Ein verloren gegangener Laptop, eine falsch adressierte E-Mail mit Gehaltsdaten oder ein Ransomware-Angriff: Wenn personenbezogene Daten betroffen sind, steht schnell eine unangenehme Frage im Raum: Wer haftet bei Datenpanne? Für Unternehmen geht es dabei nicht nur um mögliche Bußgelder. Auch Ausfallzeiten, Schadenersatzforderungen und der Vertrauensverlust bei Kunden oder Mitarbeitenden können teuer werden.

Die kurze Antwort lautet: Meist trägt das Unternehmen die Hauptverantwortung. Die genaue Haftung hängt jedoch davon ab, wer Daten verarbeitet, was vertraglich vereinbart wurde und ob jemand seine Pflichten verletzt hat. Gerade kleine und mittelständische Betriebe sollten Zuständigkeiten deshalb nicht erst im Ernstfall klären.

Wer haftet bei Datenpanne: Die Grundregel

Nach der Datenschutz-Grundverordnung ist in der Regel der sogenannte Verantwortliche zuständig. Das ist meist das Unternehmen, das entscheidet, welche personenbezogenen Daten verarbeitet werden und zu welchem Zweck. Ein Handwerksbetrieb, der Kundendaten für Angebote und Rechnungen nutzt, ist ebenso Verantwortlicher wie ein Büro, das Mitarbeiterdaten in Microsoft 365 verarbeitet.

Passiert eine Datenpanne, bleibt dieses Unternehmen gegenüber Aufsichtsbehörden und betroffenen Personen grundsätzlich in der Pflicht. Es muss den Vorfall bewerten, gegebenenfalls melden, Betroffene informieren und nachweisen können, dass angemessene Schutzmaßnahmen bestanden haben.

Das bedeutet nicht, dass ein Dienstleister oder ein einzelner Mitarbeiter nie haftet. Es bedeutet aber: Die Verantwortung lässt sich nicht einfach mit einem IT-Vertrag vollständig nach außen verlagern. Wer die Verarbeitung veranlasst, muss auch dafür sorgen, dass Dienstleister sorgfältig ausgewählt, kontrolliert und klar eingebunden werden.

Welche Rolle externe IT-Dienstleister spielen

Ein IT-Dienstleister verarbeitet häufig personenbezogene Daten im Auftrag seines Kunden. Beispiele sind die Betreuung von Servern, die Verwaltung von Benutzerkonten, Backup-Prüfungen oder die Fernwartung von Arbeitsplätzen. In solchen Fällen handelt er meist als Auftragsverarbeiter.

Dann braucht es in der Regel einen Vertrag zur Auftragsverarbeitung. Darin wird festgelegt, welche Daten verarbeitet werden, welche Sicherheitsmaßnahmen gelten, ob weitere Dienstleister eingesetzt werden dürfen und wie bei Sicherheitsvorfällen vorzugehen ist. Ein solcher Vertrag ist kein Formular für die Schublade. Er schafft klare Abläufe, wenn Zeit knapp ist und Entscheidungen getroffen werden müssen.

Verursacht der Dienstleister einen Schaden, etwa weil er vereinbarte Sicherheitsmaßnahmen grob missachtet oder unbefugt Daten für eigene Zwecke nutzt, kann er selbst haften. Gegenüber Betroffenen kann trotzdem auch das Unternehmen in Anspruch genommen werden. Intern kann das Unternehmen anschließend prüfen lassen, ob es Regressansprüche gegen den Dienstleister hat.

Entscheidend ist die tatsächliche Rolle. Gibt ein IT-Partner nur technische Hinweise und entscheidet das Unternehmen selbst über Zwecke und Mittel der Verarbeitung, liegt oft Auftragsverarbeitung vor. Trifft der Anbieter dagegen eigene Entscheidungen über die Nutzung der Daten, kann eine andere rechtliche Einordnung erforderlich sein. Diese Abgrenzung sollte vor Beginn der Zusammenarbeit sauber geprüft werden.

Haften Mitarbeitende persönlich?

Mitarbeitende sind häufig Auslöser einer Datenpanne, etwa durch einen Klick auf einen Phishing-Link, einen Versand an den falschen Empfänger oder ein zu schwaches Passwort. Dennoch haftet gegenüber außen normalerweise zunächst das Unternehmen. Es trägt das organisatorische Risiko seiner Beschäftigten.

Eine persönliche Haftung von Mitarbeitenden kommt eher bei vorsätzlichem Handeln oder besonders schwerem Fehlverhalten in Betracht. Wer absichtlich Kundendaten weitergibt, Zugangsdaten missbraucht oder eindeutige Anweisungen wiederholt ignoriert, muss mit arbeitsrechtlichen und unter Umständen auch zivil- oder strafrechtlichen Folgen rechnen.

Für den betrieblichen Alltag ist ein anderer Punkt wichtiger: Fehler passieren. Ein Sicherheitskonzept darf sich deshalb nicht darauf verlassen, dass jeder Mensch immer alles richtig macht. Klare Freigabeprozesse, Mehrfaktor-Anmeldung, Rechte nach dem Need-to-know-Prinzip und regelmäßige, verständliche Schulungen reduzieren das Risiko deutlich.

