Source: https://www.datenschutzbeauftragter-info.de/die-persoenliche-haftung-des-internen-betrieblichen-datenschutzbeauftragten/
Timestamp: 2018-08-21 00:22:38+00:00

Document:
29. September 2015 |	18 Kommentare | von Felix Hudy
Wie wir wissen, ist der betriebliche Datenschutzbeauftragte nicht persönlich zur Durchsetzung datenschutzrechtlicher Vorschriften im Unternehmen verpflichtet, sondern soll nach § 4g Abs. 1 Satz 1 BDSG auf die Einhaltung der Vorschriften über den Datenschutz hinwirken. Gleichwohl kann er unter Umständen für Pflichtverletzungen und dadurch entstandene Schäden persönlich haftbar gemacht werden. Und wie sieht es überhaupt ab Mai 2018 aus, wenn die Datenschutzgrundverordnung (DSGVO) unmittelbar in allen Mitgliedsstaaten gilt?
Haftung gegenüber der verantwortlichen Stelle
Zwar ist datenschutzrechtlich die verantwortliche Stelle stets das jeweilige Unternehmen selbst. Doch sowohl dem Unternehmen, das den Datenschutzbeauftragten bestellt hat, als auch Betroffenen können Schadensersatzansprüche zustehen.
Ein Schaden der verantwortlichen Stelle kann etwa dann entstehen, wenn gegen diese nach einer falschen Beratung oder fehlerhaft durchgeführten Vorabkontrolle durch den internen Datenschutzbeauftragten ein Bußgeld durch die Aufsichtsbehörde ausgesprochen wird. Ein Schadensersatzanspruch der verantwortlichen Stelle gegenüber dem internen Datenschutzbeauftragten dürfte sich dann in Regel aus § 280 BGB unter Berücksichtigung der arbeitsrechtlichen Beweislastverteilung nach § 619a BGB ergeben.
Haftung gegenüber dem Betroffenen
Mangels vertraglicher Beziehungen kommt eine Haftung des internen betrieblichen Datenschutzbeauftragten für Schäden von Betroffenen regelmäßig aus deliktischen Ansprüchen, sog. unerlaubten Handlungen, nach § 823 BGB in Betracht.
Dies ist z.B. denkbar, wenn ein Unternehmen aufgrund einer objektiv falschen Beratung eine datenschutzrechtlich unzulässige Maßnahme durchführt und ein Betroffener in Folge dessen einen Schaden erleidet.
Haftungserleichterung durch innerbetrieblichen Schadensausgleich
Allerdings haftet der interne betriebliche Datenschutzbeauftragte als Arbeitnehmer nur eingeschränkt nach Verschuldensform:
Vorsatz oder grobe Fahrlässigkeit: Arbeitnehmer haftet regelmäßig allein und in vollem Umfang
Normale Fahrlässigkeit: Quotale Verteilung zwischen Arbeitgeber und Arbeitnehmer
Leichte Fahrlässigkeit: Arbeitnehmer ist von der Haftung freizustellen
Von diesen durch die Rechtsprechung entwickelten Grundsätzen zum innerbetrieblichen Schadensausgleich darf nicht zulasten des Arbeitnehmers abgewichen werden. Dem internen betrieblichen Datenschutzbeauftragten kommt damit bei Pflichtverletzungen eine gewisse Haftungserleichterung zugute.
Haftungsrisiko nicht sicher kalkulierbar
Obwohl die Haftung des Datenschutzbeauftragten bislang in der Praxis keine überragende Bedeutung einnimmt, sind die Risiken nicht verlässlich zu kalkulieren. Zumindest zeigen die Veröffentlichungen der Aufsichtsbehörden, dass die Anzahl der Bußgeldverfahren in den letzten Jahren zugenommen hat und sich die verhängten Bußgelder teilweise erheblich erhöht haben. Dementsprechend dürfte künftig auch die Frage nach der Haftung des Datenschutzbeauftragten an Bedeutung gewinnen.
Bei Bußgeldern von bis zu 300.000,00 EUR pro Verstoß droht selbst Arbeitnehmern in ihrer Rolle als interner Datenschutzbeauftragter bei normaler Fahrlässigkeit und entsprechender Haftungsverteilung nach Quote ein nicht unerhebliches finanzielles Risiko.
Haftung des externen betrieblichen Datenschutzbeauftragten
Externen Datenschutzbeauftragten kommen mangels Arbeitsverhältnis mit der verantwortlichen Stelle die Haftungsprivilegierungen und -erleichterungen des Arbeitsrechts nicht zu Gute. In der Regel haften sie daher gegenüber dem jeweils Geschädigten schon bei leichter Fahrlässigkeit in voller Höhe.
