Haftung

Gefährden Allwetterreifen den Versicherungsschutz?

von

Wie jedes Jahr wird es parallel zum Trubel in den Kaufhäusern auch bei den Werkstätten voller – Winterreifen-Wechselzeit.  Wer einfach mit Sommerreifen weiterfährt, riskiert  ein Bußgeld und kann bei einem Unfall dumm dastehen: Die Kasko-Versicherung zahlt nicht oder nur teilweise, auch wenn die Kfz-Haftpflicht zunächst den Schaden beim Unfallgegner bezahlt. Und selbst wenn „der Andere“ schuld hatte, können Sommerreifen auf Schnee zu einer Mithaftung aufgrund des erhöhten Betriebsrisikos führen.

Doch was ist, wenn man Allwetterreifen bzw. Ganzjahresreifen aufgezogen hat? Diese Frage hat uns gerade ein Versicherungsnehmer gestellt. Ist man damit auf der sicheren Seite?

Die Antwort lautet, wie so oft: Es hängt davon ab. Wenn es zum Schaden kommt, ermittelt der Versicherer, ob die Bereifung für die Witterung geeignet war. Bei Allwetterreifen, die auf der Flanke die Kennzeichnung „M + S“ zusammen mit einem Eiskristall-Symbol tragen, ist das der Fall, denn damit sind sie als wintertauglich gekennzeichnet (Das steht sogar so im Gesetz – Abs. 3a § 2 StVO). Weitere Infos dazu findet man z. B. bei Continental.

Sachbeschädigung: Wenn der Manager auf die Konkurrenz losgeht …

von

In Berlin soll ein LG-Manager in einem „Saturn“-Markt vier Waschmaschinen von Samsung beschädigt haben, was für entsprechendes Medienecho sorgte. Die Polizei ermittelt wegen Sachbeschädigung, LG verteidigt sich mit dem Hinweis, der Mitarbeiter habe die Geräte nur auf wackelnde Türen überprüfen wollen – das jedenfalls berichtete Heise vor einer Weile.

Als Versicherungsmakler frage ich mich bei solchen Geschichten natürlich immer: Zahlt da wohl eine Versicherung? Eines kann man klar sagen: Bei vorsätzlicher Sachbeschädigung zahlt die Versicherung den Schaden nicht. Sie leistet höchstens Rechtsschutz bei Einleitung eines Strafverfahrens.

Wenn der Manager aber im Zuge seiner Tätigkeit für den Arbeitgeber (also LG) die Geräte versehentlich beschädigt haben sollte, dann müsste wohl die Betriebshaftpflicht  für den Schaden einstehen. Falls LG, was theoretisch möglich ist, dafür dann seinen Manager wiederum persönlich in Anspruch nimmt, könnte wiederum dessen D&O-Versicherung eintreten, falls er eine besitzt.

Eine „Directors and Officers“-Police ist quasi eine Berufshaftpflichtversicherung speziell für Geschäftsführer, Vorstände und Aufsichtsräte – und angesichts der gesetzlichen Haftungsrisiken dieser „Organe“ unbedingt empfehlenswert. Selbst wenn man nicht gewohnheitsmäßig an den Türen der Konkurrenz rüttelt.

Nachtrag, 28. 12. 2014: Die Sache hatte jetzt in Südkorea ein juristisches Nachspiel. Wie unter anderem N-TV berichtet, wurden in Südkorea deshalb die Konzernzentrale von LG und eine Haushaltsgerätefabrik von der Polizei durchsucht. Samsung habe mehrere LG-Manager wegen „Verleumdung, Sachbeschädigung und Geschäftsbehinderung“ verklagt.
Da macht sich eine „Directors and Officers“-Police vermutlich inzwischen wirklich bezahlt. Gut, wenn man sie hat.

Wer haftet, wenn IT-Mitarbeiter Fehler machen – das Unternehmen oder der Mitarbeiter selbst?

von

Shit happens.

Wenn man im IT-Bereich arbeitet, sollte man als Arbeitnehmer natürlich dafür sorgen, dass Schäden so weit wie irgend möglich vermieden werden – dem eigenen Unternehmen zuliebe, der Kunden wegen, und ganz besonders im eigenen Interesse. Aber was passiert, wenn jemand dann doch „Mist gebaut” hat?

