Was Datenschutzbeauftragte und Unternehmen wissen müssen
Datenschutzbeauftragte (DSB) tragen eine zentrale Verantwortung im Unternehmen: Sie beraten, kontrollieren und begleiten alle Prozesse, die personenbezogene Daten betreffen. Doch immer wieder stellt sich die Frage:
Wie weit reicht die Haftung eines Datenschutzbeauftragten nach DSGVO und BDSG – und wann droht persönliches Risiko?
In diesem Beitrag erfährst du, welche gesetzlichen Grundlagen gelten, wie Gerichte urteilen und wie sich Datenschutzbeauftragte und Unternehmen wirksam absichern können.
1. Aufgaben und Rolle des Datenschutzbeauftragten
Nach Art. 37–39 DSGVO überwacht der Datenschutzbeauftragte die Einhaltung der Datenschutzvorschriften, schult Mitarbeitende und dient als Ansprechpartner für Behörden und Betroffene.
Er wird in alle Datenverarbeitungsprozesse eingebunden, trifft jedoch keine eigenen Entscheidungen über Zwecke oder Mittel der Verarbeitung – diese Verantwortung liegt beim Unternehmen.
Zentrale Aufgaben nach DSGVO:
- Beratung der Geschäftsführung und Beschäftigten
- Überwachung der Umsetzung datenschutzrechtlicher Vorgaben
- Begleitung von Datenschutz-Folgenabschätzungen
- Schulung und Sensibilisierung der Mitarbeitenden
- Schnittstelle zur Aufsichtsbehörde
Im nationalen Recht ergänzen §§ 38–39 BDSG diese Pflichten, insbesondere für öffentliche Stellen.
Wichtig: Die Hauptverantwortung für Datenschutzverletzungen liegt immer beim Verantwortlichen, also dem Unternehmen selbst.
2. Rechtliche Grundlagen der Haftung
Nach Art. 82 DSGVO haften grundsätzlich nur der Verantwortliche oder der Auftragsverarbeiter für Datenschutzverstöße.
Ein Datenschutzbeauftragter ist keiner dieser Rollen zugeordnet – er ist Berater und Kontrollinstanz, kein Verantwortlicher.
Daher ist eine direkte Haftung nach DSGVO ausgeschlossen. Dennoch kann in bestimmten Fällen eine mittelbare Haftung nach deutschem Zivilrecht (BGB) entstehen.
3. Haftung interner Datenschutzbeauftragter
Interne DSB sind in der Regel Arbeitnehmer nach § 611a BGB. Für sie gilt die Arbeitnehmerhaftung:
- Bei leichter Fahrlässigkeit: keine persönliche Haftung – der Arbeitgeber trägt den Schaden.
- Bei mittlerer Fahrlässigkeit: anteilige Haftung nach Billigkeit.
- Bei grober Fahrlässigkeit oder Vorsatz: volle Haftung möglich.
Das Unternehmen muss den internen DSB grundsätzlich freistellen, wenn dieser nur einfach fahrlässig gehandelt hat.
→ Fazit: Für interne Datenschutzbeauftragte besteht ein weitreichendes Haftungsprivileg.
4. Haftung externer Datenschutzbeauftragter
Externe Datenschutzbeauftragte schließen meist einen Dienstvertrag (§ 675 BGB) mit dem Unternehmen. Da kein Arbeitsverhältnis besteht, gilt hier keine Arbeitnehmerhaftung – sie haften grundsätzlich voll nach den allgemeinen Regeln der Vertragsverletzung (§§ 280 ff. BGB).
In der Praxis wird diese Haftung aber vertraglich begrenzt:
- Haftungsbeschränkung auf Vorsatz und grobe Fahrlässigkeit
- Vereinbarung eines Höchstbetrags (z. B. einfache oder zweifache Jahresvergütung)
- Pflicht zum Nachweis einer Berufshaftpflichtversicherung
Viele Unternehmen verlangen zusätzlich eine Haftungsfreistellungsklausel, um das eigene Risiko weiter zu reduzieren.
5. Keine direkte Haftung nach BDSG
Das Bundesdatenschutzgesetz (BDSG) enthält keine eigenständigen Haftungsvorschriften für Datenschutzbeauftragte.
§ 43 BDSG sieht zwar Bußgelder bis zu 10 Mio. € oder 2 % des Jahresumsatzes vor, wenn ein erforderlicher DSB nicht bestellt wird –
dies betrifft aber ausschließlich das Unternehmen, nicht den DSB persönlich.
6. Deliktische Haftung (zivilrechtliche Sonderfälle)
Theoretisch könnten Datenschutzbeauftragte nach §§ 823 Abs. 1 und 2 BGB in Verbindung mit Art. 39 DSGVO haften – etwa bei grober Fehlberatung oder Verletzung der Vertraulichkeit.
Art. 39 DSGVO gilt als sogenanntes Schutzgesetz für Betroffene.