Haftungsrisiko minimieren
Aufgrund der besonderen rechtlichen Stellung des Konzerndatenschutzbeauftragten empfiehlt es sich, dessen persönliches Haftungsrisiko zu minimieren. Dies kann z.B. durch zusätzliche verbindliche Vereinbarungen der Konzernunternehmen erfolgen, nach denen die Grundsätze des innerbetrieblichen Schadensausgleichs entsprechend auf sämtliche Konzernunternehmen anzuwenden sind.
Noch vorteilhafter für den internen oder Konzerndatenschutzbeauftragten wäre die vertragliche Vereinbarung einer kompletten Haftungsfreistellung. Bei diesen Lösungen bleibt jedoch das Haftungsrisiko der Unternehmen als verantwortliche Stelle bestehen.
Haftung nach den Regelungen der DSGVO
Ab dem 25. Mai 2018 findet die DSGVO unmittelbar in allen Mitgliedsstaaten der EU Anwendung. Mit den dann geltenden Regelungen sollte neben einigen anderen Neuerungen ein größeres Augenmerk auf die neuen Haftungsregelungen gelegt werden. Während der Datenschutzbeauftragte wie bereits erläutert nach den Regelungen des BDSG nur auf die Einhaltung der datenschutzrechtlichen Vorgaben hinzuwirken hatte, erhält dieser künftig eine umfassende Überwachungspflicht (vgl. Art. 39 Abs. 1b) DSGVO). Aus dieser Überwachungspflicht resultiert dann, dass bei einer Verletzung eben dieser Pflicht drakonische Geldbußen drohen: Nach Art. 83 Abs. 4 DSGVO können diese eine Höhe von 10 Mio. Euro oder bei Unternehmen 2% des weltweit erzielten Jahresumsatzes, je nachdem, welches der höhere Betrag ist, erreichen.
Externer Datenschutzbeauftragter als Gesamtlösung
Als sehr praktikable Lösung empfehlen wir daher als Beratungsunternehmen für Datenschutz die Bestellung eines externen Spezialisten zum (Konzern-) Datenschutzbeauftragten.
Zum einen liegt hierin der Vorteil, dass regelmäßig eine größere Fachkunde und Erfahrung zu erwarten ist. Da künftig höhere Anforderungen an den Datenschutzbeauftragten selbst gestellt werden und auch zahlreiche Nachweis- und Rechenschaftspflichten auf Unternehmensseite zu beachten sind. In Kombination mit den nunmehr vorgesehenen horrenden Geldbußen, ist eine tiefgreifende Expertise ein klarer (wirtschaftlicher) Gewinn. Zum anderen hat dies für Konzerne den Vorteil, dass in der Regel keine Haftungserleichterungen für Schäden aufgrund von Pflichtverletzungen vereinbart werden. Sie müssen mangels arbeitsrechtlichem Freistellungsanspruch auch nicht über den Umweg der Inanspruchnahme des Beauftragten für Schäden von Betroffenen aufkommen.
Auch in der Fachliteratur wird diese Ansicht geteilt und gewinnt in der Praxis zunehmend an Bedeutung:
„Dieser Aspekt wird aufgrund der aufsichtsbehörden- und gesetzgebungsseitig zunehmenden Haftungsrisiken der verantwortlichen Stelle und der steigenden Gefahr von öffentlichkeitswirksamen Imageschäden mehr und mehr zu einem Kriterium bei der Entscheidung für einen externen Datenschutzbeauftragten gegenüber einer internen Lösung.“
(Münchener Anwaltshandbuch IT-Recht, Teil 5. Datenschutzrecht Rn. 328 – 333)
Felix Hudy	Rechtsanwalt
Die Digitalisierung verändert unsere Gesellschaft. Als Blogger kann ich dazu beitragen, ihre Chancen, aber auch ihre Risiken im Spannungsfeld zwischen Unternehmsinteressen und dem Schutz der Privatsphäre greifbar und anschaulich zu machen. mehr →
Betrieblicher Datenschutzbeauftragter – Wie sieht die Haftung aus?
Datenschutz-Grundverordnung (DSGVO) – Datenschutzbeauftragter
Mehr zum Thema: Betrieblicher Datenschutzbeauftragter, externer Datenschutzbeauftragter, Haftung, Haftungsbeschränkung, Konzerndatenschutz, Konzerndatenschutzbeauftragter
18 Kommentare zu diesem Beitrag
Der erste Halbsatz ist etwas unglücklich formuliert, auch der DSB muss sich an datenschutzrechtliche Vorschriften halten.
… „zur Durchsetzung“ anstatt „zur Einhaltung“
Man könnte auch noch einfügen:
“ …im Unternehmen (verantwortliche Stelle)“
interner Datenschutzbeauftragter am 30. September 2015, 09:45 Uhr
Vielen Dank für Ihren Hinweis. Tatsächlich war unsere Formulierung etwas unglücklich und missverständlich. Auf Ihren Hinweis haben wir daher den Artikel korrigiert.
