Außenhaftung des Geschäftsführers (OLG Dresden, Urteil vom 30. November 2021 – 4 U 1158/21)
Das Oberlandesgericht (OLG) Dresden entschied in seinem kürzlich veröffentlichten Urteil vom 30. November 2021, dass bei einem Verstoß gegen Vorschriften der Datenschutz-Grundverordnung (DS-GVO) neben der GmbH auch der Geschäftsführer „Verantwortlicher“ im Sinne der Art. 4 Nr. 7, 82 Abs. 1 DS-GVO ist.
Nach Art. 4 Nr. 7 DS-GVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Aufgrund der Weisungsgebundenheit für Angestellte oder sonstige Beschäftigte entfällt für sie grundsätzlich die Verantwortlichkeit.
Dies gelte allerdings laut dem oben angegeben Urteil nun nicht mehr für den Geschäftsführer. Ohne entsprechende Begründung wird der Geschäftsführer - soweit ersichtlich erstmals - ebenfalls als Verantwortlicher in Anspruch genommen.
Damit besteht ein weiterer Anknüpfungstatbestand für die Außenhaftung des Geschäftsführers. Grundsätzlich ist die Haftung eines Geschäftsführers als Binnenhaftung gegenüber der Gesellschaft ausgestaltet. Allerdings besteht auch die Gefahr der persönlichen Haftung des Geschäftsführers gegenüber Gesellschaftsgläubigern. So besteht die Möglichkeit einer Inanspruchnahme des Geschäftsführers z. B. beim Vorliegen eines wirtschaftlichen Eigeninteresses unter bestimmten Voraussetzungen. Daneben kann eine solche Haftung gegenüber Dritten insbesondere über Deliktstatbestände bestehen.
Zu beachten ist nun, dass beim Vorliegen eines Verstoßes grundsätzlich die Haftung nach Art. 82 Abs. 1 DS-GVO greift, es sei denn, der Verantwortliche kann nach Art. 82 Abs. 3 DS-GVO nachweisen, dass er für den Verstoß nicht verantwortlich ist. Demnach trägt hier der Verantwortliche insoweit die Darlegungs- und Beweislast; dies ist anders als beim Deliktsrecht (da trägt der Geschädigte die volle Darlegungs- und Beweislast).
Durch die Veröffentlichung des Urteils ist zu erwarten, dass nun versucht wird, unmittelbar Schadensersatz von Geschäftsführern und Vorständen für Datenschutzverstöße zu erlangen. Ggf. sind die Versicherungsbedingungen der D&O Versicherung zu aktualisieren.