Was bei einer Datenpanne sofort zu tun ist

Nicht jede technische Störung ist automatisch eine meldepflichtige Datenschutzverletzung. Kritisch wird es, wenn personenbezogene Daten verloren gehen, verändert werden, unbefugt offengelegt werden oder Unbefugte Zugriff erhalten könnten. Dazu zählen beispielsweise Kundenlisten, Personalakten, Kontodaten, E-Mail-Postfächer und Zugangsdaten.

Sobald ein Vorfall bekannt wird, zählt ein strukturiertes Vorgehen. Zuerst muss der Schaden begrenzt werden: betroffene Konten sperren, Passwörter zurücksetzen, kompromittierte Geräte vom Netzwerk trennen oder fehlerhaft versandte Dateien zurückrufen, soweit das technisch möglich ist. Gleichzeitig sollten keine Spuren zerstört werden. Protokolle, Zeitpunkte und Beobachtungen helfen später bei der Bewertung.

Danach folgt die Prüfung: Welche Daten sind betroffen? Wie viele Personen? Konnten Unbefugte tatsächlich zugreifen? Welche Folgen sind denkbar? Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen, muss die Datenschutzaufsicht in der Regel innerhalb von 72 Stunden informiert werden. Besteht voraussichtlich ein hohes Risiko, müssen auch die betroffenen Personen informiert werden.

Die 72 Stunden beginnen nicht erst, wenn alle Details geklärt sind. Deshalb ist es besser, fristgerecht mit den bekannten Informationen zu melden und fehlende Angaben nachzureichen, als aus Unsicherheit zu lange zu warten. Ob eine Meldung notwendig ist, hängt immer vom Einzelfall ab. Bei Zweifel sollte das Unternehmen seinen Datenschutzbeauftragten oder eine fachkundige Rechtsberatung einbeziehen.

Was die Haftung in der Praxis beeinflusst

Ob und in welcher Höhe Schadenersatz entsteht, hängt nicht allein von der Tatsache ab, dass eine Panne passiert ist. Relevant ist auch, ob das Unternehmen angemessene technische und organisatorische Maßnahmen umgesetzt hat. Es gibt keinen Schutz, der jeden Angriff verhindert. Erwartet wird aber ein Sicherheitsniveau, das zu den verarbeiteten Daten, den Risiken und der Unternehmensgröße passt.

Bei einem kleinen Betrieb ist nicht zwingend dieselbe Sicherheitsarchitektur erforderlich wie bei einem Krankenhaus oder einem Konzern. Ein veralteter Server ohne Sicherheitsupdates, gemeinsam genutzte Benutzerkonten und ungeprüfte Backups sind allerdings auch im kleinen Unternehmen schwer zu erklären. Besonders problematisch wird es, wenn bekannte Risiken über lange Zeit nicht angegangen wurden.

Für mögliche Forderungen betroffener Personen ist außerdem entscheidend, ob ein konkreter immaterieller oder materieller Schaden entstanden ist. Datenschutzrechtlicher Schadenersatz ist keine automatische Pauschale. Trotzdem können bereits der Kontrollverlust über sensible Daten, Identitätsmissbrauch oder erheblicher Aufwand für Betroffene Ansprüche auslösen.

Vorsorge ist günstiger als Krisenkommunikation

Eine gute Vorbereitung besteht nicht aus einem einzelnen Produkt. Sie verbindet Technik, Regeln und erreichbare Ansprechpartner. Dazu gehören aktuelle Systeme, regelmäßige Sicherheitsupdates, getrennte Benutzerkonten, Mehrfaktor-Anmeldung, überprüfte Backups und klare Berechtigungskonzepte. Ebenso wichtig sind verbindliche Prozesse für neue Mitarbeitende, ausscheidende Beschäftigte und externe Zugriffe.

Ein Notfallplan sollte zudem beantworten: Wer entscheidet im Ernstfall? Wer informiert Geschäftsführung, Datenschutzverantwortliche und IT? Wo liegen die wichtigsten Kontaktdaten? Wie werden betroffene Systeme dokumentiert? Wenn diese Fragen vorher geklärt sind, muss niemand in einer hektischen Situation Zuständigkeiten suchen.

Bei PAPE-IT gehört genau diese vorausschauende Betreuung zum Ansatz: Risiken früh erkennen, Systeme nachvollziehbar betreuen und im Störfall einen festen Ansprechpartner haben. Das ersetzt keine rechtliche Einzelfallprüfung, schafft aber die technische Grundlage, auf einen Vorfall schnell und geordnet reagieren zu können.

Verantwortung beginnt vor der Datenpanne

Die Frage nach der Haftung sollte nicht erst gestellt werden, wenn eine verdächtige E-Mail geöffnet wurde oder Kundendaten im falschen Postfach gelandet sind. Wer seine IT regelmäßig prüfen lässt, Zuständigkeiten dokumentiert und Mitarbeitende mit einfachen Regeln unterstützt, senkt nicht nur das Haftungsrisiko. Er sorgt auch dafür, dass das eigene Unternehmen handlungsfähig bleibt, wenn es darauf ankommt.