Dr. Datenschutz am 30. September 2015, 16:24 Uhr
Problem Konzerndatenschutz: „In der Regel haften Sie daher gegenüber dem jeweils Geschädigten schon bei leichter Fahrlässigkeit in voller Höhe.“
Schlüsselfrage ist hier, was „in der Regel“ vereinbart wird.
– Wenn die Bestellung als Externer Teil des Arbeitsvertrages mit der Konzernmutter ist, gilt die Haftungsbeschränbkung auch im Außenverhältnis. Der Arbeitnehmer hat dann ggf. einen Freistellungsanspruch gegen die Mutter.
– Wird hingegen nur die Bestellungsurkunde zum Externen unterzeichnet (ohne daß eine Gegenleistung vereinbart wird), handelt es sich um einen unentgeltlichen Auftrag und die Haftungserleichterung ergibt sich aus der Gesamtanalogie zu §§ 521, 599, 680 BGB.
Loer am 30. September 2015, 11:37 Uhr
Gibt es für die „kompletten Haftungsfreistellung“ eine Vorlage nach der man sich richten kann?
Datenschützer am 1. Oktober 2015, 10:19 Uhr
Wie sieht es mit der Haftung des einzelnen Arbeitnehmers aus?
Fragen über Fragen am 13. Juni 2016, 10:12 Uhr
Gibt es für die „komplette Haftungsfreistellung“ eine Mustervereinbarung?
AndreasK am 2. Dezember 2016, 09:30 Uhr
Eine Mustervereinbarung zur allgemeinen Haftungsfreistellung des internen Datenschutzbeauftragten liegt nicht vor. Da sich die Haftung des internen Datenschutzbeauftragten nach den allgemeinen arbeitsrechtlichen Grundsätzen richtet, sollte hier die Erforderlichkeit und der Inhalt auch von einem entsprechenden Fachanwalt geprüft werden.
Dr. Datenschutz am 2. Dezember 2016, 17:06 Uhr
Also wird es bald keine internen DSB mehr geben, weil das Haftungsrisiko zu groß ist?
JoeJoh am 19. Dezember 2016, 10:08 Uhr
Ich glaube nicht, dass das oben geschilderte Haftungsrisiko zu einem Rückgang von internen betrieblichen Datenschutzbeauftragten führt.
Jedoch wird durch die DSGVO die Haftung des Datenschutzbeauftragten (intern sowie extern) etwas verschärft bzw. seine Pflichten erweitert. Darüber hinaus wird das Datenschutzrecht insgesamt anspruchsvoller. All dies könnte dazu führen, dass die Bedeutung des internen Datenschutzbeauftragten künftig abnimmt.
Dr. Datenschutz am 19. Dezember 2016, 13:54 Uhr
Absatz:Haftung des externen betrieblichen Datenschutzbeauftragten „In der Regel haften Sie daher gegenüber dem jeweils Geschädigten schon bei leichter Fahrlässigkeit in voller Höhe.“ enthält einen sinnentstellenden Rechtschreibfehler! „In der Regel haften sie …“ muss es heißen.
Hingucker am 5. Dezember 2017, 18:07 Uhr
Vielen Dank. Haben wir geändert.
Dr. Datenschutz am 13. Dezember 2017, 14:00 Uhr
Wird es auch nach zukünftigem Recht möglich sein, sich als interner Datenschutzbeauftragte im Wege einer vertraglichen Vereinbarung von Haftungsansprüchen zu befreien oder liegt dann zum beispiel eine (unwirksame) Vereinbarung zu Lasten Dritter vor?
BeginnerCMW am 26. März 2018, 16:22 Uhr
Mögliche Schadensersatzansprüche der verantwortlichen Stelle und/oder des Betroffenen gegen den internen Datenschutzbeauftragten sind nach den schuldrechtlichen Grundsätzen und der Delikthaftung zu bestimmen, die von der DSGVO unberührt bleiben.
Auch die arbeitsrechtlichen Haftungsprivilegierungen des internen Datenschutzbeauftragten als Arbeitnehmer werden nicht durch die DSGVO beeinflusst. Da sich die Haftung des internen Datenschutzbeauftragten nach allgemeinen arbeitsrechtlichen Grundsätzen richtet, sollte eine entsprechende vertragliche Vereinbarung von einem Fachanwalt für Arbeitsrecht geprüft werden.
Dr. Datenschutz am 28. März 2018, 10:10 Uhr
Die Verletzung der Überwachungspflicht des DSB löst für den DSB keine Bußgelder aus, allenfalls für das Unternehmen, das beim DSB Regress nehmen könnte. Siehe Gutachten des BvD.
