Geschäftsführer-Haftung bei DSGVO-Verstößen: Wer zahlt wirklich?

Wer haftet nach DSGVO – Gesellschaft, Geschäftsführer oder beide?

Primär haftet die Gesellschaft: Der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO ist die juristische Person – also die GmbH oder AG –, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Bußgelder nach Art. 83 DSGVO richten sich deshalb zunächst gegen das Unternehmen, nicht gegen die Geschäftsführung persönlich.

Diese klare Trennlinie hat jedoch zwei gewichtige Ausnahmen. Erstens greift die gesellschaftsrechtliche Innen-Haftung: Muss die GmbH wegen eines Datenschutzverstoßes ein Bußgeld zahlen, kann sie ihre Geschäftsführer nach § 43 GmbHG persönlich in Regress nehmen, wenn diese ihre Sorgfaltspflicht verletzt haben. Der Sorgfaltsmaßstab ist streng – derjenige eines ordentlichen, gewissenhaften Geschäftsmannes.

Zweitens hat das OLG Dresden in seinem Urteil vom 30.11.2021 einen GmbH-Geschäftsführer direkt als Mitverantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO eingestuft und ihn neben der Gesellschaft gesamtschuldnerisch auf Schadenersatz nach Art. 82 DSGVO verurteilt. Das Gericht begründete dies damit, dass der Geschäftsführer die streitige Datenverarbeitung persönlich veranlasst hatte und damit über Mittel und Zwecke der Verarbeitung entschied.

Die Folge dieser Rechtsprechungsentwicklung: Selbst wer die GmbH-Haftungsbeschränkung als Schutzschild sieht, muss damit rechnen, dass Gerichte im Einzelfall die persönliche Organstellung als Anknüpfungspunkt für eine direkte Haftung nutzen. Für Geschäftsführer in KMU, die Datenschutzentscheidungen oft ohne dedizierte Rechtsabteilung treffen, ist das eine strukturell neue Risikolage.

Welche Bußgelder drohen – und wie werden sie berechnet?

Art. 83 DSGVO sieht zwei Bußgeldstufen vor: Verstöße gegen organisatorische Pflichten – etwa fehlende technische Schutzmaßnahmen, mangelhafte Auftragsverarbeitungsverträge oder kein Verzeichnis der Verarbeitungstätigkeiten – können mit bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Vorjahresumsatzes geahndet werden. Schwerwiegendere Verstöße gegen Verarbeitungsgrundsätze, Betroffenenrechte oder Drittlandübermittlungen können bis zu 20 Millionen Euro oder bis zu 4 Prozent des Jahresumsatzes kosten – jeweils der höhere Betrag gilt.

Für mittelständische Unternehmen mit einem Jahresumsatz von beispielsweise 50 Millionen Euro bedeutet die 4-Prozent-Schwelle ein theoretisches Bußgeld von bis zu 2 Millionen Euro. Die deutschen Aufsichtsbehörden schöpfen den Rahmen selten vollständig aus, orientieren sich aber an einem strukturierten Berechnungsmodell, das Schwere, Dauer, Vorsatz und kooperatives Verhalten des Unternehmens gewichtet.

Neben dem Bußgeld können Aufsichtsbehörden nach Art. 58 DSGVO die Datenverarbeitung einschränken oder untersagen, Löschungsanordnungen erlassen und Abhilfemaßnahmen erzwingen. In besonders schweren Fällen – bei gewerbsmäßigem Datenmissbrauch oder Schädigungsabsicht – kommen strafrechtliche Konsequenzen bis hin zu Freiheitsstrafen hinzu.

Zusätzlich entstehen operative Folgekosten: IT-Forensik, Incident-Response-Teams, externe Kommunikationsberatung und Betroffenenmanagement summieren sich in der Praxis häufig auf ein Vielfaches des eigentlichen Bußgeldes. Der Reputationsschaden gegenüber Kunden und Geschäftspartnern ist dabei noch nicht eingerechnet.

Ein typisches Szenario aus der Praxis: Ein mittelständischer Logistikdienstleister aus dem Rheinland übermittelte Beschäftigtendaten ohne Auftragsverarbeitungsvertrag an einen IT-Dienstleister. Nach einer Mitarbeiterbeschwerde leitete die zuständige Landesbehörde ein Verfahren ein. Das Unternehmen konnte weder ein aktuelles Verarbeitungsverzeichnis noch Schulungsnachweise vorlegen. Nach rund vier Monaten wurde ein substanzielles Bußgeld verhängt. Im Anschluss nahm die Gesellschaft die Geschäftsführung auf Regress in Anspruch, da dieser die Implementierung eines Datenschutzkonzepts trotz anwaltlicher Empfehlung aufgeschoben hatte.

Was gilt nach einem Datenschutzvorfall – die 72-Stunden-Frist und ihre Folgen?

Nach Art. 33 DSGVO muss eine Datenschutzverletzung unverzüglich und spätestens innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Diese Frist beginnt zu laufen, sobald die verantwortliche Stelle – und das schließt die Geschäftsführung ein – Kenntnis von der Verletzung erlangt. Wird die Frist versäumt, ist die Verspätung zu begründen; das verschärft in aller Regel das Bußgeld.

