Wer haftet persönlich, Geschäftsführer oder Unternehmen?

Bußgelder nach Art. 83 DSGVO richten sich in der Regel gegen das Unternehmen als Verantwortlichen. Ihm wird das Verhalten seiner Beschäftigten zugerechnet. Persönlich haften Geschäftsführer und Mitarbeiter bei Straftaten nach § 42 BDSG und können dem Unternehmen gegenüber für Organisationsverschulden haften. Gegenüber Betroffenen haftet das Unternehmen nach Art. 82 DSGVO.

DSGVO-Haftung: Geschäftsführer oder Unternehmen?

Die Frage der Haftung ist mehrschichtig und betrifft sowohl die bußgeldrechtliche als auch die strafrechtliche und die zivilrechtliche Ebene.

Bußgeldhaftung: das Unternehmen

Nach Art. 83 DSGVO richten sich Bußgelder primär gegen den Verantwortlichen oder Auftragsverarbeiter, also gegen das Unternehmen als juristische Person. Der Erwägungsgrund 150 stellt klar, dass der kartellrechtliche funktionale Unternehmensbegriff gilt. Nach der DSGVO reicht es aus, dass ein Beschäftigter oder ein externer Beauftragter gehandelt hat, eine Beschränkung auf Leitungspersonen wie bei § 30 OWiG besteht nach Auffassung der DSK nicht mehr.

Dies hat der EuGH bestätigt: Ein Bußgeld gegen das Unternehmen setzt nicht voraus, dass ein Verstoß einer bestimmten Leitungsperson festgestellt wird. Der Verstoß muss aber vorsätzlich oder fahrlässig begangen worden sein (EuGH, Urteile vom 05.12.2023, C-807/21 und C-683/21).

Strafrechtliche Haftung: natürliche Personen

Die Strafvorschriften des § 42 BDSG richten sich gegen natürliche Personen. Hier können Geschäftsführer, Mitarbeiter oder andere natürliche Personen individuell strafrechtlich belangt werden. Voraussetzung ist allerdings persönliches Handeln mit Vorsatz (§ 42 Abs. 1: "wissentlich"; Abs. 2: "gegen Entgelt" oder in Bereicherungs-/Schädigungsabsicht).

Zivilrechtliche Haftung (Art. 82 DSGVO)

Der Verantwortliche (das Unternehmen) haftet für jeden DSGVO-Verstoß.
Der Auftragsverarbeiter haftet nur, wenn er seine spezifischen Pflichten verletzt oder weisungswidrig gehandelt hat.
Bei mehreren Beteiligten besteht gesamtschuldnerische Haftung (Art. 82 Abs. 4).
Rückgriffsrecht unter Gesamtschuldnern (Art. 82 Abs. 5).

Persönliche Haftung von Geschäftsführern

Geschäftsführer können darüber hinaus nach allgemeinen gesellschaftsrechtlichen Grundsätzen für Organisationsverschulden haften (z. B. fehlende Compliance-Strukturen). Bußgeldrisiken werden zunehmend als Haftungsthema in der Geschäftsleitung erkannt.

Ob Ihr Unternehmen einen Datenschutzbeauftragten benennen muss, zeigt die Seite Wann ist ein Datenschutzbeauftragter Pflicht?. Die Unterschiede zwischen internem und externem DSB erklärt die Seite Interner oder externer Datenschutzbeauftragter.