Ein Datenleck beim CRM-System, ein Mitarbeiter der Kundendaten per unverschlüsselter E-Mail versendet, ein fehlendes Verarbeitungsverzeichnis bei der Behördenprüfung: Jeder dieser Vorgänge kann ein Bußgeldverfahren auslösen – und die Frage, wer am Ende zahlt, ist für Geschäftsführer persönlich brisant.
Die DSGVO adressiert Bußgelder nach Art. 83 DSGVO primär an die Gesellschaft als juristische Person. Doch spätestens im zweiten Schritt rückt die Geschäftsführung ins Visier: über die Innen-Haftung nach § 43 GmbHG, über direkte Außen-Haftung nach aktueller Rechtsprechung und über den Verlust von D&O-Versicherungsschutz bei Verletzung von Organisationspflichten.
Dieser Ratgeber zeigt, auf welchen Wegen Geschäftsführer persönlich haften, welche Bußgelddimensionen drohen und welche konkreten Maßnahmen das Risiko strukturell senken.
Wer haftet nach DSGVO – Gesellschaft, Geschäftsführer oder beide?
Primär haftet die Gesellschaft: Der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO ist die juristische Person – also die GmbH oder AG –, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Bußgelder nach Art. 83 DSGVO richten sich deshalb zunächst gegen das Unternehmen, nicht gegen die Geschäftsführung persönlich.
Diese klare Trennlinie hat jedoch zwei gewichtige Ausnahmen. Erstens greift die gesellschaftsrechtliche Innen-Haftung: Muss die GmbH wegen eines Datenschutzverstoßes ein Bußgeld zahlen, kann sie ihre Geschäftsführer nach § 43 GmbHG persönlich in Regress nehmen, wenn diese ihre Sorgfaltspflicht verletzt haben. Der Sorgfaltsmaßstab ist streng – derjenige eines ordentlichen, gewissenhaften Geschäftsmannes.
Zweitens hat das OLG Dresden in seinem Urteil vom 30.11.2021 einen GmbH-Geschäftsführer direkt als Mitverantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO eingestuft und ihn neben der Gesellschaft gesamtschuldnerisch auf Schadenersatz nach Art. 82 DSGVO verurteilt. Das Gericht begründete dies damit, dass der Geschäftsführer die streitige Datenverarbeitung persönlich veranlasst hatte und damit über Mittel und Zwecke der Verarbeitung entschied.
Die Folge dieser Rechtsprechungsentwicklung: Selbst wer die GmbH-Haftungsbeschränkung als Schutzschild sieht, muss damit rechnen, dass Gerichte im Einzelfall die persönliche Organstellung als Anknüpfungspunkt für eine direkte Haftung nutzen. Für Geschäftsführer in KMU, die Datenschutzentscheidungen oft ohne dedizierte Rechtsabteilung treffen, ist das eine strukturell neue Risikolage.
Welche Bußgelder drohen – und wie werden sie berechnet?
Art. 83 DSGVO sieht zwei Bußgeldstufen vor: Verstöße gegen organisatorische Pflichten – etwa fehlende technische Schutzmaßnahmen, mangelhafte Auftragsverarbeitungsverträge oder kein Verzeichnis der Verarbeitungstätigkeiten – können mit bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Vorjahresumsatzes geahndet werden. Schwerwiegendere Verstöße gegen Verarbeitungsgrundsätze, Betroffenenrechte oder Drittlandübermittlungen können bis zu 20 Millionen Euro oder bis zu 4 Prozent des Jahresumsatzes kosten – jeweils der höhere Betrag gilt.
Für mittelständische Unternehmen mit einem Jahresumsatz von beispielsweise 50 Millionen Euro bedeutet die 4-Prozent-Schwelle ein theoretisches Bußgeld von bis zu 2 Millionen Euro. Die deutschen Aufsichtsbehörden schöpfen den Rahmen selten vollständig aus, orientieren sich aber an einem strukturierten Berechnungsmodell, das Schwere, Dauer, Vorsatz und kooperatives Verhalten des Unternehmens gewichtet.
