In der Öffentlichkeit beschränkt sich das Thema der Haftung für DSGVO-Verstöße meist auf hohe Bußgelder, die von den Aufsichtsbehörden verhängt werden. Weniger Beachtung findet hingegen die persönliche strafrechtliche Haftung von Vorstandsmitgliedern – und diese kann sowohl beruflich als auch persönlich schwerwiegendste Folgen haben.
Sollten sich Manager wirklich Sorgen machen? Ist das Risiko strafrechtlicher Haftung lediglich ein theoretisches Konstrukt oder eine reale Bedrohung?
DSGVO und strafrechtliche Haftung – Rechtslage
Die DSGVO (Verordnung 2016/679) sieht als EU-Rechtsakt keine direkte strafrechtliche Haftung vor. Sie überlässt es jedoch den Mitgliedstaaten, strafrechtliche Bestimmungen zum Schutz personenbezogener Daten einzuführen, und Polen hat von dieser Möglichkeit Gebrauch gemacht.
Gemäß Artikel 107 des Gesetzes zum Schutz personenbezogener Daten ist die Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmungen mit einer Geldbuße, Freiheitsbeschränkung oder Freiheitsstrafe von bis zu 2 Jahren, im Falle der Verarbeitung besonderer Kategorien personenbezogener Daten sogar mit einer Freiheitsstrafe von bis zu 3 Jahren, strafbar.
Vorstandsmitglied und persönliche Haftung
Mitglieder der Geschäftsführung sind nicht automatisch von der Haftung befreit. Im Gegenteil, sie können für die Überwachung der Einhaltung der Datenschutzbestimmungen verantwortlich gemacht werden. Dies umfasst:
- Strafrechtliche Haftung – für unrechtmäßige Datenverarbeitung (Artikel 107 des Gesetzes).
- Zivilrechtliche Haftung – Entschädigung für Schäden, die natürlichen Personen zugefügt werden.
- Verwaltungshaftung – hohe Geldstrafen des Amtes für den Schutz personenbezogener Daten.
- Unternehmensverantwortung – Vertrauensverlust, Rufschädigung, Kündigungsrisiko.
Man sollte bedenken, dass strafrechtliche Verantwortlichkeit Schuld voraussetzt; ein bloßer Verstoß gegen die Vorschriften genügt also nicht – es muss nachgewiesen werden, dass die Person vorsätzlich oder zumindest grob fahrlässig gehandelt hat.
Die Anwendung von Artikel 107 des Gesetzes ist derzeit noch recht selten. Bisherige Fälle strafrechtlicher Verantwortlichkeit für DSGVO-Verstöße betrafen meist Einzelpersonen, beispielsweise ehemalige Mitarbeiter, die Daten gestohlen hatten, und weniger Vorstandsmitglieder.
Das bedeutet jedoch nicht, dass Aufsichtsräte sicher sind. Strafverfolgungsbehörden prüfen zunehmend, ob die Nichteinhaltung geeigneter Verfahren oder das Ignorieren gemeldeter Verstöße eine Straftat darstellt. Darüber hinaus können Aufsichtsratsmitglieder im Falle eines Vorfalls gemäß der sogenannten Managerhaftung mit Konsequenzen rechnen.
Wie lässt sich das Risiko minimieren?
Um das Risiko einer Haftung von Vorstandsmitgliedern für DSGVO-Verstöße zu minimieren, ist ein systematischer und strategischer Ansatz erforderlich. Ein Schlüsselelement ist die Schaffung einer Kultur des Datenschutzes innerhalb des Unternehmens, in der die Verantwortung für die Einhaltung der Vorschriften nicht allein bei einer einzelnen Abteilung liegt, sondern als integraler Bestandteil der Unternehmensführung verstanden wird.
Grundlage ist die Implementierung einer wirksamen und tatsächlich umgesetzten Datenschutzrichtlinie, die nicht nur auf dem Papier existiert, sondern auch im täglichen Gebrauch Anwendung findet. Diese Richtlinien sollten auf die spezifischen Bedürfnisse des Unternehmens zugeschnitten, aktuell und den Mitarbeitern vertraut sein. In diesem Zusammenhang ist die Bestellung eines Datenschutzbeauftragten (DSB) unerlässlich. Dieser sollte nicht nur eine symbolische Rolle einnehmen, sondern über angemessene Ressourcen, Unabhängigkeit und echten Einfluss auf interne Prozesse verfügen. Die Zusammenarbeit zwischen Geschäftsführung und DSB sollte auf kontinuierlicher Kommunikation und nicht nur auf formaler Aufgabenverteilung basieren.
Auch Weiterbildung ist von unschätzbarem Wert. Regelmäßige Schulungen, nicht nur für das operative Personal, sondern auch für das Management, schärfen das Bewusstsein für die Risiken einer unsachgemäßen Verarbeitung personenbezogener Daten. Das Management muss nicht nur mit den Grundprinzipien der DSGVO vertraut sein, sondern auch verstehen, welche Handlungen oder Unterlassungen eine persönliche Haftung nach sich ziehen können.
Ein weiterer entscheidender Faktor ist die Krisenvorsorge des Unternehmens. Geeignete Verfahren zur Reaktion auf Datenschutzvorfälle sollten klar definiert, getestet und kommuniziert werden. Eine schnelle, dokumentierte und transparente Reaktion auf Datenschutzverletzungen kann rechtliche Konsequenzen, einschließlich des Risikos einer Strafverfolgung, minimieren.
Überwachung und Kontrolle sind gleichermaßen wichtig. Regelmäßige interne Audits zur Einhaltung der DSGVO ermöglichen die Identifizierung von Systemschwachstellen, bevor diese ausgenutzt werden – sei es von Unbefugten, Aufsichtsbehörden oder Kunden selbst. Die Dokumentation von Entscheidungen, Maßnahmen und Risikoanalysen ist hierbei von entscheidender Bedeutung, da sie im Falle eines Strafverfahrens als Nachweis für die von der Geschäftsleitung angewandte Sorgfaltspflicht dient.
Obwohl die strafrechtliche Haftung von Vorstandsmitgliedern bei Verstößen gegen die DSGVO derzeit noch selten ist, ist das Risiko nicht eingebildet. Angesichts des wachsenden öffentlichen Bewusstseins und der verstärkten Aktivitäten der Aufsichtsbehörden könnte es zunehmend Realität werden.
Ein Vorstand, der den Datenschutz nicht als Bestandteil der Compliance und der Corporate Governance betrachtet, setzt sich nicht nur administrativen Strafen, sondern auch persönlichen strafrechtlichen und reputationsbezogenen Konsequenzen aus.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 6. August 2025.
Autor/Herausgeber der Reihe:
