Verstöße gegen den Datenschutz führen schnell zur Frage nach der Haftung. Verantwortlich ist zunächst das Unternehmen, doch Management und Beschäftigte bleiben nicht außen vor. Der Beitrag ordnet die Haftung nach der DSGVO ein und zeigt, welche dokumentierten Maßnahmen eine Exkulpation ermöglichen und wo die Grenzen verlaufen.
Wer trägt nach der DSGVO die datenschutzrechtliche Verantwortung?
Datenschutzrechtlich verantwortlich ist grundsätzlich der Verantwortliche gem. Art. 4 Nr. 7 DSGVO, also das Unternehmen im Sinne des funktionalen Unternehmensbegriffs der DSGVO. Maßgeblich ist damit die wirtschaftliche Einheit aller Abteilungen und nicht allein der gesellschaftsrechtliche Unternehmensbegriff.
Alle Entscheidungen und Handlungen mit datenschutzrechtlicher Relevanz werden deshalb dem Gesamtunternehmen zugerechnet, soweit der Mutterkonzern den bestimmenden Einfluss ausübt (s. EG 150). Auch im Bußgeldverfahren gemäß Art. 83 DSGVO zeigt sich dieser Ansatz.
Wann werden Handlungen Einzelner dem Unternehmen zugerechnet?
Auch eine Einzelperson gilt als Unternehmensteil im Sinne des funktionalen Unternehmensbegriffs, der dem Kartellrecht entlehnt ist. Auf die vertragliche Zuordnung zum Unternehmen kommt es dabei nicht an, sodass Vorstand, Geschäftsführer, Leiharbeitnehmer und weitere Personen erfasst sind. Entscheidend ist allein, dass die Person für das Unternehmen tätig ist und die Unternehmensführung bestimmenden Einfluss auf ihre Handlungen hat – diese Handlungen werden dem Unternehmen als Verantwortlichem zugerechnet.
Möglicherweise verfolgt die Einzelperson mit ihrer Handlung eigene subjektive Interessen, darauf kommt es jedoch nicht an. Entscheidend ist die Zweckbestimmung des Handelns, die sich aus der Unternehmensvorgabe ergibt und mit den im Unternehmen zugewiesenen Aufgaben verknüpft ist. Art. 82 DSGVO begründet eine umfassende Haftung und Schadensersatzpflicht des Verantwortlichen für den materiellen und/oder immateriellen Schaden, der durch eine nicht datenschutzkonforme Verarbeitung personenbezogener Daten entstanden ist.
Die Haftung entfällt nur, wenn das Unternehmen nachweisen kann, dass es für die datenschutzwidrige Verarbeitung und den damit einhergehenden Schaden nicht verantwortlich ist. Dabei bleibt es nicht bei der Schadensersatzpflicht aus Art. 82 DSGVO, denn das Unternehmen muss auch für eine unter Umständen verhängte Geldbuße aus Art. 83 DSGVO einstehen.
Wofür haftet das Management im Datenschutz?
Die Haftung der Mitarbeiter und des Managements ist für betrieblich veranlasste Tätigkeiten grundsätzlich eingeschränkt, weil diese Tätigkeiten dem Unternehmen zugerechnet werden. Ausgeschlossen ist sie damit aber nicht. Gerade beim Management ist der Zugriff des Unternehmens auf die D&O-Versicherung interessant, denn über sie besteht die Möglichkeit, wenigstens eine ausreichende Schadensdeckung zu erreichen.
Gem. §§ 93 Abs. 1 S. 1 AktG, 43 Abs. 1 GmbHG hat das Management bei der Geschäftsführung
„die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsmannes/Geschäftsleiters anzuwenden“.
Bei der Aufgabenerfüllung müssen die Unternehmensorgane die gesetzlichen Pflichten beachten. Dabei kann es sich um persönliche Pflichten des Managers handeln, aber auch um Rechtspflichten des Unternehmens, die sich aus Gesetzen, Satzungen oder sonstigen internen Regelungen ergeben. Dies können Spezialregelungen sein, wie beispielsweise:
Welche Organisationspflichten begründen die Haftung des Managements?
Verstößt das Management infolge eines Organisationsverschuldens gegen derartige unternehmensbezogene Vorgaben, liegt eine Pflichtverletzung vor, die eine Schadensersatzpflicht begründet. Denn die Unternehmensorgane müssen eine Organisation schaffen und aufrechterhalten, die den Fortbestand des Unternehmens sicherstellt, Gefährdungen rechtzeitig erkennt und gegensteuert. Das ergibt sich aus §§ 91 Abs. 2 AktG oder 43 GmbHG.
Für das einzelne Mitglied des Managements bedeutet das: Wer die eigene Haftung vermeiden will, muss eine Organisation Prozessen schaffe, die Gefährdungen vermeiden und und diese regelmäßig dokumentieren, überprüfen bzw. anpassen. Eine anlassbezogene Kontrolle genügt dafür nicht. Erforderlich ist die regelmäßige vorausschauende Überwachung, die auch die Rechtsentwicklung im Blick hat.
Die Gefahr einer Inanspruchnahme des Managements ist sogar hoch, denn das Unternehmen ist gem. §§ 93 Abs. 2 AktG, 43 Abs. 2 GmbHG gesetzlich verpflichtet, Schadensersatzansprüche zu realisieren. Während das Unternehmen dabei nur darlegen muss, dass der Schaden möglicherweise durch ein pflichtwidriges Agieren des Managements eingetreten ist, muss das Management beweisbar darlegen, dass keine Pflichtverletzung und kein Verschulden vorliegen. Es muss also nachweisen, dass der Schaden auch bei einem eingerichteten Compliance-System mit entsprechender Überwachung eingetreten wäre.
Welche Pflichten hat das Management als Kollegialorgan?
Das Management agiert als Kollegialorgan. Es kann einem Vorstandsorgan oder Geschäftsführer zwar explizit ein Ressort übertragen, die übrigen Managementmitglieder sind damit aber nicht von der Kontrolle und Überwachung dieses Ressorts entbunden.
Jedes Managementmitglied muss sich deshalb durch explizites Nachfragen, durch Einsehen der Geschäftsprotokolle und über die Besprechungsinhalte in den Managementsitzungen ein Bild über die einzelnen Geschäftsbereiche und die damit verbundenen Risiken machen. Für die einschlägigen Informationen besteht eine Holpflicht. Diese Überwachung und das Nachhalten von Maßnahmen müssen für eine Exkulpation unbedingt dokumentiert werden.
Die regelmäßige Überwachungsfunktion trifft auch den Aufsichtsrat. Unterlässt er sie, macht er sich ebenfalls haftbar.
Gibt es eine Haftung der Beschäftigten im Datenschutz?
Die Haftung der Mitarbeiter ist für betrieblich veranlasste Tätigkeiten beschränkt. Bei grober Fahrlässigkeit eines Beschäftigten haftet dieser grundsätzlich voll, bei mittlerer Fahrlässigkeit anteilig und bei leichter entsteht keine Haftung.
Anders liegt es, wenn der Beschäftigte sich nicht im Rahmen seiner betrieblich zugewiesenen Aufgaben bewegt, also die Datenverarbeitung zu privaten Zwecken vornimmt. In diesem Fall liegt ein Mitarbeiterexzess vor: Der Mitarbeiter mutiert zum Verantwortlichen und haftet selbst gem. Art. 82 DSGVO.
Was gilt bei einem Mitarbeiterexzess im Datenschutz?
Diese Eigenhaftung greift nicht, wenn das Unternehmen als Verantwortlicher die Datenverarbeitung durch den Mitarbeiter kennt und deren Zweck gebilligt hat. Mit der Billigung entscheidet sich der Verantwortliche gegen die Nutzung des eigenen Weisungsrechts und gibt die Entscheidung über Zweck und Mittel aus der Hand, sodass eine gemeinsame Verantwortlichkeit für die Datenverarbeitung nach Art. 26 DSGVO gegeben ist.
Da der Verantwortliche i. S. d. Art. 82 DSGVO weit auszulegen ist, ist bei einem Mitarbeiterexzess auch das Unternehmen in die dann gesamtschuldnerische Schadensersatzhaftung einzubeziehen. Etwas anderes gilt nur, wenn das Unternehmen im Vorfeld wirksame, dokumentierte Sicherungsmaßnahmen gegen den Mitarbeiterexzess ergriffen hat, die der Exkulpation dienen.
