Web Services und Datenschutz – Haftungsfalle für Administratoren? (Teil 2)

Wer haftet?

Die Haftung von leitenden Angestellten und Mitarbeiter eines Unternehmens ergibt sich im Prinzip aus den allgemeinen Regeln des Arbeitsrechts. Dies bedeutet jedoch im Umkehrschluss für den Unternehmer, dass der Gestaltung des Arbeitsvertrages mit dem IT-Verantwortlichen besondere Aufmerksamkeit zukommen sollte. Kritisch muss man hier jedoch sehen, dass Administratoren und IT-Verantwortliche oft nicht die nötige Unterstützung und finanziellen Mittel erhalten, die nötig sind um den gesetzlichen Anforderungen gerecht zu werden. Hier liegt es am Administrator seine Forderungen schriftlich bei der Unternehmensleitung geltend zu machen, um im Streitfall beweisen zu können, dass auf bestimmte Sicherheitslücken oder Missstände hingewiesen wurde, diese aber aus Kostengründen oder anderen firmenpolitischen Entscheidungen nicht behoben wurden.

Grundsätzlich ist es für den Arbeitgeber jedoch nicht erforderlich, dem IT-Verantwortlichen oder Administrator eine ranghohe Stellung im Unternehmen einzuräumen, wie dies beispielsweise bei einem Datenschutzbeauftragten erforderlich ist. Das bedeutet, der IT-Verantwortliche nimmt gegenüber dem Datenschutzbeauftragten – mit dem er übrigens nicht personenidentisch sein darf – eine haftungsrechtlich durchaus privilegiertere Position ein. Eine Haftungsbeschränkung zu Gunsten des IT-Verantwortlichen ist über den Arbeitsvertrag leichter herbeizuführen, als eine Haftungsbeschränkung für einen Datenschutzbeauftragten. Dieser haftet bei schweren Versäumnissen stets auch persönlich.

Mit der Wahrnehmung von IT-Aufgaben beauftragte Dritte haften in der Regel für Pflichtverletzungen aus dem entsprechen Dienst- oder Werkvertrag. So haftet beispielsweise ein extern bestellter Datenschutz- oder IT-Beauftragter direkt aus seinem Vertrag mit dem Auftraggeber. Unternehmen die IT-Outsourcing anbieten müssen sich darüber hinaus an besondere Vorschriften halten. So werden beispielsweise in der Spezialvorschrift des § 11 BDSG spezielle Anforderungen an die Durchführung der Auftragsdatenverarbeitung normiert. Den Auftraggeber wiederrum treffen hier besondere Auswahl- und Überwachungspflichten, die es einzuhalten gilt.

Was tun, wenn Sie als Entwickler im Rahmen eines Projektes darauf stoßen, dass die geplante und beauftragte Entwicklung datenschutzrechtlich bedenklich ist? Sprechen Sie Ihren Auftraggeber aktiv darauf an! Er wird es Ihnen danken und sich darüber freuen einen mitdenkenden Entwickler engagiert zu haben. Zwar ist nicht die Entwicklung an sich ein Haftungsgrund, sondern nur der spätere Einsatz des Programms, aber Sie sollten hier kein Risiko eingehen. Im Bereich der Vertragsgestaltung kann in diesem Zusammenhang nur dazu geraten werden, bereits im Softwareerstellungsvertrag zu regeln, dass seitens des Entwicklers keine Rechtskonformität hinsichtlich der Verwendungsmöglichkeiten des Programms geschuldet wird.

Fazit

Getreu dem Grundsatz „Gefahr erkannt – Gefahr gebannt“ sollten Sie als Administrator und IT-Verantwortlicher bei der Konzeption und dem Betrieb von IT-Systemen und Web Services stets darauf achten, welche Art von Daten gespeichert, verarbeitet und genutzt wird und wer Zugriff auf diese Daten haben muss. Unnötige Zugriffsrechte (Fußnote) sind unter Berufung auf Datenschutzvorschriften auf das gesetzliche Mindestmaß einzuschränken. Um die persönliche Haftung zu vermeiden sollten die als Verantwortlicher stets darauf achten, dass gesetzliche Vorgaben erfüllt werden. Im Zweifelsfall ist es daher immer ratsam den Datenschutzbeauftragten oder einen externen Berater hinzuzuziehen um Datenschutzvorkehrungen überprüfen zu lassen. Die hierfür entstehenden Kosten sind eine gute Investition, da die in diesem Bereich entstehenden Schäden das Unternehmen noch erheblich teurer zu stehen kommen können.

Wir beraten Sie gerne persönlich, telefonisch oder per Mail. Sie können uns Ihr Anliegen samt den relevanten Unterlagen gerne unverbindlich als PDF zumailen, zufaxen oder per Post zusenden. Wir schauen diese durch und setzen uns dann mit Ihnen in Verbindung, um Ihnen ein unverbindliches Angebot für ein Mandat zu unterbreiten. Ein Mandat kommt erst mit schriftlicher Mandatserteilung zustande.
Wir bitten um Ihr Verständnis: Wir können keine kostenlose Rechtsberatung erbringen.

Mehr Beiträge zum Thema finden Sie unter: