicherheitsmaßnahmen
Ein mittelständisches Unternehmen speichert Kundendaten unverschlüsselt in einer Cloud. Nach einem Cyberangriff werden sensible Daten gestohlen. Die Datenschutzbehörde verhängt ein hohes Bußgeld gegen das Unternehmen. Da der Geschäftsführer trotz vorheriger Warnungen keine IT-Sicherheitsmaßnahmen eingeführt hat, kann er persönlich in Regress genommen werden.
Fallbeispiel 2: Missachtung der Betroffenenrechte
Ein Kunde verlangt die Löschung seiner Daten. Die Anfrage wird über Monate ignoriert. Die Aufsichtsbehörde verhängt ein Bußgeld gegen das Unternehmen, und der Datenschutzbeauftragte macht die Geschäftsleitung auf ihre Verantwortung aufmerksam. Weil die Geschäftsführung jedoch nicht handelt, droht eine persönliche Haftung.

Schutzmaßnahmen für Unternehmen und Geschäftsleitung

  • Implementierung eines Datenschutz-Managementsystems: Regelmäßige Überprüfungen und Dokumentation der Datenschutzprozesse.
  • Ernennung eines Datenschutzbeauftragten: Intern oder extern, um die Einhaltung des Datenschutzes sicherzustellen.
  • Regelmäßige Schulungen für Führungskräfte und Mitarbeitende: Sensibilisierung für Datenschutzrisiken.
  • Risikobasierte Budgetplanung: Bereitstellung angemessener finanzieller Mittel für Datenschutzmaßnahmen.
  • Externe Datenschutz-Audits: Um Schwachstellen frühzeitig zu erkennen und zu beheben.
Weitere Tipps findest Du in unserem Beitrag: Datenschutz als Teil der Corporate Governance.

FAQ – Häufig gestellte Fragen

  1. Wer zahlt das Bußgeld bei einem Datenschutzverstoß? Das Unternehmen zahlt in der Regel das Bußgeld. Die Geschäftsführung kann jedoch persönlich haftbar sein, wenn sie grob fahrlässig oder vorsätzlich gehandelt hat.
  2. Was passiert, wenn ein Datenschutzverstoß von einem Mitarbeitenden begangen wird? Das Unternehmen ist grundsätzlich verantwortlich. Falls der Mitarbeitende jedoch vorsätzlich oder grob fahrlässig gehandelt hat, kann er in Einzelfällen haftbar gemacht werden.
  3. Welche Rolle spielt der Datenschutzbeauftragte in Haftungsfragen? Der Datenschutzbeauftragte berät und überwacht, trägt aber keine Verantwortung für Datenschutzverstöße – diese bleibt bei der Geschäftsleitung.
  4. Wie kann sich die Geschäftsführung vor persönlicher Haftung schützen? Durch proaktive Maßnahmen wie die Umsetzung eines Datenschutzkonzeptes, klare Zuständigkeiten und regelmäßige Schulungen.

Fazit

Datenschutzverstöße sind nicht nur ein finanzielles Risiko für Unternehmen, sondern können auch zur persönlichen Haftung der Geschäftsleitung führen. Wer Datenschutz als strategisches Thema behandelt und entsprechende Maßnahmen umsetzt, minimiert sowohl unternehmerische als auch persönliche Risiken.
Erfahre mehr über Datenschutzrisiken und Haftungsfragen in unserem Beitrag: Haftungsfragen: Wer zahlt bei Datenschutzverstößen?.
Bleibe auf dem Laufenden
Melde Dich für unseren Datenschutz-Newsletter an und erhalte regelmäßig aktuelle Informationen und Best Practices zur datenschutzkonformen Unternehmensführung.
Datenschutz-Newsletter
Bleib informiert!
Weiterführende Beiträge:
Dein Datenschutzpartner
Angebote
Kontakt
DeinDatenschutzpartner.de
ist ein Projekt der Lucky Rebels Projekt GmbH Gustav-Adolf-Straße 41, 04105 Leipzig
Web: https://www.deindatenschutzpartner.de
Mail: kontakt@deindatenschutzpartner.de
Telefon: +49 341 12 59 61 64
© 2025 DeinDatenschutzpartner.de ist ein Projekt der Lucky Rebels Projekt GmbH. Alle Rechte vorbehalten.