Source: https://www.kanzlei.de/rechtsgebiete/datenschutz-und-datensicherheit/personliche-haftung-des-datenschutzbeauftragten-garant-fur-die-datensicherheit-bgh-urteil-vom-17-07-2009-5-str-39408
Timestamp: 2018-07-20 03:03:12
Document Index: 283584134

Matched Legal Cases: ['BGH', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', '§ 203', '§ 23', 'BGH']

Persönliche Haftung des Datenschutzbeauftragten: Garant für die Datensicherheit? (BGH, Urteil vom 17.07.2009, 5 StR 394/08) | esb Rechtsanwälte
Persönliche Haftung des Datenschutzbeauftragten: Garant für die Datensicherheit? (BGH, Urteil vom 17.07.2009, 5 StR 394/08)
Rechtsanwalt und Fachanwalt für IT-Recht Dr. Jens Bücking, Stuttgart
Zugleich eine Erörterung der Haftung des IT-Sicherheitsbeauftragten
Nach einem Aufsehen erregenden Urteil des Bundesgerichtshofs (BGH) zur Strafbarkeit des Compliance-Officers als Unterlassungsgarant für die Verhinderung von Rechtsverstößen wird zwischenzeitlich auch eine entsprechende Anwendung der dortigen Urteilserwägungen auf den betrieblichen Datenschutzbeauftragten diskutiert.
Ebenso wie beim der Compliance-Officer ist es nämlich pro-aktive Aufgabe des Datenschutzbeauftragten, auf die Einhaltung der datenschutz- und datensicherheitsrechtlichen Vorschriften hinzuwirken. In der Praxis findet sich zudem oftmals die delikate Konstellation einer Personalunion von Compliance-Officer und Datenschutzbeauftragtem wegen der teilweisen Aufgabenüberschneidung (und eines teilweise ähnlich ausgestalteten Weisungsgefüges).
Diese Vermengung birgt freilich schon funktional das Problem einander widerstreitender Interessen bei der Implementierung von Maßnahmen zur Überwachung der Einhaltung betrieblicher und/oder gesetzlicher Compliance-Vorschriften.
Dies bringt es mit sich bringt, dass für eine solche Personalunion eine strikte Trennung der jeweiligen Verantwortungsbereiche dokumentiert sein muss. Die unternehmerische Verpflichtung zum Aufbau eines IT-/Datenschutz-Compliance-Systems darf nicht in Konflikt mit der Weisungsfreiheit und Unabhängigkeit des Datenschutzbeauftragtenmandats geraten.
Aus diesem Grunde wird zunehmend der Weg des Outsourcing der Aufgaben des betrieblichen Datenschutzbeauftragten an externe Fachleute gegangen.
Aus der BGH-Entscheidung ist nun allerdings – auch wenn Gegenstand der Beurteilung der Pflichtenkreis eines Compliance-Officers und nicht eines betrieblichen Datenschutzbeauftragten war – die Tendenz abzuleiten, dass alle Sonderbeauftragten entsprechende Pflichten treffen können. Darüber hinaus kann sich eine entsprechende Verpflichtung aber auch bereits (gegebenenfalls auch stillschweigend) aus dem Anstellungsvertragsverhältnis in seiner gelebten Praxis ergeben. Dies gilt insbesondere dann, wenn eine Rechtspflicht zur Vermeidung von (insbesondere) Wirtschaftsdelikten Gegenstand des Pflichtenkreises ist, insbesondere also Überwachungs- und Schutzpflichten übernommen werden. Dies gilt zwar in erster Linie für Compliance-Beauftragte, deren originäre Verpflichtung ja gerade die Unterbindung von Rechtsverstößen ist; mit dem BGH muss hier ein besonderes Vertrauensverhältnis hinzukommen, das das Management dazu veranlasst hat, besondere Schutzpflichten zu überantworten. Über den unmittelbaren Anwendungsbereich des Urteils hinaus lassen sich diese Grundsätze allerdings auch auf andere Sonderbeauftragte übertragen, was insbesondere für Datenschutzbeauftragte gelten könnte.