Neben dem Bußgeld können Aufsichtsbehörden nach Art. 58 DSGVO die Datenverarbeitung einschränken oder untersagen, Löschungsanordnungen erlassen und Abhilfemaßnahmen erzwingen. In besonders schweren Fällen – bei gewerbsmäßigem Datenmissbrauch oder Schädigungsabsicht – kommen strafrechtliche Konsequenzen bis hin zu Freiheitsstrafen hinzu.
Zusätzlich entstehen operative Folgekosten: IT-Forensik, Incident-Response-Teams, externe Kommunikationsberatung und Betroffenenmanagement summieren sich in der Praxis häufig auf ein Vielfaches des eigentlichen Bußgeldes. Der Reputationsschaden gegenüber Kunden und Geschäftspartnern ist dabei noch nicht eingerechnet.
Ein typisches Szenario aus der Praxis: Ein mittelständischer Logistikdienstleister aus dem Rheinland übermittelte Beschäftigtendaten ohne Auftragsverarbeitungsvertrag an einen IT-Dienstleister. Nach einer Mitarbeiterbeschwerde leitete die zuständige Landesbehörde ein Verfahren ein. Das Unternehmen konnte weder ein aktuelles Verarbeitungsverzeichnis noch Schulungsnachweise vorlegen. Nach rund vier Monaten wurde ein substanzielles Bußgeld verhängt. Im Anschluss nahm die Gesellschaft die Geschäftsführung auf Regress in Anspruch, da dieser die Implementierung eines Datenschutzkonzepts trotz anwaltlicher Empfehlung aufgeschoben hatte.
Praxis-Tipp
Bußgelder nach Art. 83 DSGVO treffen primär das Unternehmen – bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Was bedeutet die Sorgfaltspflicht des Geschäftsführers im Datenschutz konkret?
Der Geschäftsführer trägt die Verantwortung für die ordnungsgemäße Umsetzung des Datenschutzes im Unternehmen – das ist nicht delegierbar. § 43 GmbHG verlangt den Maßstab eines ordentlichen Geschäftsmannes: Wer sich auf fehlende Kenntnisse beruft, hat die Geschäftsführerfunktion zu früh übernommen oder muss externe Berater einschalten.
Konkret bedeutet das: Die Geschäftsleitung muss sicherstellen, dass ein aktuelles Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO existiert, Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit allen relevanten Dienstleistern geschlossen sind und technisch-organisatorische Maßnahmen nach Art. 32 DSGVO dokumentiert und regelmäßig geprüft werden.
Die Pflicht endet nicht mit der Delegation. Ernennt ein Geschäftsführer einen Datenschutzbeauftragten, entlastet ihn das formal von der operativen Umsetzung – aber nicht von der Leitungs- und Überwachungsverantwortung. Der Datenschutzbeauftragte berät und kontrolliert, übernimmt jedoch keine Haftung für Versäumnisse der Geschäftsführung. Kommt es trotz eines Beauftragten zu einem Verstoß, weil die Geschäftsführung Empfehlungen ignoriert oder keine Ressourcen bereitgestellt hat, bleibt die persönliche Haftung bestehen.
Kritischer Punkt für die Praxis: Viele Geschäftsführer in KMU gehen davon aus, dass ein einmalig beauftragtes Datenschutz-Audit ausreicht. Tatsächlich verlangt die DSGVO ein laufendes Datenschutz-Management – neue Verarbeitungen, neue Dienstleister, neue Technologien (Stichwort: KI-Tools, Cloud-Dienste) erfordern jedes Mal eine neue Prüfung der Rechtsgrundlage nach Art. 6 DSGVO und gegebenenfalls eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
Wer Geschäftsführer-Funktion in mehreren Gesellschaften gleichzeitig innehat, muss für jede Gesellschaft gesondert prüfen, welche Verarbeitungen stattfinden und ob diese DSGVO-konform ausgestaltet sind. Die Haftung multipliziert sich mit jeder Geschäftsführer-Position.
Wichtig zu wissen
Geschäftsführer haften persönlich im Innenverhältnis nach § 43 GmbHG, wenn sie Sorgfaltspflichten verletzen und das Unternehmen dadurch ein Bußgeld zahlen muss.
