Das Wichtigste in Kürze
- Sind in der Regel mindestens 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt, braucht das Unternehmen einen Datenschutzbeauftragten.
- Der Geschäftsführer kann sich nicht selbst bestellen – das ist ein Interessenkonflikt.
- Ein interner Mitarbeiter (nicht der Geschäftsführer) oder ein externer Spezialist kostet weniger als ein Bußgeld und ein Verfahren.
Julia leitet ein Softwarehaus mit zunächst 15 Mitarbeitern. Sie ist ordentlich – zahlt Steuern, führt Versicherungen, kümmert sich um Compliance. Als sie einen einfachen Online-Shop mit Kundendaten aufbaut, denkt sie: Ich mache das schnell selbst als Datenschutzbeauftragte.
Formal war das kein Problem – unter 20 Mitarbeitern ist kein Datenschutzbeauftragter Pflicht.
Dann wächst das Geschäft. Die Agentur stellt ein, zwei, drei neue Leute ein. Irgendwann sind es 24 Mitarbeiter …
Jetzt tritt eine unauffällige, aber tückische Regelung in Kraft: Ab 20 Mitarbeitern mit Datenverarbeitung ist ein Datenschutzbeauftragter Pflicht – und dieser muss unabhängig agieren. Das bedeutet: Der Geschäftsführer kann sich nicht selbst bestellen.
Es entsteht ein Interessenkonflikt.
Julia merkt das nicht. Das Thema läuft im Hintergrund weiter.
Sechs Monate später: Ein Kunde meldet, dass seine Daten in einem Sicherheitsleck auftauchten. Julia muss dies der Behörde melden. Die prüft das Unternehmen und stellt fest:
- Julia ist als Geschäftsführerin weisungsbefugt.
- Sie ist auch als „Datenschutzbeauftragte“ tätig.
- Eine unabhängige Kontrolle fand nicht statt.
- Der Interessenkonflikt ist offensichtlich.
Die Strafe
- Bußgeld: 80.000 Euro wegen Verstoß gegen die DSGVO, Artikel 5 und 38
- Persönliche Haftung der Geschäftsführerin Julia gemäß § 43 GmbHG
- Verwaltungsverfahren der Datenschutzbehörde
Julia hatte eine D&O-Versicherung. Sie deckte die fahrlässige Compliance-Verletzung ab. Julia musste eine Selbstbeteiligung von 2.500 Euro zahlen – den Rest übernahm die Police.
Die Lektion
Es ist nicht kompliziert. Ab 20 Mitarbeitern brauchen Sie einen unabhängigen Datenschutzbeauftragten. Das kann ein interner Mitarbeiter sein – nur nicht der Geschäftsführer. Oder ein externer Spezialist. Beide Wege kosten Geld, aber weit weniger als ein Bußgeld und ein Verfahren.
Julia hätte 500 Euro pro Monat für einen externen DSB zahlen können. Stattdessen lernte sie eine 80.000-Euro-Lektion.
Anmerkung: Dies ist ein realistisches Fallszenario basierend auf häufigen Compliance-Fehlern im Mittelstand. Namen und Unternehmensdetails wurden geändert.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Was in Ihrem Vertrag gilt, steht in Ihren Versicherungsbedingungen.
Bastian MaderVersicherungsmakler für Planungsbüros und Geschäftsführer, Amberg. Staatlich geprüfter Maschinenbautechniker mit sieben Jahren Erfahrung in der technischen Konstruktion. Mehr über mich