Viele IT-ler – vom Support-Mitarbeiter bis hin zum Vorstand oder Geschäftsführer – wissen nicht wirklich über die persönlichen Haftungsrisiken Bescheid, die der Beruf jeden Tag mit sich bringt.

Der Arbeitnehmer haftet gegenüber seinem Arbeitgeber.

Das gilt um so umfassender, je höher er in der Hierarchie steht. Wie für jeden Arbeitnehmer gelten für den IT-Leiter, den Sicherheitsbeauftragten oder Administratoren so genannte „arbeitsvertragliche Nebenpflichten” in Form von Schutz-, Mitwirkungs-, Geheimhaltungs- oder Aufklärungspflichten. Dabei wird juristisch ein „fiktiver“ Maßstab angelegt – als Vergleich dient ein „typischer” Mitarbeiter mit durchschnittlichen Fähigkeiten in einer vergleichbaren Position. Mit anderen Worten: An den leitenden Mitarbeiter werden höhere Anforderungen gestellt als an den gewöhnlichen Mitarbeiter.

Wenn der Arbeitnehmer seine Pflichten aus dem Arbeitsvertrag verletzt und beim Arbeitgeber deshalb ein Schaden eintritt, dann haftet der Mitarbeiter. Im Gesetz (§ 619a BGB) ist für solche Fälle allerdings eine Umkehr der Beweislast verankert: Der Arbeitgeber muss das Verschulden des Arbeitnehmers beweisen.

Die Haftung gegenüber dem Arbeitgeber richtet sich nach dem Grad der Fahrlässigkeit.

Die juristischen Kriterien für die Haftung von Arbeitnehmern im Rahmen des sogenannten innerbetrieblichen Schadensausgleichs wurden von der Rechtsprechung ursprünglich für „gefahrgeneigte Arbeit“ entwickelt. Die neuere Rechtsprechung hat sie aber längst auf jede Tätigkeit ausgeweitet, einschließlich von IT-Berufen. Sie bestimmen, dass der Arbeitnehmer nur beschränkt für Schäden haftet, die er im Rahmen seiner beruflichen Tätigkeit fahrlässig verursacht hat, und zwar abhängig vom Ausmaß der Fahrlässigkeit. (Der Begriff der „Gefahrgeneigtheit“ geistert trotzdem noch immer durch das Vokabular im Arbeitsrecht, er wird im eigentlichen Sinn jedoch heute nur noch dafür benutzt, um in bestimmten Fällen den Schaden zwischen Arbeitnehmer und Arbeitgeber aufzuteilen.)

Juristen unterscheiden zwischen leichter, mittlerer und grober Fahrlässigkeit sowie Vorsatz.

  • Bei leichter Fahrlässigkeit (Kategorie: „Passiert jedem mal”, etwa ein zu Boden gefallenes und deshalb kaputtes iPad) haftet der Arbeitnehmer nicht gegenüber seinem Arbeitgeber.
  • Bei mittlerer Fahrlässigkeit wird es komplizierter. Die liegt dann vor, wenn der Arbeitnehmer seine Sorgfaltspflicht missachtet hat. Ein Beispiel könnte sein, dass ein Gerät mit dem falschen Netzteil verbunden und durch Überspannung beschädigt wurde. In diesem Fall wird der Schaden zwischen Arbeitnehmer und Arbeitgeber aufgeteilt, wobei je nach den Gegebenheiten im konkreten Fall eine Quote (z. B. 40/60 oder 50/50) festgelegt wird. Die Kriterien dafür sind u. a. das Ausmaß des Fehlverhaltens (Wie blöd muss man sich anstellen, damit so etwas passiert?), die Gefahrgeneigtheit der konkreten Arbeit (Wie leicht kann dabei etwas schief gehen?) und die Person des Arbeitnehmers (Wie viel Erfahrung hat er, ist ihm so etwas schon öfter passiert?). Aber auch die Frage nach dem Mitverschulden des Arbeitgebers ist wichtig (Wurde dafür gesorgt, das konkrete Risiko wenn möglich zu verringern, z. B. durch Informationen? Hätte der Arbeitgeber die Möglichkeit gehabt, diese Art Schaden zu versichern, aber darauf verzichtet?) All das fließt in die Beurteilung ein und ergibt dann die Quote der Schuldzuteilung, die im Streitfall vom Gericht festgelegt wird.
  • Einfacher ist der Fall wieder bei grober Fahrlässigkeit („Darf nicht passieren”) oder gar bei Vorsatz. Wer betrunken die Datenbank verwalten will und dabei zerschießt, oder gar bewusst Passwörter an Dritte verrät, der haftet seinem Arbeitgeber in der Regel voll für den Schaden, den dieser dadurch erleidet. Vorsatz ist allerdings nur dann gegeben, wenn Sie als Arbeitgeber beweisen können, dass der Arbeitnehmer den Schaden bewusst herbeiführen wollte. Und auch hier kann die Haftungspflicht des Angestellten dadurch geringer werden, wenn der Arbeitgeber zur Schadenhöhe beitragen hat – weil er zum Beispiel mögliche und zumutbare Versicherungen nicht abgeschlossen hat.

