Persönliche Haftung des Geschäftsführers für Verstöße gegen den Datenschutz

Nach einem Urteil des OLG Dresden vom 30.11.2021 trifft den Geschäftsführer einer GmbH die persönliche Haftung für Schäden, die einem Dritten aus Verstößen der Gesellschaft gegen die Datenschutz-Grundverordnung (DSGVO) entstehen.

Gemäß Art. 82 Abs. 2 DSGVO haftete jeder beteiligte Verantwortliche „für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde.“ Als „verantwortlich“ gilt in der Regel gemäß Art. 4 Nr. 7 DSGVO die Gesellschaft selbst, so dass die Haftung angestellter Mitarbeiter der GmbH grundsätzlich entfällt. Der Geschäftsführer seinerseits haftet in der Regel nach § 43 Abs. 2 GmbHG nicht Externen, sondern lediglich seiner Gesellschaft auf Schadenersatz.

Das OLG Dresden durchbricht nun diese Haftungs-Grundkonstellationen, indem es den Geschäftsführer neben der GmbH als „Verantwortlichen“ im Sinne von Art. 4 Nr. 7 DSGVO betrachtet. Allerdings handelte es sich um einen sehr gravierenden Fall, in dem der Geschäftsführer persönlich das Ausspähen des Geschädigten nach Vorstrafen veranlasste. Der Geschäftsführer konnte sich daher auch nicht nach Art. 82 Abs. 3 DSGVO exkulpieren. Das OLG Dresden empfand das in der Gesamtschau als schmerzensgeldwürdigen Verstoß gegen den Datenschutz.  

Schmerzensgeld ist eine besondere Form des immateriellen Schadenersatzes, der Fall ist insgesamt außergewöhnlich. So ist die rechtskräftige Entscheidung des OLG Dresden nicht allgemein bindend und unter Juristen umstritten. Gleichwohl wird man beachten müssen, dass das Datenschutzrecht Einzug in die persönliche, externe Haftung von Geschäftsführern hält.

(OLG Dresden, Urteil vom 30.11.2021 – 4 U 1158/21)