Haftung des Datenschutzbeauftragten: Warum viele Unternehmen ein falsches Sicherheitsgefühl haben

Die Benennung eines Datenschutzbeauftragten (DSB) fühlt sich für viele Geschäftsführer wie ein entscheidender Schutzschild an. Ein Experte ist an Bord, die DSGVO-Pflicht ist erfüllt – was soll jetzt noch passieren? Doch genau diese Denkweise ist ein gefährlicher Trugschluss. Die Frage der Haftung ist weitaus komplexer und betrifft nicht nur den Beauftragten selbst, sondern in erster Linie immer das Unternehmen.

Stellen Sie sich vor, es kommt zu einem gravierenden Datenschutzvorfall. Die Aufsichtsbehörde verhängt ein Bußgeld in Millionenhöhe. Die erste Frage im Management lautet oft: „Hätte der Datenschutzbeauftragte das nicht verhindern müssen? Haftet er dafür nicht persönlich?“ Die Antwort darauf ist selten ein einfaches Ja oder Nein. Sie hängt von unzähligen Faktoren ab – vom Status des DSB über seine vertraglichen Pflichten bis hin zur Schwere seines Verschuldens.

Dieser Artikel bringt Licht ins Dunkel. Wir klären, wer wann und in welchem Umfang haftet, welche Unterschiede zwischen internen und externen Datenschutzbeauftragten bestehen und wie Sie als Unternehmen oder als Beauftragter selbst Haftungsrisiken wirksam minimieren.

[ads_custom_box title=“Auf einen Blick“ color_border=“#000000″]

• Primäre Haftung: Grundsätzlich haftet immer das Unternehmen („der Verantwortliche“) für Datenschutzverstöße, nicht der DSB.
• Begrenzte Außenhaftung: Eine direkte Haftung des Datenschutzbeauftragten gegenüber Dritten oder Behörden ist die absolute Ausnahme und nur bei Vorsatz oder grober Fahrlässigkeit denkbar.
• Innenhaftung: Die Haftung des DSB gegenüber dem eigenen Unternehmen (Innenverhältnis) hängt stark von seinem Status (intern/extern) und den vertraglichen Vereinbarungen ab.
• Schutzmechanismen: Klare Verträge, eine ausreichende Ressourcenausstattung und eine Berufshaftpflichtversicherung sind entscheidend zur Risikominimierung.

[/ads_custom_box]

 

Die Grundregel der DSGVO: Das Unternehmen steht in der Verantwortung

Um die Haftungsfrage zu verstehen, müssen wir uns vom Gedanken verabschieden, der Datenschutzbeauftragte sei eine Art „Datenschutz-Versicherung“. Die Datenschutz-Grundverordnung (DSGVO) benennt eine klare Hierarchie: Der „Verantwortliche“ ist die juristische oder natürliche Person, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. In 99 % der Fälle ist das Ihr Unternehmen.

Gemäß Art. 82 DSGVO haftet dieser Verantwortliche für materielle und immaterielle Schäden, die durch einen Verstoß gegen die Verordnung entstehen. Das Bußgeld der Behörde und die Schadensersatzforderungen eines Betroffenen richten sich also immer zuerst an das Unternehmen. Der Datenschutzbeauftragte hat laut DSGVO primär eine beratende und überwachende Funktion. Er ist nicht der Ausführende, sondern der Lotse.

Aus meiner Sicht ist das der entscheidende Hebel, den viele in der Praxis übersehen: Die Benennung eines DSB entbindet die Geschäftsführung nicht von ihrer eigenen Verantwortung. Sie delegiert lediglich die Fachaufgaben, nicht aber die Letztverantwortung. Das ist kein juristisches Detail, sondern das Fundament jeder funktionierenden Datenschutz-Organisation.

 

Innenhaftung vs. Außenhaftung: Die zwei Seiten der Medaille

Um die Haftungsrisiken des Datenschutzbeauftragten zu bewerten, müssen wir zwei Szenarien strikt trennen: die Außenhaftung und die Innenhaftung. Die Außenhaftung bezeichnet die Inanspruchnahme des DSB durch Dritte – also durch Betroffene oder Aufsichtsbehörden. Die Innenhaftung beschreibt hingegen den Fall, dass das Unternehmen selbst seinen Datenschutzbeauftragten in Regress nimmt, weil es durch dessen Fehler einen Schaden erlitten hat.

 

Die Außenhaftung: Ein theoretisches Risiko mit extrem hohen Hürden

Eine direkte Haftung des Datenschutzbeauftragten gegenüber geschädigten Personen oder als Adressat eines Bußgeldes ist in der Praxis so gut wie ausgeschlossen. Die DSGVO richtet sich, wie erwähnt, an den „Verantwortlichen“, also an Ihr Unternehmen. Eine persönliche Haftung käme nur unter extremen Umständen in Betracht, die weit über eine simple Fehlberatung hinausgehen – konkret bei vorsätzlichem oder grob fahrlässigem Handeln, das direkt zu einem Schaden führt.