Um die Betroffenen „aus der Schusslinie“ zu nehmen, wäre – neben dem Erfordernis eines effizienten und fortwährend durch interne Kontrollsysteme zu überprüfenden Compliance-System – auch notwendig, die entsprechenden Verantwortungsbereiche der Sonderbeauftragten klar von einander abzugrenzen und – insbesondere, was den Datenschutzbeauftragten anbelangt – mit klarstellenden Verantwortlichkeitszuweisungen zu versehen, um hier im Schadensfalle eine Haftungsfreistellung bewirken zu können.
Denn zwar trifft es zu, dass der Datenschutzbeauftragte grundsätzlich in der Ausübung seines Mandats weisungsfrei ist, hierbei nicht benachteiligt werden darf und im Gegenteil durch das Unternehmen bzw. die Behörde bei der Umsetzung seiner Aufgaben zu fördern und zu unterstützen ist. Allerdings stehen im Fokus insbesondere die Gemengelagen einer Personalunion oder sich überschneidender Verantwortlichkeitsbereiche. Das erforderliche ganzheitliche IT-Risikomanagement beinhaltet hierbei auch ein Sicherheitskonzept, das in technischer Hinsicht konzipiert und überwacht wird im Verantwortungsbereich der IT-Sicherheit – und damit originäre Aufgabe des IT-Sicherheitsbeauftragten und (übergeordnet) des Compliance-Officers ist. Das Datenschutzkonzept ist jedoch ein Teil dieses übergeordneten Konzepts. Besonders schützenswerte Daten – etwa solche, die der Vorabkontrollpflicht unterfallen – stellen wiederum besondere Anforderungen an die IT-Compliance, die also in ihrer Abhängigkeit vom Schutzgrad der zu schützenden Daten und IT-Systeme in einer datenschutz-/datensicherheitsrechtlichen Wechselwirkung steht.
Sind hier die Verantwortungsbereiche nicht klar abgegrenzt, besteht keine Veranlassung, von den durch den BGH im Falle des Compliance-Officers aufgezeigten Maßstäben abzuweichen.
Dieselben Überlegungen gelten für den IT-Sicherheitsbeauftragten, insbesondere, wenn dieser als sogenannter CIO auf der Führungsebene angesiedelt ist.
§ 203 StGB und die Strafhaftung von Berufsgeheimnisträgern in der IT
Die Beschaffung von IT in der öffentlichen Verwaltung: wie die IT-Sicherheitsvorgaben anbieterseitig erfüllt werden können.
Die Rechtslage bei Filesharing, Streaming und Framing; Verhalten bei Abmahnungen
Rechtsberatung muss gesondert von technologischer Beratung ausgeschrieben werden (Entscheidung der Vergabekammer des Landes Brandenburg, Beschl. v. 03.09.2014 – VK 14/14)
Revisionssichere Digitalisierung, neue GoBD ab 1.1.2015 und EIDAS-Verordnung ab 1.7.2016
Verbesserung des Beweisrechtes für elektronische Dokumente durch das E-Justiz-Gesetz
Was ändert sich bei der elektronischen Rechnung durch das BMF-Schreiben zum Steuervereinfachungsgesetz und die Änderung der GdPdU?
10 Jahre elektronische Steueraußenprüfung nach den GDPdU – aus Sicht des Mittelstands
Agile Softwareentwicklung und „Scrum“: Vertragsrechtliche Besonderheiten
Bring your own device (BYOD): Konzepte zur besseren Beherrschbarkei der Sicherheits- und Rechtsrisiken von Smartphones, Tablets & Co.
Checkliste Archivierung
Die E-Mail als neue elektronische Rechnung?
E-Discovery, Compliance und Anti-Korruptions-Policies
Glücksspiel online / offline: künftige Anforderungen an Betreiber
IT-Trends und deren Bedeutung für kleinere und mittelständische Unternehmen (KMUs)
Keine Rechtssicherheit bei der elektronischen Personalakte?
Ab dem 25.05.2018 gilt es: Checkliste umzusetzender Maßnahmen nach der EU-Datenschutzgrundverordnung (EU-DSGVO)
Applicable from 25.05.2018: Check list of measures to be implemented according to the EU General Data Protection Regulation (EU GDPR).
Backups und Archive – wie weit geht die Löschpflicht für personenbezogene Daten?
BREXIT: Abrupter Strömungsabriss beim Datenaustausch zwischen der EU und Großbritannien?
