Teil 4: Unternehmensrisiken im Rahmen des Datenschutzes

Datenschutz ist längst mehr als eine rechtliche Pflichtübung. Aus diesem Grund haben wir ein Whitepaper „Datenschutz als Compliance- und Business-Baustein“ erstellt. Das Whitepaper stellen wir Ihnen in einem 6-teiligen Preview in verkürzter Form vor; das ausführliche Dokument senden wir Ihnen gerne zu. Dieser Beitrag ist Teil 4.

Unternehmensrisiken im Rahmen des Datenschutzes

Unternehmen, die kein angemessenes Datenschutzniveau gewährleisten, setzen sich rechtlichen, wirtschaftlichen und organisatorischen Risiken aus, die weit über die häufig im Vordergrund stehenden Bußgelder hinausgehen.

Bußgelder

Ausgangspunkt ist das aufsichtsrechtliche Risiko nach der Datenschutz-Grundverordnung (DSGVO). Bei Verstößen drohen empfindliche Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die konkrete Höhe bemisst sich unter anderem nach Art, Schwere und Dauer des Verstoßes, dem Grad des Verschuldens sowie der Kooperationsbereitschaft gegenüber der Aufsichtsbehörde.

Auflagen von Aufsichtsbehörden

Neben Bußgeldern können die Behörden weitreichende Anordnungen erlassen, etwa Verarbeitungsverbote, Einschränkungen einzelner Datenverarbeitungsvorgänge oder Verpflichtungen zur Umsetzung bestimmter technischer und organisatorischer Maßnahmen. Gerade für datengetriebene Geschäftsmodelle kann eine solche behördliche Untersagung faktisch existenzgefährdend sein.

Mögliche Auflagen und Anordnungen der Aufsichtsbehörden sind:

• Anordnung zur Datenlöschung
• Verbot der Datenverarbeitung
• Anordnung der Datenschutz-Folgenabschätzung
• Anpassung von Prozessen / Auflage, technische und organisatorische Maßnahmen (TOMs) zu verbessern

Zivil- und strafrechtliche Risiken

Darüber hinaus bestehen erhebliche zivilrechtliche Haftungsrisiken. Nach Artikel 82 DSGVO hat jede von einer Datenschutzverletzung betroffene Person Anspruch auf Ersatz materieller und immaterieller Schäden. Die Rechtsprechung legt den Begriff des immateriellen Schadens zunehmend weit aus, sodass bereits der Verlust der Kontrolle über personenbezogene Daten oder ein subjektiv empfundener Kontrollverlust zu Ersatzansprüchen führen kann. Bei größeren Datenpannen drohen daher Massenverfahren mit entsprechend hohem finanziellen Risiko.

Hinzu kommen mögliche Regressansprüche innerhalb von Vertragsbeziehungen, etwa zwischen Verantwortlichem (Auftraggeber) und Auftragsverarbeiter (beispielsweise IT-Dienstleister), insbesondere wenn vertraglich vereinbarte Datenschutzstandards nicht eingehalten wurden oder deren Einhaltung nicht nachgewiesen werden kann.

Auch strafrechtliche Risiken sind nicht auszuschließen. Je nach Sachverhalt können Tatbestände wie die unbefugte Datenverarbeitung, die Verletzung von Berufsgeheimnissen oder das Ausspähen von Daten einschlägig sein. Beispielsweise kann die unbefugte Aufzeichnung eines Gesprächs oder einer Videokonferenz bereits strafrechtlich bewährt sein.

Persönliche Haftung der Geschäftsführung

Für Geschäftsleitungsorgane besteht zudem das Risiko einer persönlichen Inanspruchnahme, wenn sie keine angemessene Compliance-Organisation eingerichtet haben. Nach den gesellschaftsrechtlichen Sorgfaltspflichten sind Geschäftsführer und Vorstände verpflichtet, für eine ordnungsgemäße Organisation zu sorgen. Defizite im Datenschutz können als Organisationsverschulden gewertet werden und zu persönlicher Haftung oder Problemen im Rahmen von D&O-Versicherungen führen. Somit ist eine klare Delegation des Datenschutzes an Datenschutzbeauftragten, Datenschutzmanager oder ein Datenschutz-/Compliance-Team mit regelmäßigen Reporting-Strukturen zur Haftungsfreistellung enorm wichtig.

Ferner prüfen Wirtschaftsprüfer den Datenschutz beim Mandanten indirekt als Teil des internen Kontrollsystems (IKS) und der IT-Prüfung. So wird untersucht, ob die IT-Systeme die Grundsätze ordnungsmäßiger Buchführung (GoBD) einhalten. Dabei bewerten sie technische und organisatorische Maßnahmen, Dokumentationen und die Rechtmäßigkeit der Datenverarbeitung im Unternehmen. Dies umfasst sowohl interne Prozesse als auch ausgelagerte Dienstleistungen. Mängel im Datenschutz (z. B. fehlende Löschkonzepte oder Bußgeldrisiken) können demnach als wesentliche Geschäftsrisiken gewertet werden, die im Lagebericht erwähnt werden müssen.

Wirtschaftliche Schäden

Neben den juristischen Risiken sind die operativen Auswirkungen eines unzureichenden Datenschutzes erheblich. Kommt es etwa infolge mangelhafter technischer und organisatorischer Maßnahmen zu einem Cyberangriff oder einer Datenpanne, entstehen regelmäßig hohe Wiederherstellungskosten wie beispielsweise Kosten für IT-Forensik, Systemwiederherstellung, externe Rechtsberatung, Benachrichtigungspflichten gegenüber Betroffenen und Behörden sowie gegebenenfalls PR-Maßnahmen.

Betriebsunterbrechungen, Produktionsausfälle oder der Verlust geschäftskritischer Daten können den wirtschaftlichen Schaden zusätzlich erheblich vergrößern. In vielen Fällen übersteigen diese indirekten Kosten das eigentliche Bußgeld deutlich.

Reputations- und Vertrauensverluste

Besonders gravierend sind schließlich Reputations- und Vertrauensverluste. Datenschutzverstöße werden medial stark wahrgenommen und können das Vertrauen von Kunden, Geschäftspartnern und Investoren nachhaltig beeinträchtigen. So finden gemäß einer Studie der vzbv (1) 87 Prozent der Befragten es sehr oder eher wichtig, dass sie Unternehmen im Umgang mit ihren persönlichen Daten vertrauen können, bevor sie deren Angebote nutzen.

Im B2B-Bereich kann ein unzureichendes Datenschutzniveau zum Ausschluss aus Ausschreibungen oder zur Kündigung bestehender Verträge führen.

Im Rahmen von Unternehmensverkäufen oder Finanzierungsrunden spielt die datenschutzrechtliche Compliance zudem eine zentrale Rolle bei Due-Diligence-Prüfungen; festgestellte Defizite können Kaufpreisabschläge, Garantien oder sogar den Abbruch von Transaktionen nach sich ziehen.

In mitbestimmten Unternehmen kann die Abbestellung eines Datenschutzbeauftragten und/oder ein unzureichendes Niveau der Datenverarbeitung von Beschäftigtendaten zu „Harmonie-Einschränkungen“ bzw. Konflikten mit dem Betriebsrat führen. Erfahrungsgemäß kann dies zu einem grundsätzlich zerrütteten Verhältnis und Misstrauen auch in anderen Regelungsbereichen führen.

(1) vzbv (Dezember 2025): https://www.vzbv.de/pressemitteilungen/digital-omnibus-europaeische-kommission-setzt-vertrauen-der-verbraucherinnen