Gegenüber Kunden, Kollegen und unbeteiligten Dritten haftet der Arbeitnehmer voll.

Anders sieht es bei der Haftung gegenüber Dritten wie beispielsweise Kunden des Unternehmens aus. Für die dort eingetretenen, von ihm verschuldeten Schäden haftet der IT-Mitarbeiter persönlich und in voller Höhe.

Bei leichter Fahrlässigkeit, im Einzelfall sogar bei mittlerer und grober Fahrlässigkeit, hat der Mitarbeiter allerdings einen Freistellungsanspruch gegen seinen Arbeitgeber, soweit er nach den gerade genannten Kriterien nicht haften muss.

Versichern!

Noch einmal: Wenn der Mitarbeiter bei seiner Arbeit für das Unternehmen mittelmäßig fahrlässig handelt und dadurch beim Kunden einen Schaden für das Unternehmen verursacht, dann aber ins Feld führen kann, dass diese Tätigkeit ja problemlos hätte versichert werden können, dann hat er sehr gute Chancen, mit diesem Argument vor Gericht Gehör zu finden, soweit ein Rückgriff des Versicherers auf den Mitarbeiter vertraglich ausgeschlossen ist  – das ist gängige Rechtsprechung.

Generall hat das Unternehmen im Streit um die Haftung gegenüber dem Arbeitnehmer immer das Problem der Beweislast.

Dazu kommt, dass die Chancen für Zahlungsfähigkeit im Vergleich bei der Versicherung deutlich besser aussehen – diese kann sich ja rückversichern. Dagegen kann gerade in der IT-Branche ein einfacher Angestellter ganz schnell Schäden anrichten, die seine finanziellen Ressourcen weit übersteigen. Ein Schadenersatzanspruch, den Sie mangels Zahlungsfähigkeit nicht durchsetzen können, nützt Ihnen wenig.

Fazit: Auch die Risiken, die sich aus möglichen Fehlern Ihrer Mitarbeiter ergeben, sollten unbedingt angemessen versichert sein.

Wenn Sie Fragen dazu haben

Ich berate Sie gerne. Rufen Sie mich an oder schicken Sie mir eine Nachricht.

Wenn Mitarbeiter Unternehmens-Laptops privat nutzen, besteht Regelungsbedarf

von

Klare Trennung von Arbeit und Privatleben, von Wohnung und Büro – das war einmal. Heute wachsen beide Welten zusammen, und das hat Folgen. Vor einiger Zeit haben wir uns mit den Risiken befasst, die dann entstehen, wenn die Arbeitnehmer ihre eigenen Geräte für die Arbeit nutzen  („BYOD – Bring Deinen Rechner mit, die Firma haftet?”). Aber auch das Umgekehrte ist Alltag: Die Firma stellt Laptop, Tablet oder Smartphone, die Mitarbeiter nutzen diese auch privat. Und auch hier gibt es ein paar Aspekte, die  Geschäftsführer und Arbeitgeber kennen sollten.

Die private Nutzung ist nicht steuerpflichtig

Im Prinzip ist es wie bei Firmenwagen: Der Arbeitgeber kann, wenn er das möchte,  die private Nutzung der zu dienstlichen Zwecken überlassenen Fahrzeuge ausdrücklich gestatten. Wobei Laptops in einer Beziehung im Vorteil sind: Anders als beim Firmenwagen stellt die unentgeltliche Überlassung in diesem Fall  keinen „geldwerten Vorteil“ dar, muss also nicht versteuert werden. Das steht inzwischen ausdrücklich im Gesetz (§ 3 Nr. 45 EStG). Voraussetzung ist allerdings, dass das Gerät Eigentum des Arbeitgebers bleibt und dem Mitarbeiter nicht etwa geschenkt oder günstig überlassen wird. Dann fallen durch den Firmen-Laptop übrigens auch keine Sozialversicherungsbeiträge an.