In der Praxis ist eine solche Haftung jedoch äußerst selten:
- Die Kausalität zwischen Handlung des DSB und Schaden ist schwer nachweisbar.
- Gerichte sehen den DSB nicht als „Verantwortlichen“, sondern als Berater.
Kurz gesagt: Eine persönliche Schadensersatzpflicht des Datenschutzbeauftragten ist rechtlich möglich – praktisch aber kaum durchsetzbar.
7. Aktuelle Rechtsprechung zur Haftung von Datenschutzbeauftragten
Die deutsche Rechtsprechung bestätigt regelmäßig, dass Datenschutzbeauftragte nicht als Verantwortliche haften.
Beispiel:
Das OLG München entschied, dass im Falle eines Datenschutzverstoßes einer Hausverwaltung ausschließlich die Hausverwaltung als Verantwortlicher haftet – nicht deren DSB.
Damit folgt die Rechtsprechung konsequent dem Grundgedanken der DSGVO:
Der Datenschutzbeauftragte ist Überwacher, nicht Verantwortlicher.
8. Tipps zur Haftungsvermeidung für DSB und Unternehmen
Auch wenn das Risiko gering ist, sollten Datenschutzbeauftragte und Unternehmen vorsorgen.
Die wichtigsten Maßnahmen zur Haftungsvermeidung:
1. Lückenlose Dokumentation
Alle Empfehlungen, Prüfungen und Schulungen sollten revisionssicher dokumentiert werden. So kann der DSB jederzeit nachweisen, dass er seine Pflichten erfüllt hat.
2. Klare Verträge und Haftungsgrenzen
Bei externen DSB sind schriftliche Dienstverträge Pflicht. Darin sollten Haftungsbegrenzungen, Freistellungen und Versicherungspflichten eindeutig geregelt sein.
3. Umsetzung von Empfehlungen
Unternehmen sollten die Hinweise des DSB ernst nehmen.
Unterbleibt die Umsetzung und entsteht ein Schaden, haftet in der Regel ausschließlich das Unternehmen.
4. Fortbildung und Fachkenntnis
Regelmäßige Schulungen und Zertifikate sichern die Qualifikation des DSB ab – und schützen vor Beratungsfehlern.
5. Unabhängigkeit und Kommunikation
Der DSB muss weisungsfrei arbeiten. Gleichzeitig sollte er regelmäßig und offen mit der Geschäftsführung kommunizieren, um Missverständnisse zu vermeiden.
6. Datenschutz-Management-System nutzen
Ein strukturiertes Datenschutz-Management mit Audits, Verantwortlichkeitslisten und Protokollen reduziert Risiken erheblich.
9. Zusammenfassung
In Deutschland ist klar geregelt:
Ein Datenschutzbeauftragter haftet nicht wie ein Verantwortlicher für Datenschutzverstöße seines Unternehmens.
Die Haftung Datenschutzbeauftragter greift nur in Ausnahmefällen – etwa bei vorsätzlicher Pflichtverletzung oder grober Fahrlässigkeit.
- Interne DSB: geschützt durch Arbeitnehmerhaftung
- Externe DSB: haftungsbeschränkt durch Dienstvertrag
- Unternehmen: bleibt Hauptverantwortlicher nach Art. 4 Nr. 7 und 82 DSGVO
Mit sorgfältiger Dokumentation, klaren Verträgen, fachlicher Weiterbildung und geeigneter Versicherung lässt sich das Restrisiko nahezu ausschließen.
FAQ: Haftung Datenschutzbeauftragter
Wer haftet bei einem Datenschutzverstoß – das Unternehmen oder der DSB?
Immer das Unternehmen als Verantwortlicher. Der DSB haftet nur bei Vorsatz oder grober Fahrlässigkeit.
Kann ein externer Datenschutzbeauftragter persönlich haftbar gemacht werden?
Ja, theoretisch nach BGB, praktisch jedoch nur bei gravierenden Pflichtverletzungen. Vertragliche Haftungsgrenzen sind üblich.
Gilt das Arbeitnehmerprivileg auch für interne DSB?
Ja – sie haften bei einfacher Fahrlässigkeit in der Regel nicht persönlich.
Braucht ein externer DSB eine Versicherung?
Unbedingt. Eine Vermögensschaden-Haftpflichtversicherung schützt vor Regressforderungen und ist Branchenstandard.
Fazit und Praxistipp
Für sorgfältig arbeitende Datenschutzbeauftragte besteht kein erhöhtes persönliches Haftungsrisiko.
Die Verantwortung für Datenschutzverstöße bleibt beim Unternehmen – doch nur, wenn beide Seiten Dokumentation, Kommunikation und Verträge im Griff haben.
Unser Tipp: Mit PLANIT // PRIMA kannst du komplexe Datenschutz-Dokumentationen einfach, rechtssicher und effizient umsetzen.
Jetzt 14 Tage kostenlos testen!
