Wer haftet bei einer Datenpanne im Betrieb?

Ein verlorenes Notebook, ein falsch adressierter E-Mail-Anhang oder ein kompromittiertes Microsoft-365-Konto: Die Frage, wer bei einer Datenpanne haftet, stellt sich meist nicht erst im Gespräch mit der Datenschutzbehörde. Sie beginnt, sobald Kunden informiert werden müssen, der Betrieb stockt und intern unklar ist, wer welche Entscheidung getroffen hat. Für mittelständische Unternehmen zählt dann nicht nur die juristische Einordnung, sondern ein belastbarer Ablauf für die ersten Stunden.

Wer bei einer Datenpanne haftet: die Grundregel

Datenschutzrechtlich ist in der Regel zunächst das Unternehmen verantwortlich, das über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet. Dieses Unternehmen ist der sogenannte Verantwortliche. Es trägt die Pflicht, angemessene technische und organisatorische Maßnahmen umzusetzen, Vorfälle zu bewerten und erforderliche Meldungen vorzunehmen.

Das gilt auch dann, wenn ein externer IT-Dienstleister Systeme betreibt, ein Cloud-Anbieter Speicher bereitstellt oder ein Lohnbüro Daten verarbeitet. Verträge können Zuständigkeiten zwischen den Beteiligten regeln, sie befreien das Unternehmen gegenüber betroffenen Personen und Aufsichtsbehörden aber nicht pauschal von seiner Verantwortung.

Ein Auftragsverarbeiter haftet eigenständig, wenn er Pflichten aus der Datenschutz-Grundverordnung verletzt, etwa Daten entgegen dokumentierten Weisungen verarbeitet oder vereinbarte Sicherheitsmaßnahmen grob missachtet. Gegenüber Betroffenen kann es bei mehreren Beteiligten unter Umständen zu einer gesamtschuldnerischen Haftung kommen. Wer am Ende welchen Anteil trägt, wird anschließend zwischen den Beteiligten und auf Basis der Verträge geklärt. Gerade deshalb sind sauber formulierte Auftragsverarbeitungsverträge, Leistungsbeschreibungen und Verantwortungsmatrizen keine Formalität.

Welche Rolle Geschäftsführung, IT und Mitarbeitende spielen

Im Unternehmensalltag ist Haftung selten auf eine einzelne Person reduzierbar. Die Geschäftsführung muss Datenschutz und Informationssicherheit organisatorisch ermöglichen: Zuständigkeiten, Budget, Richtlinien, Kontrollen und Eskalationswege müssen vorhanden sein. Werden erkennbare Risiken über längere Zeit ignoriert, können neben Folgen für die Gesellschaft auch interne Haftungsfragen entstehen.

Die IT-Abteilung oder ein externer Managed-Service-Partner setzt Schutzmaßnahmen technisch um. Sie ist jedoch nur dann wirksam handlungsfähig, wenn Berechtigungen, Verantwortlichkeiten und Freigaben dokumentiert sind. Ein typischer Konflikt entsteht, wenn ein Administrator auf Wunsch einer Fachabteilung weitreichende Zugriffe vergibt, ohne dass ein geregelter Genehmigungsprozess existiert. Nach einem Vorfall lässt sich dann kaum nachvollziehen, warum der Zugang bestand und wer die Entscheidung verantwortet hat.

Mitarbeitende haften nicht automatisch persönlich für jeden Fehler. Ein versehentlich falsch versendetes Dokument ist anders zu bewerten als bewusstes Handeln oder die Missachtung klarer, wiederholt geschulter Anweisungen. Arbeitsrechtliche Folgen und möglicher Regress richten sich nach dem Einzelfall. Für Unternehmen folgt daraus eine praktische Konsequenz: Schulungen, einfache Meldewege und nachvollziehbare Regeln sind nicht nur Prävention, sondern auch Teil einer belastbaren Organisation.

Ein Szenario aus dem Mittelstand

Ein Handelsunternehmen erhält eine täuschend echte Nachricht, angeblich vom Geschäftsführer. Eine Mitarbeiterin gibt ihre Zugangsdaten auf einer gefälschten Seite ein. Über das Konto werden anschließend E-Mails mit Angeboten, Ansprechpartnern und Zahlungsinformationen abgerufen. Die Ursache liegt beim Phishing-Angriff, doch die Bewertung endet dort nicht.