Datenschützer am 28. März 2018, 06:02 Uhr
Wo finde ich dieses Gutachten ?
Reika am 30. März 2018, 08:11 Uhr
Eine vielleicht etwas unqualifizierte Frage. Mir wurde heute mitgeteilt das ich der Datenschutzbeauftragte für meine Abteilung werden soll. Um diese Aufgabe ausführen zu können werde ich eine Einstündige Schulung erhalten. Ich bin Kaufmann (und 0815 Mitarbeiter), kein Jurist, nachdem was ich bisher über die neue Verordung herausgefunden habe erscheint mir das ungenügend. Wie sieht es mit der Haftung für mich aus?
Immer Neugierig am 26. April 2018, 22:15 Uhr
Da muss ich zurückfragen: Sie sind verantwortlich für den Datenschutz in Ihrer Abteilung? Oder tatsächlich als offizieller Datenschutzbeauftragter (DSB) für Ihr Unternehmen benannt worden? Für letzteres ist nachweisbare Fachkunde erforderlich: Der DSB muss auf Basis seiner beruflichen Qualifikation und seines Fachwissens auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie der Fähigkeit zur Erfüllung der in Art. 39 DSGVO genannten Aufgaben benannt werden, Art. 37 Abs. 5 DS-GVO. Insofern haben Sie recht, allein eine einstündige Schulung wird für den DSB eines Unternehmens in den meisten Fällen nicht ausreichen.
Die Frage der Haftung des DSB kann ich hier nicht angemessen beantworten. Soviel aber: Als Arbeitnehmer käme Ihnen im Haftungsfall der sogenannte „innerbetrieblichen Schadensausgleich“ zugute. Ein Schaden muss danach nur dann vom Mitarbeiter aus eigener Tasche gezahlt werden, wenn dieser vorsätzlich oder grob fahrlässig verursacht wurde.
Dr. Datenschutz am 30. April 2018, 10:04 Uhr
Worin besteht denn die nachweisbare Fachkunde und Qualifikation eines externen Datenschutzbeauftragten?
KJ am 22. Mai 2018, 14:21 Uhr
Archiv: Monat auswählen August 2018 (14) Juli 2018 (21) Juni 2018 (21) Mai 2018 (20) April 2018 (20) März 2018 (21) Februar 2018 (20) Januar 2018 (23) Dezember 2017 (20) November 2017 (22) Oktober 2017 (20) September 2017 (22) August 2017 (23) Juli 2017 (21) Juni 2017 (21) Mai 2017 (21) April 2017 (18) März 2017 (23) Februar 2017 (20) Januar 2017 (22) Dezember 2016 (22) November 2016 (22) Oktober 2016 (20) September 2016 (22) August 2016 (23) Juli 2016 (21) Juni 2016 (22) Mai 2016 (20) April 2016 (22) März 2016 (28) Februar 2016 (20) Januar 2016 (20) Dezember 2015 (20) November 2015 (21) Oktober 2015 (22) September 2015 (22) August 2015 (21) Juli 2015 (23) Juni 2015 (22) Mai 2015 (18) April 2015 (20) März 2015 (23) Februar 2015 (20) Januar 2015 (22) Dezember 2014 (22) November 2014 (20) Oktober 2014 (22) September 2014 (22) August 2014 (21) Juli 2014 (24) Juni 2014 (19) Mai 2014 (21) April 2014 (21) März 2014 (20) Februar 2014 (20) Januar 2014 (22) Dezember 2013 (21) November 2013 (21) Oktober 2013 (22) September 2013 (21) August 2013 (20) Juli 2013 (23) Juni 2013 (20) Mai 2013 (19) April 2013 (21) März 2013 (20) Februar 2013 (19) Januar 2013 (22) Dezember 2012 (20) November 2012 (22) Oktober 2012 (22) September 2012 (20) August 2012 (24) Juli 2012 (23) Juni 2012 (21) Mai 2012 (20) April 2012 (18) März 2012 (21) Februar 2012 (20) Januar 2012 (22) Dezember 2011 (22) November 2011 (20) Oktober 2011 (22) September 2011 (24) August 2011 (24) Juli 2011 (22) Juni 2011 (21) Mai 2011 (22) April 2011 (19) März 2011 (22) Februar 2011 (21) Januar 2011 (21) Dezember 2010 (23) November 2010 (24) Oktober 2010 (21) September 2010 (23) August 2010 (24) Juli 2010 (23) Juni 2010 (24) Mai 2010 (19) April 2010 (17) März 2010 (13) Februar 2010 (2) Januar 2010 (4)

References: § 4
 § 280
 § 619
 § 823
 Art. 39
 Art. 83
 Art. 39
 Art. 37