Wenn die private Nutzung gestattet wird, kann der Arbeitgeber darüber bestimmen, in welcher Art und in welchem Umfang der Laptop privat genutzt werden darf. Falls nichts vereinbart worden ist, dann ist der Arbeitnehmer gut beraten, sich Klarheit darüber zu verschaffen – und sich an diese Regeln anschließend auch zu halten. Andernfalls steht nämlich recht schnell eine Verletzung des Arbeitsvertrages im Raum. Das kann in eine Abmahnung münden oder im schlimmsten Fall eine Kündigung nach sich ziehen. Selbst Schadenersatzansprüche des Arbeitgebers sind nicht ausgeschlossen. Wer im Urlaub in Übersee ausgiebig mit dem Firmen-Webstick surft und damit eine saftige Rechnung produziert, kann vom Chef anschließend zur Kasse gebeten werden.

Arbeitsrechtliche Aspekte

Gibt es keine klare Vereinbarung über eine private Nutzung, dann darf der Arbeitnehmer den Laptop erst recht nicht während der Arbeitszeit für private Zwecke nutzen. Wer während der Arbeitszeit seine privaten Bankgeschäfte tätigt oder den nächsten Urlaub bucht, der verletzt nämlich seine Pflicht zur Arbeitsleistung. Umgekehrt kann die Privatnutzung quasi zum Gewohnheitsrecht werden: Wenn es im Unternehmen üblich ist, einen Laptop zwischendurch auch für private Zwecke einzusetzen, kann sich hieraus eine stillschweigende Einwilligung des Arbeitgebers im Sinne einer „betrieblichen Übung“ ergeben.

Doch auch dann bleiben noch zahlreiche Fragen offen: In welchem Umfang darf der Laptop genutzt werden, wie viel darf der Arbeitnehmer surfen, sind bestimmte Formen der Nutzung (pornographische Angebote z. B. ) untersagt usw.

Klare Vereinbarungen sind wichtig

Klarheit kann hier nur eine eindeutig formulierte, verbindliche Nutzungsrichtlinie schaffen – , gleichgültig, ob man das Kind nun „Internet-Policy“, „Guidelines“ oder „Zusatzvereinbarung“ nennt und  im Arbeitsvertrag oder per Betriebsvereinbarung festhält. Vergleichbare Regelungen sollen übrigens auch für Mobiltelefone oder Tablets getroffen werden.

Darin lässt sich unter anderem festhalten, ob die private Nutzung überhaupt gestattet ist und ob sie, wenn ja, etwa auf die Pausenzeiten und den Feierabend beschränkt bleibt. Der Arbeitgeber kann den Mitarbeitern untersagen, betriebsfremde Software auf dem Laptop zu installieren, bestimmte Daten (etwa Filme) herunterzuladen oder manche Dienste (P2P-Tauschbörsen) zu nutzen.

Explizite Vorschrift sollte sein, dass Firmendaten unter keinen Umständen zu anderen Zwecken oder auf externen Medien gespeichert werden. Sie sind und bleiben Firmeneigentum.

Doch selbst wenn der Arbeitnehmer  trotz eines ausdrücklichen Verbots private Daten gespeichert hat, rechtfertigt dies noch keine Kündigung. Das hat das Bundesarbeitsgericht in einem konkreten Fall entschieden ( BAG, Urt. v. 24.03.2011, 1 AZR 282/10):  Pikanterweise hatte ausgerechnet der Chef der IT-Abteilung eines Unternehmens private Daten auf dem Firmen-Laptop und Firmendaten auf einer privaten Festplatte gespeichert, beides war laut Arbeitsvertrag untersagt .

Erlaubte Privatnutzung kann zum Anspruch führen

Ob die sofortige Rückgabe des Laptops bei Freistellung des Arbeitnehmers verlangt werden kann, hängt wesentlich davon ab, ob das Gerät ausschließlich für dienstliche Zwecke überlassen worden ist. In diesem Fall kann der Arbeitgeber den Laptop mit der Freistellung zurückverlangen.  Ist dagegen eine private Nutzung erlaubt worden, handelt es sich bei diesem Privileg um einen Einkommensbestandteil, der selbst im Falle einer Freistellung nicht entzogen werden darf, genauso wenig wie das Gehalt als solches.