Zu prüfen ist, ob Mehrfaktor-Authentifizierung aktiviert war, welche Berechtigungen das Konto besaß, wie schnell der Zugriff erkannt wurde und ob es klare Vorgaben zur Meldung verdächtiger Nachrichten gab. Die Mitarbeiterin ist nicht automatisch allein verantwortlich. Auch die Geschäftsleitung und die für die IT-Sicherheit zuständigen Stellen müssen sich daran messen lassen, ob angemessene Schutzvorkehrungen vorhanden waren.

Schäden, Bußgelder und Ansprüche richtig trennen

Bei einer Datenpanne werden verschiedene Folgen oft vermischt. Ein Bußgeld der Datenschutzaufsicht trifft regelmäßig den Verantwortlichen, also meist das Unternehmen. Die Höhe richtet sich nicht allein nach der Zahl betroffener Datensätze. Relevant sind unter anderem Art und Dauer des Verstoßes, getroffene Schutzmaßnahmen, Kooperation mit der Behörde und die Reaktion nach Bekanntwerden.

Betroffene Personen können außerdem Schadensersatz geltend machen, wenn ihnen durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist. Dazu kommen betriebliche Kosten: externe Forensik, Rechtsberatung, Kommunikation, Wiederherstellung, Ausfallzeiten und gegebenenfalls Ansprüche von Kunden oder Vertragspartnern. Eine Cyberversicherung kann wirtschaftliche Risiken abfedern, ersetzt aber keine Sicherheitsorganisation und keine sorgfältige Dokumentation.

Vertragliche Vereinbarungen mit Dienstleistern sind dennoch wesentlich. Sie sollten festlegen, wie Vorfälle gemeldet werden, welche Reaktionszeiten gelten, wer Beweise sichert, welche Sicherheitsstandards geschuldet sind und wie Unterstützung bei Behördenanfragen erfolgt. Eine pauschale Klausel, die jede Haftung ausschließt, ist in kritischen Konstellationen häufig weder praktikabel noch rechtlich belastbar.

Die ersten 72 Stunden entscheiden über die Qualität der Reaktion

Nicht jede Sicherheitsmeldung ist automatisch ein meldepflichtiger Datenschutzvorfall. Sobald jedoch personenbezogene Daten unbeabsichtigt verloren gehen, offengelegt, verändert oder unzugänglich werden, muss der Sachverhalt strukturiert bewertet werden. Besteht voraussichtlich ein Risiko für Rechte und Freiheiten betroffener Personen, ist die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden zu informieren.

Bei hohem Risiko müssen auch die betroffenen Personen in klarer Sprache benachrichtigt werden, sofern keine Ausnahme greift. Die Frist beginnt nicht erst, wenn alle technischen Details abschließend geklärt sind. Deshalb braucht es parallel zur Analyse eine belastbare Dokumentation: Was ist wann passiert? Welche Daten und Personen sind betroffen? Welche Sofortmaßnahmen wurden ergriffen? Wer entscheidet über Meldung und Kommunikation?

In der Praxis bewährt sich ein Incident-Response-Prozess mit festen Ansprechpartnern aus Geschäftsführung, IT, Datenschutz und gegebenenfalls Kommunikation. Der erste technische Schritt kann das Sperren von Konten, das Trennen eines Systems vom Netz oder das Zurücksetzen von Tokens sein. Vorschnelles Löschen von Logdaten oder Systemen ist dagegen eine häufige Projektfalle, weil dadurch die Ursachenanalyse und der Nachweis der getroffenen Maßnahmen erschwert werden.

Technik senkt das Risiko, ersetzt aber keine Verantwortung

Viele Vorfälle lassen sich durch eine Kombination aus klaren Prozessen und wirksamer Technik deutlich begrenzen. Entscheidend sind aktuelle Systeme, konsequentes Patch-Management, das Prinzip minimaler Berechtigungen, Mehrfaktor-Authentifizierung sowie zentrale Protokollierung. Endpoint-Schutz wie Sophos Endpoint und eine passend konfigurierte Sophos Firewall helfen, Schadsoftware, verdächtige Zugriffe und Angriffsversuche frühzeitig zu erkennen oder zu blockieren.