Ein Beispiel wäre ein Datenschutzbeauftragter, der die Geschäftsführung bewusst zu einem gesetzeswidrigen Vorgehen anstiftet oder Beweismittel in einem Verfahren vernichtet. Das sind kriminelle Akte, die mit der normalen beratenden Tätigkeit eines Datenschutzbeauftragten nichts zu tun haben.

 

Die Innenhaftung: Das eigentliche Spannungsfeld

Viel relevanter ist die Frage der Innenhaftung. Das Szenario: Ihr Unternehmen erhält ein Bußgeld, weil ein Prozess datenschutzwidrig war. Sie fragen sich: Hätte unser Datenschutzbeauftragter uns nicht warnen müssen? Können wir den finanziellen Schaden von ihm zurückfordern? Die Antwort hängt entscheidend vom Status des Beauftragten ab.

 

Der interne Datenschutzbeauftragte: Schutz durch das Arbeitsrecht

Ein interner Datenschutzbeauftragter ist ein Mitarbeiter Ihres Unternehmens. Für ihn gelten die Grundsätze der beschränkten Arbeitnehmerhaftung. Das bedeutet, er haftet gegenüber seinem Arbeitgeber nicht für jeden Fehler. Die Rechtsprechung staffelt die Haftung nach dem Grad des Verschuldens:

• Leichte Fahrlässigkeit: Keine Haftung. Passiert im Eifer des Gefechts, z.B. ein kleiner Fehler in einem Dokument.
• Mittlere Fahrlässigkeit: Geteilte Haftung. Der Schaden wird zwischen Arbeitgeber und Arbeitnehmer aufgeteilt. Ein klassischer Fall von „hätte man besser wissen müssen“.
• Grobe Fahrlässigkeit oder Vorsatz: Volle Haftung. Hier missachtet der Mitarbeiter grundlegende Sorgfaltspflichten oder handelt absichtlich falsch.

In der Praxis hat sich immer wieder gezeigt, dass Gerichte die Hürden für eine Haftung des internen DSB sehr hoch ansetzen. Diese abgestufte Haftung, wie sie auch die IHK Stuttgart beschreibt, schützt den Mitarbeiter vor dem existenzbedrohenden Risiko, für einen Millionenschaden durch einen einfachen Fehler aufkommen zu müssen.

 

Der externe Datenschutzbeauftragte: Der Vertrag als Maßstab

Anders sieht es bei einem externen Datenschutzbeauftragten aus. Er ist kein Angestellter, sondern ein externer Dienstleister. Hier gilt nicht das schützende Arbeitsrecht, sondern das Zivilrecht und vor allem der zugrundeliegende Dienstleistungsvertrag. Der Vertrag ist das Gesetz der Parteien.

Deshalb ist ein professionell ausgearbeiteter Vertrag entscheidend. Er regelt den genauen Leistungsumfang und die Haftungsmodalitäten. Seriöse externe Anbieter werden in der Regel eine Haftungsbegrenzung auf eine bestimmte Summe oder auf den Wert der versicherten Deckungssumme vereinbaren. Der entscheidende Vorteil für Sie als Unternehmen ist, dass externe Profis über eine Berufshaftpflichtversicherung verfügen, die im Schadensfall tatsächlich für den finanziellen Ausgleich sorgt. Das gibt Ihnen eine Sicherheit, die ein interner Mitarbeiter niemals bieten kann.

 

So minimieren Sie Haftungsrisiken effektiv

Die gute Nachricht ist: Weder das Unternehmen noch der Datenschutzbeauftragte sind den Haftungsrisiken schutzlos ausgeliefert. Ein proaktives und klar strukturiertes Vorgehen kann die potenziellen Fallstricke für beide Seiten auf ein Minimum reduzieren. Der Schlüssel liegt in Transparenz, klarer Aufgabenverteilung und einer professionellen Dokumentation.