Cloud – Sourcing vs. IT-Security & Privacy: a short legal assessment
Compliance-Pflicht E-Mail-Verschlüsselung?
Datenschutzkonforme Archivierung in der Cloud
Mitwirkungspflichten und Sanktionsmittel bei Datenschutzprüfungen
Rechtssicheres Backup als Verpflichtung der IT-Compliance
Update: Folgen der Ungültigkeit von Safe Harbor – was bleibt noch übrig?
Auskunftsansprüche gegen Twitter und Co.?
Datenschutz bei VoIP und CTI Telefonanlagen
Konzerndatenschutz und Datensicherheit
Kostenchance / Haftungsfalle Outsourcing: Unternehmenskritische Daten in die Cloud?
Privates Surfen am Arbeitsplatz: Ein rechtliches Eigentor?
Markenrecht (inkl. Domainrecht)
0. Vorschau: Marken- und Namensrecht im Internet – Domainrecht (Serie)
I. Was ist eigentlich eine “Domain”?
II. Domains und Mailadressen als schutzfähige Kennzeichen
III. Ansprüche gegen den Domaininhaber: Markenrecht versus Namensrecht (Deliktsrecht, Wettbewerbsrecht)?
IV. Domains und Verwechslungsgefahr
IX. Name / Gattungsbezeichnung; mehrdeutige Begriffe in Domainnamen
V. Verwechselungsgefahr: Ausräumung (noch) auf der Homepage?
VII. Rechtserhaltende Benutzung einer Marke durch Domaingebrauch?
VIII. Bestandsschutz der Domain gegenüber zeitlich späterem Kennzeichenrecht?
X. Benutzungszwang – rechtserhaltende Benutzung einer Marke durch Domaingebrauch?
XI. Markenbenutzung im geschäftlichen Verkehr via Domain; Reservierungsproblematik; Domain-Parking
XII. Kennzeichenmäßiger Gebrauch der Domain als Verbotsanspruchsvoraussetzung
XIII. Notwendige beschreibende Angaben in der Domain – §§ 23, 24 MarkenG als domainrechtliche Schutzschranken?
XIV. Verwechselungsfähigkeit und Unterscheidungskraft zwischen Marke und Domain
XIX.	Unlautere Irreführung durch die Wahl eines Domainnamens
XV. Domain gegen Marke: Kennzeichenrechtliches Abstandsgebot im Internet
XVI. Verwechslungsgefahr: Relevanz der unter der Domain abrufbaren Webseiteninhalte?
XVII. Relevanz der unter einer Domain abrufbaren Webseiteninhalte außerhalb des Kennzeichenrechts
XVIII. Monopolisierung und Kanalisierung: Zulässigkeit von beschreibenden Domains / Gattungsdomains?
XX. Besteht eine Verpflichtung zu „Domain-Wahrheit“?
XXI.	Suggestion einer Allein- oder Spitzenstellung
XXII. Domainnamen als Ausdruck der Meinungs- und Pressefreiheit?
XXIII. Das Vertragskonstrukt der DE-Domainvergabe
XXIV. Zurückbehaltungsrechte an Domainnamen und Providerwechsel
XXIX. Die Reichweite inländischer Urteile
XXV. Der Domain-Rechtsstreit
XXVI. Haftung der DENIC
XXVII. Die Gerichtszuständigkeit im Domain-Rechtsstreit
XXVIII. Anwendbares Recht
XXX. Verurteilung / Rechtsfolgen
Geistiges Eigentum (insbes. Urheberrecht)
Baufinanzierung, Verbraucherdarlehen & Co.: Widerrufsbelehrungen auf dem Prüfstand
Baufinanzierung: Kündigung / Widerruf und Konditionenanpassung ohne Vorfälligkeitsentschädigung?
BGH: Unwirksame Bankgebühren (“Bearbeitung” etc.) bei Firmenkrediten
Widerruf von Baufinanzierungsverträgen und die Einwände der Banken: Rechtsmissbrauch, Verwirkung?
Widerruf von Finanzierungsverträgen: Inhalt und Ausgestaltung der Widerrufsbelehrung und das Deutlichkeitsgebot
Checkliste Gründung GmbH oder AG
Limited & Co KG-Gründung
Ltd oder UG?
© esb Rechtsanwälte