Auch Backups sind ein Haftungsthema. Nach einem Verschlüsselungsangriff ist eine Sicherung nur dann wertvoll, wenn sie getrennt geschützt, regelmäßig geprüft und innerhalb der benötigten Zeit wiederherstellbar ist. Mit Veeam lassen sich Sicherungs- und Wiederherstellungsprozesse so strukturieren, dass Testläufe, Aufbewahrungsregeln und Wiederanlaufziele nachvollziehbar bleiben. Ein Backup ohne dokumentierten Restore-Test ist im Ernstfall kein belastbarer Notfallplan.

Bei zentralen Unternehmensanwendungen sollte die Rechteverwaltung besonders sorgfältig gestaltet sein. In Business Central gehören Rollen, Freigaben und Protokollierung in ein Berechtigungskonzept, das regelmäßig überprüft wird. So wird nicht nur das Risiko unberechtigter Einsicht reduziert, sondern auch nachvollziehbar, welche Geschäftsvorgänge nach einem Vorfall betroffen sein könnten.

Typische Schwachstellen bei der Umsetzung

Der häufigste Fehler ist nicht fehlende Software, sondern ein lückenhaftes Zusammenspiel von Menschen, Prozessen und Technik. Unternehmen kaufen Sicherheitslösungen, ohne Verantwortliche für Warnmeldungen festzulegen. Oder sie führen neue Cloud-Dienste ein, ohne bestehende Berechtigungen und Datenablagen zu bereinigen. Dadurch wächst die Angriffsfläche schleichend.

Problematisch sind auch unklare Schnittstellen zu Dienstleistern. Wer meldet einen Verdacht außerhalb der Geschäftszeiten? Wer darf Systeme isolieren? Wer informiert den Datenschutzbeauftragten? Diese Fragen müssen vor dem Vorfall geklärt und geprobt sein. Viele Unternehmen ziehen für Risikoanalysen, Notfallkonzepte und technische Härtung externe Spezialisten hinzu, weil der Blick von außen blinde Flecken in gewachsenen IT-Landschaften sichtbar macht.

LTmemory begleitet mittelständische Organisationen in solchen Projekten typischerweise von der Bestandsaufnahme über die technische Umsetzung bis zu dokumentierten Betriebsprozessen. Der praktische Nutzen liegt weniger in einer einzelnen Maßnahme als in klaren Zuständigkeiten, überprüfbaren Schutzstandards und einer IT, die im Störfall handlungsfähig bleibt.

Fazit: Haftung beginnt vor dem Vorfall

Ob ein Unternehmen, ein Dienstleister oder einzelne Beteiligte für Schäden einstehen müssen, hängt von Rollen, Verträgen, konkretem Verhalten und der Qualität der getroffenen Schutzmaßnahmen ab. Gegenüber Aufsichtsbehörden und Betroffenen bleibt das verantwortliche Unternehmen in der Regel der zentrale Ansprechpartner. Gute Vorbereitung reduziert daher nicht nur die Wahrscheinlichkeit einer Datenpanne, sondern verbessert auch die eigene Position, wenn sie dennoch eintritt.

Nächster sinnvoller Schritt

Für viele mittelständische Betriebe ist eine realistische Bestandsaufnahme der sinnvollste Anfang: Welche personenbezogenen Daten liegen wo, welche Zugänge sind kritisch, wie funktionieren Meldung und Wiederherstellung, und welche Dienstleister sind eingebunden? Dafür werden Zeit aus IT, Fachbereichen und Geschäftsführung benötigt – Ressourcen, die im Tagesgeschäft oft knapp sind.

Eigenimplementierungen scheitern häufig an fehlender Dokumentation, ungetesteten Backups oder unklaren Eskalationen. Ein erfahrener Partner kann technische Risiken bewerten, Prozesse praxistauglich gestalten und Verantwortliche gezielt einbinden. Entscheidend bleibt, dass die vereinbarten Maßnahmen im Alltag gelebt und regelmäßig überprüft werden.