Neues Urteil: Wer haftet bei Datenschutz-Verstößen?

Personenbezogene Daten wurden unrechtmäßig verarbeitet oder sind in falsche Hände gelandet. Die Folge ist das Schreckensszenario im Datenschutz: ein Datenschutzverstoß. Mehrere Mitarbeitende haben die Daten verarbeitet. Auch die Geschäftsführung wusste von der Datenverarbeitung.

Doch wer ist nun verantwortlich? Und wer kann haftbar gemacht werden? Für mögliche Schadensersatzforderungen oder Bußgelder ist das eine sehr relevante Frage. Hier hat das Oberlandesgericht Dresden ein neues Urteil gefällt, das mehr Klarheit bringt.

Wir haben für Sie zusammengefasst, wer in welchen Fällen persönlich haftbar ist und welche Auswirkungen das neue Urteil zur Haftung bringt. 

Grundsätzlich haften Verantwortliche für Schadensersatzansprüche und Geldstrafen. Gemäß Art. 4 Nr. 7 DSGVO sind Verantwortliche natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden.

Auch Geschäftsführungen können somit als Verantwortliche gelten, wenn sie über die Mittel und Zwecke der Datenverarbeitung entscheiden oder diese billigen. Hier ist allerdings kaum eine trennscharfe Abgrenzung möglich. Nur, wenn Geschäftsführungen personenbezogene Daten zu gesellschaftsfremden Zwecken verarbeiten, kann eindeutig eine eigenständige Verantwortlichkeit angenommen werden. Andere Fälle sind im Zweifel Einzelfallentscheidungen.

Geschäftsführungen können ebenfalls nach dem geltenden Ordnungswidrigkeitengesetz haftbar gemacht werden. Normalerweise werden Geldbußen dem Unternehmen zugerechnet. Allerdings können Geschäftsführungen, wenn sie eine Aufsichtspflichtverletzung oder ein Organisationsverschulden trifft, persönlich haftbar gemacht werden.

Um nicht haftbar gemacht zu werden, müssen Geschäftsführungen gemäß Art. 82 DSGVO nachweisen können, dass keine Pflichtverletzung bzw. kein Verschulden vorliegt – also, dass der Schaden auch bei einem eingerichteten Compliance-System mit entsprechender Überwachung eingetreten wäre. Das ist allerdings nicht so einfach. Deswegen ist die Wahrscheinlichkeit, dass Geschäftsführungen persönlich haftbar gemacht werden, relativ hoch. Daher ist es wichtig, dass Geschäftsführungen dokumentieren, dass sie Maßnahmen überwachen und nachhalten. 

Ein Urteil des Oberlandesgerichts (OLG) Dresden bringt nun ein bisschen mehr Klarheit, ob Geschäftsführungen gemäß der DSGVO als Verantwortliche gelten. Das OLG hat bestätigt, dass Geschäftsführungen Verantwortliche im Sinne der DSGVO sein können. Das heißt, sie können unter bestimmten Umständen persönlich vom Haftungsrecht umfasst werden.

Geschäftsführungen haften dann persönlich, wenn sie von der Datenverarbeitung profitieren, sie veranlasst haben und/oder die Verarbeitung dulden. Dabei müssen sie nicht zwingend Zugang zu den Daten haben oder sie selbst verarbeiten. In diesen Fällen verletzen Geschäftsführungen ihre Aufsichtspflichten und unterliegen deshalb selbst der persönlichen Haftung.

In dem Fall des OLG Dresden wurde vermutlich ein Detektiv im Auftrag des Geschäftsführers eingeschaltet, um eine Recherche zum Kläger durchzuführen. Der Detektiv hat dabei Erkenntnisse über die strafrechtliche Vergangenheit des Klägers erhalten, aufgrund derer der angeklagte Geschäftsführer eine Mitgliedschaft verweigert hat. Das OLG hat dem Kläger einen Schadensersatz in Höhe von 5.000 Euro zugesprochen, die gesamtschuldnerisch von der GmbH und dem Geschäftsführer zu tragen ist. 

Prinzipiell können auch Mitarbeitende in Haftung genommen werden. Sie haften allerdings nur, wenn sie mit Vorsatz den Datenschutz außer Acht lassen. Dabei wird zwischen verschiedenen Formen der Fahrlässigkeit unterschieden.

Handeln Mitarbeitende grob fahrlässig, verletzen sie die verkehrserforderliche Sorgfalt in besonders schwerem Maße. Das heißt, sie stellen nicht einmal die einfachsten und naheliegendsten Überlegungen an. In diesem Fall haften sie in der Regel in Höhe von maximal drei Gehältern. Es sei denn, dadurch wird ihre wirtschaftliche Existenz bedroht.

Bei leichter Fahrlässigkeit hingegen verstoßen Mitarbeitende nur in geringfügigem Maß gegen ihre Pflichten. In diesem Fall haften sie nicht persönlich.

Verarbeiten Mitarbeitende allerdings privat personenbezogene Daten, sieht das ganz anders aus. In diesem Fall spricht man von einem Mitarbeiterexzess. Da sie sich nicht mehr im Rahmen der betrieblich zugewiesenen Aufgaben bewegen, werden sie selbst zu Verantwortlichen im Sinne der DSGVO und sind persönlich haftbar. Weiß die Organisation von dieser Datenverarbeitung und billigt diese, werden die Verantwortlichkeit und somit mögliche Strafen zwischen Mitarbeitenden und Organisation geteilt.