Die 80.000-Euro-Falle – Warum der Geschäftsführer sich nicht selbst als Datenschutzbeauftragter bestellen darf.

Julia leitet ein Softwarehaus mit zunächst 15 Mitarbeitern. Sie ist ordentlich – zahlt Steuern, führt Versicherungen, kümmert sich um Compliance. Als sie einen einfachen Online-Shop mit Kundendaten aufbaut, denkt sie: Ich mache das schnell selbst als Datenschutzbeauftragte.

Formal war das kein Problem – unter 20 Mitarbeitern ist kein Datenschutzbeauftragter Pflicht.

Dann wächst das Geschäft. Die Agentur stellt ein, zwei, drei neue Leute ein. Irgendwann sind es 24 Mitarbeiter...

Jetzt tritt eine unauffällige, aber tückische Regelung in Kraft: Ab 20 Mitarbeitern mit Datenverarbeitung ist ein Datenschutzbeauftragter Pflicht – und dieser muss unabhängig agieren. Das bedeutet: Der Geschäftsführer kann sich nicht selbst bestellen.

Es entsteht ein Interessenkonflikt.

Julia merkt das nicht. Das Thema läuft im Hintergrund weiter.

Sechs Monate später: Ein Kunde meldet, dass seine Daten in einem Sicherheitsleck auftauchten. Julia muss dies der Behörde melden. Die prüft das Unternehmen und stellt fest:

Julia ist als Geschäftsführerin weisungsbefugtSie ist auch als „Datenschutzbeauftragte" tätigEine unabhängige Kontrolle fand nicht stattDer Interessenskonflikt ist offensichtlich.

Die Strafe:

• Bußgeld: 80.000 Euro wegen Verstoß gegen die DSGVO, Artikel 5 und 38

• Persönliche Haftung der Geschäftsführerin Julia gemäß Paragraph 43 GmbHG

• Verwaltungsverfahren der Datenschutzbehörde

Julia hatte eine D&O-Versicherung. Sie deckte die fahrlässige Compliance-Verletzung ab. Julia musste eine Selbstbeteiligung von 2.500 Euro zahlen – den Rest übernahm die Police.

---

Die Lektion: Es ist nicht kompliziert. Ab 20 Mitarbeitern brauchst du einen unabhängigen Datenschutzbeauftragten. Das kann ein interner Mitarbeiter sein – nur nicht der Geschäftsführer. Oder ein externer Spezialist. Beide Wege kosten Geld, aber weit weniger als ein Bußgeld und ein Verfahren.

Julia hätte 500 Euro pro Monat für einen externen DSB zahlen können. Stattdessen lernte sie eine 80.000-Euro-Lektion.

Anmerkung: Dies ist ein realistisches Fallszenario basierend auf häufigen Compliance-Fehlern im Mittelstand. Namen und Unternehmensdetails wurden geändert.