Wer haftet eigentlich?
Als Unternehmer kennen Sie die Situation! Sie überlegen sich, wer haftet eigentlich bei einem Datenschutzverstoß im Unternehmen?
Wenn Sie sich fragen,
- wie und mit welchen Lösungen Sie diese Herausforderung in den Griff bekommen, oder
- etablierte Verfahren in Ihrem Unternehmen optimiert werden können
dann lesen Sie weiter.
Für Macher
Seien Sie vor Ihrem Wettbewerb, wenn es um Haftungsbegrenzung geht.
Für Gewissenhafte
Die Einhaltung von Datenschutzvorschriften bindet Kapazitäten im täglichen Betrieb Ihres Unternehmens.
Vertrauen Sie auf unser Netzwerk und behalten Sie Schnittstellen zwischen Compliance und Arbeitsprozessen mit unserer Hilfe im Blick.
Für Beständige
Viele „vermeintliche“ Datenschützer arbeiten reaktiv im Unternehmen. Ihre gewohnten Ansprechpartner bieten Ihnen also nicht unbedingt die besten Lösungen.
Vertrauen Sie bei uns auf unsere persönlichen Ansprechpartner. Wir agieren nur in Ihrem Sinne.
„Verantwortungsbewusste Unternehmensführung erfordert gerade heute Anpassungen in der Steuerung. Die SMK Group kann Lösungen aufzeigen, gemeinsam erarbeiten und bei der Implementierung wichtige Hilfestellung bieten.“
Der GmbH-Geschäftsführer haftet persönlich für Datenschutzverstöße
Die Anzahl der Urteile die Betroffenen bei Datenschutzverstößen von Unternehmen Schadenersatz in teils beträchtlicher Höhe zugesprochen haben, sind extrem gestiegen. Aufgrund dessen möchten wir Sie über ein brisantes Urteil des Oberlandesgerichts Dresden vom 30.11.2021 (Az.: 4 U 1158/21) zur Haftung bei Datenschutzverstößen informieren.
Haftung bei Datenschutzverstößen – wer haftet eigentlich?
Der „Verantwortliche“, meist das Unternehmen, ist Herr der Daten, entscheidet über Zwecke und Mittel der Datenverarbeitung und ist folglich auch der Empfänger von etwaigen Bußgeldforderungen der Aufsichtsbehörden (Art. 83 DSGVO) und von Schadensersatzansprüchen von Betroffenen (Art. 82 DSGVO).
Kommt als Verantwortlicher „nur“ die Institution, also die juristische Person oder auch die Geschäftsführung/ der Vorstand in Betracht? Das OLG Dresden urteilte, dass der Schadensersatz von der juristischen Person (GmbH), als auch von ihrem gesetzlicher Vertreter (Geschäftsführer) zu leisten ist; im Klartext: „Der Geschäftsführer ist neben der GmbH Verantwortlicher im Sinne von Art. 4 DSGVO und haftet als Gesamtschuldner mit der GmbH für Ansprüche aus Art. 82 DSGVO.“
Damit entfällt zwar in aller Regel die Verantwortlichkeit weisungsgebundener Angestellter oder sonstiger Beschäftigter, für den Geschäftsführer gilt dies allerdings nicht. Den Geschäftsführer trifft also eine direkte rechtliche Verantwortung bei datenschutzrechtlichen Verstößen und neben der Institution ist er von der Haftung betroffen. Für weisungsgebundene Angestellte oder sonstige Beschäftigte gilt dies nach Ansicht des Gerichts nicht. Eine Haftung dieser Personen ist nur in Extremfällen denkbar (zum Beispiel bei Exzess/Vorsatz).
Kann auch für sogenannte Bagatellverletzungen datenschutzrechtlicher Vorgaben ein Schadenersatzanspruch zugesprochen werden?
Das OLG Dresden äußerte sich auch zur viel diskutierten Frage nach einer möglichen Bagatellgrenze im Rahmen von Schadenersatzansprüchen wie folgt: „Wird ein Anspruch auf Schadensersatz nach Art. 82 DSGVO geltend gemacht, erfordert dies ein Überschreiten der erforderlichen Bagatellgrenze (OLG Dresden, Urteil vom 30.11.2021 – Az.: 4 U 1158/21).“
Das bedeutet, dass für „Kleinstverstöße“ kein immaterieller Schadenersatzanspruch von Betroffenen geltend gemacht werden kann. Dies sehen einige Gerichte aber anders, sodass sich zu dieser Frage noch keine abschließende Rechtsauffassung manifestiert hat.
Ab wann die Bagatellschwelle überschritten ist, muss stets im Einzelfall beurteilt werden. Ein Freibrief ist das Urteil daher keinesfalls.
Ihre Datenschutzexperten der GDPC
Dr. Kevin Marschall und Stephan Blazy
Weitere Artikel zu