Überschreitet der Mitarbeiter dagegen nur seine betrieblichen Kompetenzen, handelt es sich um keinen Mitarbeiterexzess und die persönliche Haftung des Mitarbeiters scheidet aus, denn er war nach wie vor im Rahmen seiner betrieblichen Tätigkeit aktiv.
Wie lässt sich die Haftung nach der DSGVO vermeiden?
Die unternehmerische Tätigkeit ist immer mit Risiko verbunden. Minimieren lässt sich dieses Risiko jedoch mit implementierten Prozessen, die regelmäßig kontrolliert, überwacht und angepasst werden, wodurch zugleich die Möglichkeit der Exkulpation entsteht. Ansatzpunkte sind dabei insbesondere:
- implementierte Prozesse zur Vermeidung von Gefährdungen
- regelmäßige Kontrolle, Überwachung und Anpassung dieser Prozesse
- Dokumentation der Überwachung und des Nachhaltens von Maßnahmen
- Anweisungen zum Umgang mit personenbezogenen Daten
Wesentliche Voraussetzung für die Exkulpation des Managements wie des Unternehmens ist die Dokumentation der Überwachung. Hinzu kommt die Anweisung über den Umgang mit Daten im Zuge der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO.
Ohne dokumentierte Kontrolle bleibt die Haftung nach der DSGVO ein unterschätztes Risiko
Die Verantwortlichkeit nach Art. 4 Nr. 7 DSGVO knüpft an das Unternehmen als wirtschaftliche Einheit an, und Handlungen von Vorstand, Geschäftsführung und Beschäftigten werden dieser Einheit zugerechnet. Entscheidend ist damit weniger die Zuordnung eines einzelnen Fehlverhaltens als die Qualität der Organisation. Wer Prozesse, Überwachung und Weisungen nicht nachweisbar dokumentiert, verliert im Streitfall die Argumentationsgrundlage, und zwar auf Unternehmensebene wie auf Managementebene.
Für die Praxis ist das eine dauerhafte Aufgabe und keine punktuelle Prüfung, zumal die Beweislastverteilung nach §§ 93 Abs. 2 AktG, 43 Abs. 2 GmbHG zulasten des Managements wirkt und Art. 82 sowie Art. 83 DSGVO parallel greifen können. Die vorausschauende Überwachung mit Blick auf die Rechtsentwicklung gewinnt daher weiter an Bedeutung.
Die Aussage zur Haftung von Mitarbeitern für Datenschutzverstöße in dem Artikel ist meiner Ansicht nach widersprüchlich: der vorletzte Absatz wird eingeleitet mit dem Hinweis auf eine b e s c h r ä n k t e Haftung von Unternehmensmitarbeitern (wahrscheinlich als Folge der Rechtsprechung zur gefahrgeneigten Arbeit) , um im Schlusssatz des Absatzes darauf hinzuweisen, dass eine Haftung bei Kompetenzüberschreitung a u s s c h e i d e, da er auch dann im Rahmen seiner betrieblichen Tätigkeit aktiv gewesen sei. Habe ich da etwas missverstanden?
Ein Mitarbeiter, der nicht zur Unternehmensleitung gehört, haftet grundsätzlich nicht, soweit er betriebliche Aufgaben wahrnimmt. Dies gilt auch für den Fall, dass er seine Kompetenzen überschreiten sollte, also interne Befugnisse überschreitet aber weiterhin im Rahmen der wirtschaftlichen Interessen des Unternehmens bleibt und innerhalb seines betrieblichen Aufgabenbereiches.
Immer dann aber, wenn er die Datenverarbeitung zu eigenen Zwecken vornimmt und er sich zum eigenen Verantwortlichen gem. Art. 4 Nr. 7 DSGVO aufschwingt, haftet er auch. In diesem Fall agiert der Mitarbeiter auch nicht für betriebliche, sondern für eigene Zwecke. Daher kommt es zu keiner Haftung des Unternehmens, weil bei verständiger Betrachtung die Aktivität des Mitarbeiters nicht der unternehmerischen Tätigkeit und deren Zweckbestimmung zugerechnet werden kann, es sei denn, dass das Unternehmen die Aktivitäten des Mitarbeiters gebilligt hat. In letzterem Fall könnte eine gemeinsame Verantwortlichkeit und damit auch eine Haftung des Mitarbeiters begründet werden.