Es ist ein weit verbreiteter Irrtum in deutschen Büros: Wenn beim Datenschutz etwas schiefgeht, zahlt am Ende immer das Unternehmen. Doch diese Sicherheit ist trügerisch. Wer interne IT-Richtlinien ignoriert und eigenmächtig Software einsetzt, rückt datenschutzrechtlich selbst in die Schusslinie – mit drastischen persönlichen Konsequenzen.
Der Mythos vom reinen Unternehmensrisiko
Grundsätzlich richtet sich die Datenschutzgrundverordnung (DSGVO) an den sogenannten Verantwortlichen (Art. 4 Nr. 7 DSGVO). Das ist diejenige Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Im normalen Geschäftsbetrieb ist das unstrittig die GmbH, die AG oder das jeweilige Unternehmen als juristische Person.
Solange ein Mitarbeiter im Rahmen seiner arbeitsvertraglichen Pflichten und unter Nutzung der freigegebenen IT-Infrastruktur handelt, agiert er als Teil des Unternehmens. Begeht er dabei einen Fehler – etwa eine E-Mail mit offenem CC-Verteiler – haftet das Unternehmen gegenüber der Aufsichtsbehörde (wobei arbeitsrechtliche Konsequenzen für den Mitarbeiter natürlich unberührt bleiben).
Schatten-IT: Wenn der Mitarbeiter zum "Verantwortlichen" wird
Die Rechtslage dreht sich jedoch um 180 Grad, wenn der Mitarbeiter eigenmächtig handelt. Nutzt er Tools, die vom Arbeitgeber weder freigegeben noch geduldet sind (sogenannte Schatten-IT), entscheidet plötzlich er allein über die Mittel der Datenverarbeitung.
Klassische Beispiele aus der Praxis:
- Kundenkommunikation über das private WhatsApp-Konto, weil es "schneller geht".
- Das Ausweichen auf ein privates Zoom-Konto für Mandantengespräche, weil die Unternehmens-Lizenz für MS Teams gerade blockiert ist.
- Die Nutzung eines kostenlosen Trello-Boards oder eines privaten Google Drives für sensible Projektdaten, komplett an der IT-Abteilung vorbei.
In diesen Fällen verlässt der Mitarbeiter den geschützten Hafen der Unternehmensorganisation. Juristisch gesehen wird er durch diese eigenmächtige Zweck- und Mittelbestimmung selbst zum Verantwortlichen im Sinne der DSGVO.
Die Konsequenzen: Bußgelder und Regress
Die Folgen dieses Statuswechsels sind für Angestellte fatal:
- Persönliche Bußgelder: Die Datenschutzbehörden können Bußgelder direkt gegen den handelnden Mitarbeiter verhängen. Die Schonfrist, in der Behörden ausschließlich Unternehmen ins Visier nahmen, ist vorbei.
- Schadensersatz (Art. 82 DSGVO): Betroffene Kunden oder Kollegen können immaterielle Schadensersatzansprüche direkt gegen den Mitarbeiter geltend machen.
- Regress des Arbeitgebers: Sollte das Unternehmen dennoch in Haftung genommen werden (z. B. wegen mangelhafter Kontrollen), drohen massive Regressansprüche gegen den Mitarbeiter wegen grober Fahrlässigkeit oder Vorsatz.
Handlungsempfehlung für Geschäftsführer
Für die Geschäftsführung bedeutet dies umgekehrt nicht, dass man sich bei Verstößen entspannt zurücklehnen kann. Wenn Schatten-IT im Unternehmen stillschweigend geduldet wird ("Hauptsache, das Projekt wird fertig"), fällt die Verantwortlichkeit über das Organisationsverschulden sofort wieder auf das Unternehmen zurück.
Unternehmen müssen klare, verbindliche IT- und Datenschutzrichtlinien etablieren, diese dokumentiert schulen und Verstöße (z.B. durch Abmahnungen) konsequent ahnden, um das eigene Haftungsrisiko auf null zu reduzieren.
Sie wollen Haftungsrisiken durch belastbare Compliance-Strukturen und IT-Richtlinien abwehren? Als Schiedsrichter & Rechtsanwalt berate ich Unternehmen bei der rechtssicheren Ausgestaltung und Durchsetzung ihrer internen Vorgaben. Vereinbaren Sie einen Termin für ein Erstgespräch.