Für Geschäftsführer ist die 72-Stunden-Frist eine Führungsaufgabe, keine IT-Aufgabe. Das setzt voraus, dass im Unternehmen klare Eskalationswege existieren: Wer meldet intern welchen Vorfall, an wen, innerhalb welcher Zeit? Fehlen diese internen Prozesse, kann die Frist faktisch nicht eingehalten werden – und genau das gilt als Organisations­pflichtverletzung.

Zusätzlich zur Behördenmeldung kann nach Art. 34 DSGVO eine Benachrichtigungspflicht gegenüber den betroffenen Personen bestehen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten mit sich bringt. Die Entscheidung, ob diese Schwelle erreicht ist, trifft die Geschäftsführung – und eine falsch eingeschätzte Lage (keine Benachrichtigung obwohl geboten) zieht weiteren Bußgeldrisiken nach.

Praxishinweis: Richten Sie schon heute einen Datenschutz-Notfallplan ein. Dieser sollte mindestens umfassen: eine Kontaktliste mit den zuständigen Aufsichtsbehörden aller Bundesländer, in denen Sie tätig sind, eine interne Meldekette vom Entdecker des Vorfalls bis zur Geschäftsführung, eine Dokumentationsvorlage für Inhalt und Zeitpunkt der Meldung sowie eine Vorabklärung mit Ihrem Datenschutzbeauftragten oder externen Anwalt, wann eine Betroffenenbenachrichtigung zwingend ist.

So reduzieren Geschäftsführer ihr persönliches Haftungsrisiko strukturell

Das wirksamste Mittel gegen persönliche Haftung ist dokumentiertes, laufendes Datenschutz-Management. Gerichte und Aufsichtsbehörden mildern Sanktionen regelmäßig, wenn ein Unternehmen nachweisen kann, dass es proaktiv Maßnahmen ergriffen hat – auch wenn es zu einem Verstoß gekommen ist. Fehlende Dokumentation dagegen gilt als eigenständige Sorgfaltspflichtverletzung.

Fünf Maßnahmen, die Geschäftsführer vorrangig umsetzen sollten: Erstens ein aktuelles Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, das jede neue Verarbeitung innerhalb von 30 Tagen erfasst. Zweitens schriftliche Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit jedem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet – Cloud-Dienste, Lohn­abrechnungs­software und Marketing-Tools inklusive. Drittens jährliche Mitarbeiterschulungen mit Teilnahme­nachweis. Viertens ein dokumentiertes Löschkonzept, das Aufbewahrungsfristen für alle Datenkategorien festlegt. Fünftens die regelmäßige Prüfung, ob neue Verarbeitungen – insbesondere der Einsatz von KI-gestützten Analyse-Tools – einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bedürfen.

D&O-Versicherungen bieten keinen automatischen Schutz bei Datenschutzverstößen. Viele Policen schließen Bußgelder generell aus, andere decken nur Schäden ab, die aus nicht vorsätzlichem Handeln resultieren. Wer Organisations­pflichten klar vernachlässigt hat, riskiert, dass der Versicherer die Deckung ablehnt. Prüfen Sie Ihre D&O-Police explizit auf Datenschutz-Konstellationen – und lassen Sie die Lücken schließen.

Für Unternehmen ab einer bestimmten Größe oder Verarbeitungsintensität ist ein externer Datenschutzbeauftragter keine Kür, sondern gesetzliche Pflicht nach § 38 BDSG. Selbst wenn keine Pflicht besteht, ist die Beauftragung eines erfahrenen externen Experten für KMU oft die kosteneffizienteste Form der Haftungsminimierung: Sie erhalten laufende Kontrolle, Dokumentation und eine direkte Ansprechperson für Behörden – ohne die Fixkosten einer internen Stelle.

Lassen Sie kritische Verarbeitungen und neue Geschäftsmodelle mit Datenbezug frühzeitig anwaltlich prüfen, bevor Sie produktiv gehen. Nachträgliche Korrekturen sind nicht nur teurer – sie kommen bei Aufsichtsbehörden schlechter an als eine proaktive Compliance-Kultur.

Fazit

DSGVO-Compliance ist keine IT-Aufgabe, sondern Führungsverantwortung. Wer als Geschäftsführer Datenschutzvorgaben delegiert, ohne Umsetzung und Kontrolle aktiv zu steuern, riskiert nicht nur das Bußgeld der Gesellschaft – sondern den Zugriff auf das eigene Privatvermögen. Die Rechtsprechungsentwicklung, insbesondere das Urteil des OLG Dresden vom 30.11.2021, zeigt, dass Gerichte die formale Organstellung als Anknüpfungspunkt für direkte Haftung nutzen. Strukturiertes Datenschutz-Management, lückenlose Dokumentation und frühzeitige anwaltliche Begleitung bei neuen Verarbeitungen sind die wirksamsten Hebel zur Haftungsminimierung.