Allerdings kann wie bei der Überlassung eines Dienstwagens ein Widerrufsvorbehalt für den Arbeitgeber vereinbart werden. Dieses Vorrecht darf aber nicht zu allgemein formuliert sein: Kann das Widerrufsrecht laut Vereinbarung  jederzeit und unbegründet ausgeübt werden, wird diese Regelung vor einem Arbeitsgericht mit großer Wahrscheinlichkeit nicht bestehen. Besser ist es, den Widerruf explizit an bestimmte Gründe zu knüpfen wie etwa die Freistellung, aber auch Versetzungen in andere Tätigkeitsbereiche etc.

Datenschutz

Probleme können sich aber auch aus einem ganz anderen Grund ergeben – denn auch der Datenschutz muss beachtet werden. Der private E-Mail-Verkehr des Arbeitnehmers darf zum Beispiel nicht einfach durch Datensicherungsroutinen zusammen mit den Firmen-E-Mails gespeichert werden. Dann könnte selbst das Finanzamt  unter Umständen im Rahmen einer Betriebsprüfung auf den privaten Schriftwechsel des Mitarbeiters Zugriff haben, weil die Mails zusammen mit anderen betrieblichen Mails archiviert worden sind.  Damit hat das Unternehmen ein Problem, denn es gibt datenschutzrechtlich geschützte Informationen des Mitarbeiters heraus – und haftet dafür.

Versicherungsverträge anpassen!

Als Versicherungsfachmann betrachte ich natürlich auch dieses Thema aus der Perspektive des Risikomanagements. Die private Nutzung von Firmen-Laptops zu gestatten kann aus Sicht der Mitarbeitermotivation sehr sinnvoll sein. Damit verändern sich jedoch auch die Risiken des Unternehmens, die versichert werden müssen.

Das reicht von möglichen Ansprüchen aufgrund von Datenschutzverstößen – denken Sie an das Beispiel mit der Betriebsprüferin vom Finanzamt, die plötzlich Einsicht in private Mails erhält – über verlorengegangene Firmendaten bis hin zu arbeitsrechtlichen Auseinandersetzungen. Diese Risiken sollten möglichst genau und realistisch in Ihren Versicherungsverträgen abgebildet werden – so, dass keine akuten Risiken „offen” bleiben, aber auch so, dass nicht für die Deckung von Risiken bezahlt wird, die gar nicht von Belang sind.

Entscheidend ist, wie die tatsächliche Praxis im Unternehmen aussieht. Deshalb sind klare Vereinbarungen nicht nur juristisch von Vorteil, sie senken auch Ihr Unternehmensrisiko und damit Ihre Kosten.

Wollen Sie mehr wissen über die private Nutzung von Firmen-Laptops und die daraus resultierenden Versicherungsfragen? Ich gebe Ihnen gerne Antwort .

Cloud-Kunde zahlt nicht, Cloud-Anbieter löscht Daten? Vorsicht, Haftungsrisiko.

von

Cloud Services sind mittlerweile Alltag in der IT-Branche. Und damit rücken auch rechtliche Probleme in den Fokus, an die vorher kaum jemand gedacht hat, die aber eben den Geschäftsalltag bestimmen. Zum Beispiel die Frage, wie ein Cloud-Dienstleister reagieren soll, wenn der Unternehmenskunde für das vereinbarte Bereithalten der Daten, Software etc.  nicht bezahlt. Kann der Cloud-Service die Daten dann einfach löschen?

Eher nicht, zumindest nicht „einfach so” – so könnte man einen Beitrag von Rechtsanwalt Jens Ferner zusammenfassen. Vorsicht ist schon deshalb angebracht, weil es um große Haftungssummen gehen kann. Kundenkartei, Produktdaten oder Buchhaltungsvorgänge – diese Daten sind viel wert und ihr Verlust führt schnell zu teuren Folgeschäden. Entsprechend hoch können dann spätere Schadenersatzansrpüche durch den Kunde oder einen Insolvenzverwalter ausfallen.

