Datenschutzbeauftragter: Die 3 teuersten Fehler, die Geschäftsführer vermeiden müssen
- Zu den größten Haftungsrisiken im Zusammenhang mit Datenschutzbeauftragten (DSB) gehören Pflichtverletzungen bei der Benennung, Interessenkonflikte und Beratungsfehler.
- Vor allem in KMU bestehen Haftungsrisiken durch Interessenskonflikte.
- Interne und externe Datenschutzbeauftragte haften unterschiedlich.
- Um Haftungsrisiken einzugrenzen, empfiehlt sich die Zusammenarbeit mit einem externen Datenschutzexperten.
- Item A
- Item B
- Item C
Fehler 1: Trotz Pflicht keinen DSB benennen
Nach Art. 37 DSGVO sind die meisten Unternehmen in Deutschland verpflichtet, einen Datenschutzbeauftragten zu benennen. Das gilt zum Beispiel für Unternehmen, in denen mindestens 20 Mitarbeiter ständig mit der Verarbeitung von personenbezogenen Daten betraut sind.
Was droht Unternehmen, die trotz Pflicht keinen Datenschutzbeauftragten benennen?
Ernennen Entscheider trotz ihrer gesetzlichen Pflicht keinen DSB, stellt das einen Verstoß gegen die DSGVO dar und könnte nach Art. 83 Absatz 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Vorjahresumsatzes geahndet werden.
Ist Ihr Unternehmen verpflichtet, einen DSB zu benennen? Wir beraten Sie gern dazu.
Fehler 2: DSB mit Interessenkonflikt ernennen
Ein Datenschutzbeauftragter muss frei von Interessenkonflikten sein, um seine DSB-Aufgaben gewissenhaft zu erfüllen. Neutralität ist ein absolutes Muss. Sie schließt aus, dass der DSB in anderer Tätigkeit für sein Unternehmen Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Er würde sich damit selbst überwachen.
Ein neutraler Blick auf alle datenschutzrechtlichen Belange des Unternehmens setzt voraus, dass die betreffende Person keinerlei Einfluss darauf hat, welche Zwecke die Verarbeitung personenbezogener Daten im Unternehmen verfolgt. Auch die dabei eingesetzten Mittel dürfen nicht im Aufgaben- und Verantwortungsbereich des DSB liegen.
Was sind Interessenkonflikte bei Datenschutzbeauftragten?
Es gibt drei Arten von Interessenkonflikten, die einem Datenschutzbeauftragten die Ausübung seiner Tätigkeit unmöglich machen. Ein Interessenkonflikt besteht, wenn
- datenschutzfremde Interessen einen Einfluss auf die Beratung des Unternehmens haben.
- die gewissenhafte und lückenlose Kontrolle und Überwachung des Datenschutzes durch persönliche Interessen in Gefahr geraten.
- die Neutralität bei der Zusammenarbeit mit Aufsichtsbehörden nicht gewährleistet ist. Denn die sachgemäße Darstellung datenschutzrechtlicher Belange kann nur durch einen neutralen Datenschutzbeauftragten sichergestellt werden.
Interessenkonflikte in der Praxis: KMU häufig betroffen
Personen auf oberer und zweiter Führungsebene kommen in der Regel nicht in Betracht für die Tätigkeit eines Datenschutzbeauftragten: Mitarbeiter mit leitenden Funktionen treffen selbst maßgebliche Entscheidungen über die Verarbeitung von personenbezogenen Daten in ihrem Unternehmen.
Das fordert vor allem kleinere Unternehmen heraus, in denen unterhalb der Führungsebene oft keine Mitarbeiter mehr zur Verfügung stehen, die die berufliche Qualifikation und das Fachwissen für die Ausübung der Tätigkeit besitzen.
Interessenkonflikte bei Datenschutzbeauftragten kommen außerdem häufig bei Betriebsratsmitgliedern vor. Hier kollidieren ebenfalls verschiedene Verantwortungsbereiche im Umgang mit personenbezogenen Daten.
Was kann bei einem Interessenkonflikt passieren?
Eine Interessenkollision kann für Unternehmen teuer werden. Dies zeigt der Fall eines Berliner Handelskonzerns: Dessen Tochtergesellschaft bestellte einen Datenschutzbeauftragten, der zugleich Geschäftsführer von zwei Dienstleistungsgesellschaften des Unternehmens war. Diese sind ebenfalls Teil des Konzerns und verarbeiteten im großen Stil personenbezogene Daten. Der DSB sollte also Unternehmen überwachen, an deren Geschäftsführung er selbst beteiligt war.
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit sah darin einen eindeutigen Fall einer Interessenkollision und damit einen Verstoß gegen die DSGVO. Die Aufsichtsbehörde erteilte 2021 zunächst eine Verwarnung gegen das Unternehmen. Nachdem der Verstoß jedoch nicht behoben wurde, verhängte sie ein Bußgeld in Höhe von 525.000 Euro.
Wie kann man Interessenkonflikte vermeiden?
Allgemein können Interessenkonflikte durch eine Trennung von operativen und überwachenden Tätigkeiten vermieden werden. Außerdem kann die Bestellung eines externen Datenschutzbeauftragten dem Risiko eines Interessenkonfliktes entgegenwirken.
Ein externer Datenschutzexperte kümmert sich ohne Interessenkonflikte um die DSGVO-Einhaltung in Ihrem Unternehmen und kennt die aktuelle Gesetzeslage ganz genau.
Fehler 3: Haftungsrisiken unterschätzen
Die DSGVO benennt klare Verantwortlichkeiten und regelt, welche Parteien bei Datenschutzverstößen haften müssen. Dabei gibt es Unterschiede zwischen der Haftung externer und interner Datenschutzbeauftragter.
Haftung im Datenschutz: Wer haftet bei DSGVO-Verstößen?
Bei DSGVO-Verstößen können verschiedene Akteure in die Haftung genommen werden:
- Verantwortlicher: Die Hauptverantwortung trägt laut Art. 4 Nr. 7 DSGVO das Unternehmen oder die Behörde, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Bei Verstößen drohen Bußgelder und Schadensersatzforderungen.
- Auftragsverarbeiter: Externe Dienstleister, die personenbezogene Daten im Auftrag verarbeiten, müssen vertraglich verpflichtet werden. Bei Verstößen haften sie eigenständig.
- Geschäftsführer und leitende Organe: Bei Verletzung ihrer Organpflichten, etwa durch eine unterlassene DSB-Bestellung, können Geschäftsführer persönlich haften. Rechtliche Grundlage ist das Gesellschaftsrecht (§ 43 GmbHG, § 93 AktG). Bei Vorsatz oder grober Fahrlässigkeit sind Schadensersatz und Regress möglich.
Wann und wie haftet ein Datenschutzbeauftragter?
Das Unternehmen trägt die datenschutzrechtliche Verantwortung und haftet gegenüber Betroffenen nach Art. 82 DSGVO. Der DSB haftet nach § 280 BGB im Innenverhältnis gegenüber dem Unternehmen, wenn er seine Pflichten verletzt oder falsch berät.
Datenschutzbeauftragte können je nach Verstoß und Kontext auf unterschiedliche Weise haftbar gemacht werden. Die wichtigsten Haftungsgründe und Strafbarkeiten für Datenschutzbeauftragte sind:
Zivilrechtliche Haftung
Bei DSGVO-Verstößen kann der Verantwortliche oder Auftragsverarbeiter für entstandene Schäden haftbar gemacht werden. Handelte der Datenschutzbeauftragte nachweislich vorsätzlich oder grob fahrlässig, kann auch eine persönliche zivilrechtliche Haftung infrage kommen.
Um seine Haftung einzuschränken, wird in der Praxis regelmäßig eine Haftungsfreistellung vereinbart. Das Haftungsrisiko des Unternehmens bei Verletzung datenschutzrechtlicher Pflichten bleibt hiervon jedoch unberührt.
Arbeitsrechtliche Haftung bei internen DSB
Interne Datenschutzbeauftragte unterliegen als Angestellte dem innerbetrieblichen Haftungsprivileg: Nach § 619a BGB haften sie gegenüber dem Arbeitgeber nur, wenn sie die Pflichtverletzung zu vertreten haben. Nach der Rechtsprechung des BAG erfolgt eine Haftung nur bei grober Fahrlässigkeit oder Vorsatz.
Es gelten folgende Haftungsgrundsätze zum Schadensausgleich, die Arbeitgeber nicht zum Nachteil ihres Mitarbeiters ändern dürfen:
- Leichte Fahrlässigkeit: Interner Datenschutzbeauftragter erhält Haftungsfreistellung
- Normale oder mittlere Fahrlässigkeit: Meist Schadensteilung
- Grobe Fahrlässigkeit: Haftung des DSB nach Vereinbarung
Die Rechtsprechung betont, dass interne Datenschutzbeauftragte nicht übermäßig belastet werden dürfen. Schließlich handelt es sich um eine gesetzlich vorgeschriebene Funktion, nicht um eine freiwillige Risikoposition.
Strafrechtliche Haftung
Obwohl Datenschutzverstöße primär zivilrechtlich oder bußgeldrechtlich geahndet werden, sind strafrechtliche Konsequenzen möglich, etwa bei vorsätzlichem Verrat von Geschäfts- oder Betriebsgeheimnissen (§ 203 StGB, § 17 UWG). Auch hier kann der DSB von der Haftung betroffen sein, wenn er vertrauliche Informationen unbefugt weitergibt.
Bußgelder durch Aufsichtsbehörden
Die DSGVO sieht Bußgelder nicht direkt für Datenschutzbeauftragte, sondern für Verantwortliche und Auftragsverarbeiter vor. Jedoch können Fehler des DSB dazu führen, dass dem Unternehmen erhebliche Bußgelder drohen – was besonders bei externer Tätigkeit indirekt zu Schadensersatzforderungen gegen den DSB führen kann.
Wie reduzieren Unternehmen ihre DSB-Haftungsrisiken?
Es ist wichtig, dass der eingesetzte DSB seine Aufgaben und Pflichten ordnungsgemäß und zuverlässig ausführt, um die Gefahr von Schadensersatzforderungen betroffener Personen zu senken. In puncto Haftung sind Unternehmen gut beraten, einen externen DSB zu beauftragen.
Fazit: Fehler vermeiden und vor Haftung schützen
Die fehlende Benennung eines Datenschutzbeauftragten, Interessenkonflikte und unterschätzte Haftungsrisiken gehören zu teuren Fehlern im Zusammenhang mit Datenschutzbeauftragten. Besonders in KMU entstehen häufig Interessenkonflikte, wenn Führungskräfte gleichzeitig als DSB agieren sollen. Ein externer Datenschutzexperte bietet nicht nur Neutralität und Fachwissen, sondern minimiert auch Haftungsrisiken für das Unternehmen.
Unternehmen sollten die Auswahl und Zusammenarbeit mit ihrem DSB strategisch planen, um rechtliche und finanzielle Konsequenzen zu vermeiden. Professionelle externe Datenschutzbeauftragte sorgen für DSGVO-Konformität ohne Interessenkonflikte – und schützen Geschäftsführer vor persönlicher Haftung.
Sie haben noch Fragen? Wir haben die Antworten
Ein Interessenkonflikt besteht, wenn der DSB Zwecke und Mittel der Datenverarbeitung selbst festlegt und sich damit selbst überwachen würde. Betroffen sind vor allem Führungskräfte und Betriebsratsmitglieder. Externe DSBs vermeiden solche Konflikte durch organisatorische Trennung und Neutralität - und genau diese Unterstützung bitetet Proliance.
Interne DSBs haften als Angestellte nur bei grober Fahrlässigkeit oder Vorsatz. Externe DSBs haften zivilrechtlich umfassender bei Pflichtverletzungen oder Falschberatung, verfügen jedoch in der Regel über eine Berufshaftpflichtversicherung. Das Unternehmen trägt stets die Hauptverantwortung gegenüber Betroffenen. Proliance minimiert mithilfe professioneller Beratung durch externe Datenschutzbeauftragte Unternehmenshaftung durch professionelle Absicherung.
Externe DSBs verfügen über aktuelle Fachkompetenz ohne Weiterbildungsaufwand und vermeiden Interessenkonflikte durch organisatorische Trennung. Sie haften zivilrechtlich mit Berufshaftpflichtversicherung bei Beratungsfehlern. Professionelle Dokumentation und proaktive Risikoerkennung senken Bußgeldrisiken für Ihr Unternehmen. Proliance bietet persönliche Ansprechpartner mit Branchenexpertise, rechtssichere Beratung durch Volljuristen und pragmatische Lösungen für KMU ohne übermäßige Bürokratie.
Sie haben noch Fragen zum Thema? Lassen Sie sich jetzt kostenlos von unseren Expertinnen und Experten beraten.
.jpg)
Zu unseren mehr als 2.500 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
