Wann haftet der Datenschutzbeauftragte?

Der Datenschutzbeauftragte kann bei Verstößen gegen das Datenschutzrecht nur in Ausnahmefällen direkt von den Betroffenen haftungsrechtlich zur Verantwortung gezogen werden. Haftungsgegner ist in solchen Fällen das Unternehmen selbst. Damit stellt sich die Frage, ob und wann das zur Haftung herangezogene Unternehmen bei einem Verstoß gegen Datenschutzrecht Rückgriff gegenüber dem Datenschutzbeauftragen nehmen kann.

Auch wenn das Unternehmen gegenüber dem Betroffenen haftet möchte dieses möglicherweise Rückgriff gegenüber dem Datenschutzbeauftragten nehmen. Es gelten insoweit grundsätzlich die zivilrechtlichen Haftungsregeln für Schlechterfüllung im Rahmen eines bestehenden Dienst- oder Geschäftsbesorgungsvertrag, so dass ein Schadensersatzanspruch wegen Pflichtverletzung nach den §§ 280 ff. BGB in Betracht kommt.

Nötige Unterscheidung: interner oder externer Datenschutzbeauftragter?

Entscheidend ist hierbei die Frage, ob das Unternehmen einen internen oder externen Datenschutzbeauftragten benannt hat. Da der interne Datenschutzbeauftragte als Arbeitnehmer des Unternehmens zugleich in einem Dienstverhältnis steht, finden auf diesen uneingeschränkt die Grundsätze der beschränkten Arbeitnehmerhaftung Anwendung. Kurz gesagt bedeutet dies, dass der Arbeitgeber von dem internen Datenschutzbeauftragten nur den Ersatz derjenigen Schäden verlangen kann, welche dieser grob fahrlässig oder vorsätzlich verursacht hat.

Da die Beweislast hinsichtlich der groben Fahrlässigkeit bzw. des Vorsatzes grundsätzlich beim Arbeitgeber verbleibt, scheidet ein Haftungsrückgriff auf den internen Datenschutzbeauftragten häufig aus. Um Streitigkeiten zu vermeiden sollte aber auch der interne Datenschutzbeauftragte seine Tätigkeit genau dokumentieren und seinen gesetzlich vorgesehenen Nachschulungsverpflichtungen im Datenschutzrecht entsprechen.

Die Haftung des externen Datenschutzbeauftragten

Dagegen haftet der externe Datenschutzbeauftragte im Rahmen des vertraglich Vereinbarten grundsätzlich für alle von ihm verursachten Schäden. Dies gilt auch bei nur leicht fahrlässigen Handlungen, da auf den externen Datenschutzbeauftragten die beschränkte Arbeitnehmerhaftung keine Anwendung findet. Er haftet damit für jegliches Verschulden im Zusammenhang mit der Wahrnehmung seiner Aufgaben.

Beispiele: Wann haftet der Datenschutzbeauftragte?

Der Datenschutzbeauftragte hat gemäß § 4g Abs. 1 S. 1 BDSG auf die Einhaltung des BDSG und anderer datenschutzrechtlicher Vorschriften hinzuwirken. Diese Aufgabe hat er gewissenhaft zu erfüllen. Im Einzelnen wird von ihm hierzu gemäß dem Bundesdatenschutzgesetz neben den Grundkompetenzen im rechtlichen und technischen Bereich sowohl Unparteilichkeit, wie auch Verschwiegenheit, Uneigennützigkeit, Verantwortungsbewusstsein und Unabhängigkeit erwartet. Darüber hinaus muss sich der Datenschutzbeauftragte laufend im Datenschutzrecht fortbilden, um seine gesetzlich erforderliche Fachkunde aufrechtzuerhalten.