Auch wenn Cloud-Anbieter eine entsprechende Regelung in den AGB  hat, kann er Probleme bekommen, so Rechtsanwalt Ferner. Der Bundesgerichtshof den Hostingvertrag zwar vor einigen jahren als Mischform von Miet- und Werkvertrag gekennzeichnet (BGH, 4. 3. 2010 -III ZR 79/09). Aber für IT-Rechtsexperte Ferner überwiegen speziell beim Cloud-Vertrag die mietvertraglichen Aspekte.

Und der Vermieter eines Lagerraums etwa darf die dort untergebrachten Dinge auch nicht einfach entsorgen, wenn der Kunde nicht zahlt – er muss sie einlagern und gegebenenfalls verwerten. Analog dazu, so Jens Ferner, müsse auch der Cloud-Anbieter vorgehen: Die Daten zumindest vorerst sichern. Das sei angesichts der niedrigen Kosten auch zumutbar. Anders als der Lagerverwalter darf er die Daten aber nicht verwerten – der Datenschutz verhindert den Zugriff darauf. Doch wie lange das Speichern für den nichtzahlenden Kunden dauern soll, dazu macht der Fachbeitrag leider keine genauen Angaben. „Durch ein geeignetes und beweissicheres Prozedere kann man hier dafür Sorge tragen, dass die Daten letztlich gelöscht werden können.” lautet die eher vage Aussage.

Natürlich muss es nicht sein, dass das Gericht in einem konkreten Fall  die Sichtweise von Jens Ferner teilt. Aber die Möglichkeit besteht durchaus. Und das Szenario zeigt wieder einmal, dass man als IT-Dienstleister sehr viel schneller in Haftungsfallen treten kann, als einem lieb ist. Gut, wenn die Haftpflichtversicherung  des Unternehmens und die persönliche Haftungspolice des Geschäftsführers aktuell und genau auf die Risiken hin angepasst sind, die sich aus dem eigenen Geschäftsmodell tatsächlich ergeben.

  • Natürlich kann auch der beste Versicherungsvertrag Vorsicht nicht ersetzen und Pech nicht verhindern. Aber eine gute Betriebs- und Produkthaftpflichtversicherung bietet nicht nur finanziellen Schutz bei begründeten und berechtigten Schadenersatzansprüchen gegen das Unternehmen. Sie hilft auch, unbegründete Ansprüche juristisch abzuwehren, denn sie übernimmt die Anwalts- und Gerichtskosten.
  • Außerdem gewährt eine gute Haftpflichtversicherung grundsätzlich auch bei Fahrlässigkeit Versicherungsschutz.
  • Wenn ein Gericht die Datenlöschung später als vorsätzlich begangene Straftat einstuft, wird kein Versicherer bezahlen. Aber: Juristen machen einen Unterschied zwischen Vorsatz , bedingtem Vorsatz und Fahrlässigkeit.  Im konkreten Fall ist diese Unterscheidung sehr wichtig – dafür, ob die Versicherung bezahlt, aber auch für die Frage, ob der Geschäftsführer bzw. Inhaber eines Unternehmens persönlich haftet oder strafrechtlich belangt wird. Richtig versichert zu sein  bedeutet auch, sich einen guten, fachkundigen Strafverteidiger leisten zu können, und das  nicht erst mit Eröffnung des gerichtlichen Verfahrens,  sondern bereits ab Einleitung der Ermittlungen.

Den Beitrag von Jens Ferner finden Sie hier: „Cloud-Computing und IT-Vertragsrecht: Dürfen Anbieter Daten der Kunden bei Zahlungsverzug löschen?”

Haben Sie Fragen zu Versicherungsmöglichkeiten und Risikomanagement in Bezug auf ein konkretes IT-Geschäftsfeld?

Sprechen Sie mich an.

Datenschutz bringt echte Marktvorteile – und nicht nur Karma-Punkte

von

Versichern und vermeiden

Als Versicherungsmakler liegt es mir am Herzen, dass die Risiken, gegen die ich die von mir betreuten Unternehmen versichere, möglichst nie Realität werden.

Nicht, weil die Versicherung dann zahlen muss. (Als Versicherungsmakler bin ich kein Versicherungsvertreter, das kann man gar nicht oft genug wiederholen. Ich verkaufe nicht Produkte eines Versicherers, ich „verkaufe” vielmehr Know-how und Beratung, damit der Versicherungsnehmer markt- und risikogerechten Versicherungsschutz bekommt. Dabei stehe ich auf Seiten des Versicherungsnehmers. Dazu bin ich sogar gesetzlich verpflichtet.)