 

Checkliste für Unternehmen

• Klare Verträge schaffen: Insbesondere bei externen DSB ist ein detaillierter Dienstleistungsvertrag unerlässlich. Legen Sie den genauen Leistungsumfang, die Berichtswege und die Haftungsmodalitäten (inklusive Deckungssumme der Versicherung) unmissverständlich fest.
• Ressourcen bereitstellen: Ein DSB kann nur dann gut beraten, wenn er die nötigen Mittel erhält. Das umfasst Zeit, Budget für Weiterbildungen und vor allem uneingeschränkten Zugang zu allen relevanten Informationen und Prozessen, wie es auch die GDD fordert.
• Dokumentation einfordern und beachten: Die Empfehlungen des DSB müssen dokumentiert werden. Ein Detail, das Führungskräfte oft übersehen, ist die Bedeutung dieser Dokumentation. Sie dient im Streitfall als Beweis, dass das Unternehmen seiner Pflicht zur Einholung von Fachrat nachgekommen ist.
• Versicherungsnachweis verlangen: Lassen Sie sich vom externen Datenschutzbeauftragten einen Nachweis über eine gültige Berufshaftpflicht- oder Vermögensschadenhaftpflichtversicherung vorlegen. Prüfen Sie die Deckungssumme auf Angemessenheit.

 

Schutzmaßnahmen für Datenschutzbeauftragte

• Alles schriftlich festhalten: Geben Sie wichtige Ratschläge, Warnungen oder Bedenken immer schriftlich an die Geschäftsführung weiter. Dokumentieren Sie auch, wenn Ihnen Ressourcen verweigert oder Ihre Empfehlungen ignoriert werden.
• Geeignete Versicherung abschließen: Für externe DSB ist eine Berufshaftpflichtversicherung absolut existenziell. Sie schützt Ihr privates Vermögen im Schadensfall. Interne DSB sollten prüfen, ob sie über eine D&O-Versicherung des Unternehmens mitabgesichert sind.
• Fokus auf Beratung legen: Ihre Rolle ist die des Beraters und Überwachers. Vermeiden Sie es, operative Entscheidungen zu treffen oder die Umsetzung von Maßnahmen selbst zu verantworten. Dies verwischt die Grenzen und erhöht Ihr persönliches Haftungsrisiko.
• Kontinuierliche Weiterbildung: Die Datenschutzlandschaft ist dynamisch. Eine hohe Qualifikation des Datenschutzbeauftragten durch regelmäßige Schulungen ist der beste Schutz vor Fehlberatungen.

 

Fazit: Verantwortung teilen, Risiken beherrschen

Die Haftung des Datenschutzbeauftragten ist ein Thema, das von Mythen und Unsicherheiten geprägt ist. Die Realität ist jedoch juristisch klarer als oft angenommen. Die drei wichtigsten Erkenntnisse sind: Erstens, die primäre und nahezu uneingeschränkte Haftung für Datenschutzverstöße liegt immer beim Unternehmen. Zweitens, der Datenschutzbeauftragte ist der Lotse, nicht der Kapitän – seine Rolle ist die Beratung, nicht die Entscheidung. Drittens, klare Verträge, eine lückenlose Dokumentation und eine angemessene Versicherung sind die wirksamsten Instrumente, um Risiken für beide Seiten zu managen. Ein falsches Sicherheitsgefühl ist gefährlich, doch mit der richtigen Struktur wird aus dem vermeintlichen Risiko eine beherrschbare und partnerschaftliche Zusammenarbeit für gelebten Datenschutz.

 

Häufig gestellte Fragen

Kann ein interner Datenschutzbeauftragter wegen eines Datenschutzvorfalls gekündigt werden?

Nein, nicht ohne Weiteres. Interne DSB genießen einen besonderen Kündigungsschutz (§ 38 Abs. 2 BDSG i.V.m. § 6 Abs. 4 BDSG), der eine ordentliche Kündigung wegen ihrer Tätigkeit ausschließt. Eine Abberufung oder Kündigung ist nur aus wichtigem Grund möglich, was weit über eine einfache Fehlberatung hinausgeht.

Wer zahlt ein DSGVO-Bußgeld zuerst?

Das Bußgeld richtet sich immer an den „Verantwortlichen“ und muss daher vom Unternehmen bezahlt werden. Ein anschließender Regress gegen den Datenschutzbeauftragten ist zwar theoretisch denkbar, in der Praxis aber an sehr hohe Hürden wie den Nachweis grober Fahrlässigkeit oder Vorsatz geknüpft.

Ist eine Berufshaftpflichtversicherung für externe DSB Pflicht?

Eine gesetzliche Pflicht besteht nicht. Sie ist jedoch ein unverzichtbares Qualitätsmerkmal für jeden professionellen externen Datenschutzbeauftragten und sollte eine vertragliche Voraussetzung für die Beauftragung sein, da sie sowohl das Unternehmen als auch den Dienstleister absichert.

Was passiert, wenn die Geschäftsführung den Rat des DSB ignoriert?

Wenn der Datenschutzbeauftragte seine Bedenken nachweislich (idealweise schriftlich) geäußert hat, hat er seine beratende Pflicht erfüllt. Die Entscheidungs- und somit auch die Haftungsverantwortung für die daraus resultierenden Folgen verbleibt vollständig bei der Geschäftsführung. Der DSB hat sich damit wirksam entlastet.