Ein Verstoß gegen diese Grundpflichten kann zu einem Haftungsfall führen. Es ergeben sich beispielsweise die folgenden möglichen Haftungstatbestände:

• Mangelhafte Überwachung der betrieblichen Datenverarbeitung hinsichtlich deren Ordnungsmäßigkeit und Verlässlichkeit (§ 4g Abs. 1 S. 4 BDSG); insoweit ist eine protokollierte Kontrolle nötig

• Fehlerhafte Realisierung einer transparenten Datenverarbeitung

• Mangelhafte Wahrung des Datengeheimnisses

Durchführungsfehler

Fehler bei der Durchführung der gemäß § 4d Abs. 6 BDSG nötigen Vorabkontrollen bei grundsätzlich meldepflichtigen automatisierten Verarbeitungsverfahren

• Mangelhafte Überwachung und Zur-Verfügung-Stellung des Verfahrensverzeichnisses

• Fehlerhafter Hinweis gegenüber der Unternehmensleitung auf datenschutzrechtliche Erfordernisse beim Einsatz von Auftragnehmern für die Datenverarbeitung (schriftliche Verträge, vorgeschriebener Vertragsinhalt, Kontrolle der Auftragsdatenverarbeiter, Dokumentation der Kontrollen etc.)

• Vorlage von mangelhaften Tätigkeitsberichten gegenüber der Geschäftsleitung (zur Dokumentation und Haftungsabsicherung ist die Erstellung von Tätigkeitsberichten empfehlenswert)

• Fehlerhafte Hinweise gegenüber der Geschäftsleitung über datenschutzrechtlich erforderliche Maßnahmen

• Ungenügende Schulung und Beratung der Mitarbeiter in Angelegenheiten des Datenschutzes und des Datengeheimnisses (§ 4g Abs. 1 S. 4 BDSG)

• Ergreifung der falschen Maßnahmen im Falle eines Datenunfalls im Hinblick auf die Rechte der Betroffenen sowie den Mitteilungspflichten gegenüber den Aufsichtsbehörden (insbesondere hinsichtlich § 42a BDSG)

Externer Datenschutzbeauftragter: Beschränkung der Haftung

Natürlich ist in diesem Zusammenhang an eine etwaige Beschränkung der Haftung durch die vertraglichen Bedingungen zwischen dem externen Datenschutzbeauftragten und dem Auftraggeber zu denken. Eine Haftungsbeschränkung kommt jedoch nicht unbeschränkt in Betracht. Nicht abbedungen werden kann beispielsweise die Haftung des Datenschutzbeauftragten für vorsätzliche Vertragsverstöße. Insoweit ist auch keine allein summenmäßige Beschränkung der Haftung zulässig. Ein solcher Haftungsausschluss sollte aus Beweisbarkeitsgründen schriftlich festgehalten werden, auch wenn eine stillschweigende Haftungsbeschränkung nach dem System des Zivilrechts grundsätzlich denkbar ist.

Ist die Haftung nicht beschränkt haftet der externe Beauftragte auch im Regresswege für Ansprüche, die von Betroffenen gegenüber dem verantwortlichen Auftraggeber geltend gemacht wurden. Es ist daher dringend zu empfehlen, als externer Datenschutzbeauftragter eine Vermögensschadenhaftpflichtversicherung abzuschließen.

Fazit

Der Unternehmer kann gegenüber dem internen Datenschutzbeauftragten aufgrund der Grundsätze der beschränkten Arbeitnehmerhaftung nur in Ausnahmefällen Regressansprüche geltend machen. Jedoch sollte auch der interne Datenschutzbeauftragte seine Tätigkeit genau dokumentieren und an laufenden Schulungsmaßnahmen im Datenschutzrecht teilnehmen, um Streitigkeiten bezüglich seiner Tätigkeit zu vermeiden Ein Haftungsregress gegenüber einem externen Datenschutzbeauftragten ist möglich, soweit die Haftung nicht individualvertraglich ausgeschlossen wurde. (oe)

Kontakt:

Der Autor Dr. Sebastian Kraska ist Rechtsanwalt und externer Datenschutzbeauftragter im IITR Institut für IT-Recht - Kraska GmbH. Die Autorin Alma Lena Fritz ist Rechtsassessorin. IITR Institut für IT-Recht - Kraska GmbH, Eschenrieder Straße 62c, 82194 Gröbenzell, Tel.: 089 5130392-0, E-Mail: skraska@iitr.de, Internet: www.iitr.de