Auch wenn ein Unternehmen bei Verstößen gegen das Bundesdatenschutzgesetz gegenüber dem Betroffenen haftet, möchte dieses möglicherweise Rückgriff gegenüber dem Datenschutzbeauftragten nehmen. Es gelten insoweit grundsätzlich die zivilrechtlichen Haftungsregeln für Schlechterfüllung im Rahmen eines bestehenden Dienst- oder Geschäftsbesorgungsvertrag, so dass ein Schadensersatzanspruch wegen Pflichtverletzung nach den §§ 280 ff. BGB in Betracht kommt.

Nötige Unterscheidung: interner oder externer Datenschutzbeauftragter?

Entscheidend ist hierbei die Frage, ob das Unternehmen einen internen oder externen Datenschutzbeauftragten benannt hat. Da der interne Datenschutzbeauftragte als Arbeitnehmer des Unternehmens zugleich in einem Dienstverhältnis steht, finden auf diesen uneingeschränkt die Grundsätze der beschränkten Arbeitnehmerhaftung Anwendung. Kurz gesagt bedeutet dies, dass der Arbeitgeber von dem internen Datenschutzbeauftragten nur den Ersatz derjenigen Schäden verlangen kann, welche dieser grob fahrlässig oder vorsätzlich verursacht hat.

Da die Beweislast hinsichtlich der groben Fahrlässigkeit bzw. des Vorsatzes grundsätzlich beim Arbeitgeber verbleibt, scheidet ein Haftungsrückgriff auf den internen Datenschutzbeauftragten häufig aus. Um Streitigkeiten zu vermeiden sollte aber auch der interne Datenschutzbeauftragte seine Tätigkeit genau dokumentieren und seinen gesetzlich vorgesehenen Nachschulungsverpflichtungen im Datenschutzrecht entsprechen.

Dagegen haftet der externe Datenschutzbeauftragte im Rahmen des vertraglich Vereinbarten grundsätzlich für alle von ihm verursachten Schäden. Dies gilt auch bei nur leicht fahrlässigen Handlungen, da auf den externen Datenschutzbeauftragten die beschränkte Arbeitnehmerhaftung keine Anwendung findet. Er haftet damit für jegliches Verschulden im Zusammenhang mit der Wahrnehmung seiner Aufgaben.

Beispiele, wann der Datenschutzbeauftragte haftet

Der Datenschutzbeauftragte hat gemäß § 4g Abs. 1 S. 1 BDSG auf die Einhaltung des BDSG und anderer datenschutzrechtlicher Vorschriften hinzuwirken. Diese Aufgabe hat er gewissenhaft zu erfüllen. Im Einzelnen wird von ihm hierzu gemäß dem Bundesdatenschutzgesetz neben den Grundkompetenzen im rechtlichen und technischen Bereich sowohl Unparteilichkeit, wie auch Verschwiegenheit, Uneigennützigkeit, Verantwortungsbewusstsein und Unabhängigkeit erwartet. Darüber hinaus muss sich der Datenschutzbeauftragte laufend im Datenschutzrecht fortbilden, um seine gesetzlich erforderliche Fachkunde aufrecht zu erhalten.

Ein Verstoß gegen diese Grundpflichten kann zu einem Haftungsfall führen. Es ergeben sich beispielsweise die folgenden möglichen Haftungstatbestände:

• Mangelhafte Überwachung der betrieblichen Datenverarbeitung hinsichtlich deren Ordnungsmäßigkeit und Verlässlichkeit (§ 4g Abs. 1 S. 4 BDSG), insoweit ist eine protokollierte Kontrolle nötig
• Fehlerhafte Realisierung einer transparenten Datenverarbeitung
• Mangelhafte Wahrung des Datengeheimnisses
• Fehler bei der Durchführung der gemäß § 4d Abs. 6 BDSG nötigen Vorabkontrollen bei grundsätzlich meldepflichtigen automatisierten Verarbeitungsverfahren
• Mangelhafte Überwachung und Zur-Verfügung-Stellung des Verfahrensverzeichnisses (vgl. Artikel „Verfahrensverzeichnis und Datenschutzgesetz – was muss beachtet werden?")
• Fehlerhafter Hinweis gegenüber der Unternehmensleitung auf datenschutzrechtliche Erfordernisse beim Einsatz von Auftragnehmern für die Datenverarbeitung (schriftliche Verträge, vorgeschriebener Vertragsinhalt, Kontrolle der Auftragsdatenverarbeiter, Dokumentation der Kontrollen etc.)
• Vorlage von mangelhaften Tätigkeitsberichten gegenüber der Geschäftsleitung (zur Dokumentation und Haftungsabsicherung ist die Erstellung von Tätigkeitsberichten empfehlenswert)
• Fehlerhafte Hinweise gegenüber der Geschäftsleitung über datenschutzrechtlich erforderliche Maßnahmen
• Ungenügende Schulung und Beratung der Mitarbeiter in Angelegenheiten des Datenschutzes und des Datengeheimnisses (§ 4g Abs. 1 S. 4 BDSG)
• Ergreifung der falschen Maßnahmen im Falle eines Datenunfalls im Hinblick auf die Rechte der Betroffenen sowie den Mitteilungspflichten gegenüber den Aufsichtsbehörden (insbesondere hinsichtlich § 42a BDSG)

Externer Datenschutzbeauftragter: Beschränkung der Haftung

Natürlich ist in diesem Zusammenhang an eine etwaige Beschränkung der Haftung durch die vertraglichen Bedingungen zwischen dem externen Datenschutzbeauftragten und dem Auftraggeber zu denken. Eine Haftungsbeschränkung kommt jedoch nicht unbeschränkt in Betracht. Nicht abbedungen werden kann beispielsweise die Haftung des Datenschutzbeauftragten für vorsätzliche Vertragsverstöße. Insoweit ist auch keine allein summenmäßige Beschränkung der Haftung zulässig. Ein solcher Haftungsausschluss sollte aus Beweisbarkeitsgründen schriftlich festgehalten werden, auch wenn eine stillschweigende Haftungsbeschränkung nach dem System des Zivilrechts grundsätzlich denkbar ist.

Ist die Haftung nicht beschränkt haftet der externe Beauftragte auch im Regresswege für Ansprüche, die von Betroffenen gegenüber dem verantwortlichen Auftraggeber geltend gemacht wurden.

Es ist daher dringend zu empfehlen, als externer Datenschutzbeauftragter eine Vermögensschadenhaftpflichtversicherung abzuschließen.

Fazit

Der Unternehmer kann gegenüber dem internen Datenschutzbeauftragten aufgrund der Grundsätze der beschränkten Arbeitnehmerhaftung nur in Ausnahmefällen Regressansprüche geltend machen. Jedoch sollte auch der interne Datenschutzbeauftragte seine Tätigkeit genau dokumentieren und an laufenden Schulungsmaßnahmen im Datenschutzrecht teilnehmen, um Streitigkeiten bezüglich seiner Tätigkeit zu vermeiden Ein Haftungsregress gegenüber einem externen Datenschutzbeauftragten ist möglich, soweit die Haftung nicht individualvertraglich ausgeschlossen wurde.