Sondern deshalb, weil kein Schaden immer besser ist als selbst ein anstandslos regulierter Schaden. (Das erspart dem versicherten Unternehmen Ärger und mir  Arbeit, schließlich kümmere ich mich auch um Schadensregulierung.)

Und deshalb liegt mir das Thema Datenschutz am Herzen.

 

Datenschutz: vom Nerd-Thema zum Risikofaktor

Zu den großen Risiken im IT-Umfeld gehört mittlerweile das des Datenlecks. Aus einem Dornröschenthema für Fachjuristen und engagierte Nerds ist in wenigen Monaten ein echtes Damoklesschwert geworden, das jetzt über allen baumelt, die die Zeichen der Zeit nicht erkannt haben.

Denn inzwischen legen auch die Verbraucher Wert auf Datenschutz. „Datenschutz darf Geld kosten” – so fasste der vzbz die Ergebnisse einer Umfrage unter Verbrauchern zusammen, die er bei TNS Emnid in Auftrag gegeben hatte. Mehr als ein Drittel der Befragten zeigt sich demnach bereit, größere Datensicherheit auch mit einem höheren Preis zu honorieren. Und für Unternehmen ist inzwischen auch klar, wie riskant es ist, wenn das eigene Risikomanagement im Blindflug erfolgt.

(Etwa bei der Cloud – wenn man persönliche Daten von Dritten an einen Dienst außerhalb der EU übergibt, noch dazu unverschlüsselt bzw. mit Schlüsseln, die auf dem Server dort liegen, und der Vertrag außerdem keine Grundlage für Regressansprüche an den Cloud-Anbieter hergibt,  falls doch etwas passiert, und auch keine Lösch- oder Auskunftsansprüche nach deutschem Recht – das ist dann z. B. Blindflug.)

Aber eigentlich wollte ich gar nicht  von den Risiken beim Datenschutz reden – sondern von den Chancen. Denn das ist ja das Gute: Beim Thema „Datenschutz” geht es nicht darum, nur den Teufel an die Wand malen – man kann auch auf real existierende Vorteile verweisen. Ein funktionierendes Datenschutzkonzept ist ein echter Marktvorteil geworden. Sowohl bei Unternehmenskunden wie auch bei Endverbrauchern.

Datenschutz-Risiko: Quasi ein Schnelltest

Wie groß der eigene Handlungsbedarf ist, lässt sich – zumindest vorab – schon mit ein paar einfachen Punkten herausfinden.  Wer das alles so spontan unterschreiben kann, ist schon mal recht gut aufgestellt:

  • Bei uns gibt es einen Datenschutzbeauftragten, und zwar nicht nur pro forma. (Oder: Wir brauchen wirklich keinen.)
  • Sowohl in den Verträgen mit unseren Kunden wie auch mit unseren Dienstleistern sind Datenschutzansprüche klar geregelt, auch der Haftungsfall.
  • Für alle personenbezogenen Daten, die wir speichern, haben wir entweder eine gesetzliche Befugnis oder eine nachweisbare Einwilligung der Betreffenden. Und wir können personenbezogene Daten komplett löschen und tun dies auch, wenn der Nutzer sich abmeldet, kündigt o. ä.  Und zwar auch von allen Backup-Systemen etc.
  • Unsere Security-Policies und Schutzmaßnahmen sind auf den Stand der Zeit. Und auch die Privat-Geräte der Mitarbeiter bilden keine Lücke im System.
  • Falls doch etwas passiert, und wir verantwortlich sind (und das sind wir selbst dann, wenn unser Provider/Dienstleister/Cloud-Dienst/Mitarbeiter … schuld ist), dann kommen zwar Schadenersatzforderungen auf uns zu, aber wir sind versichert. Wir haben das Thema Datenschutz schließlich rechtzeitig mit unserem Versicherungsmakler durchgesprochen.

Falls Sie Fragen oder Anmerkungen zum Thema „Datenschutz-Risiken und Versicherungen“ haben: Sprechen Sie mich an.

 

 

 

Bring your own device (BYOD): Bring Dein eigenes Gerät, die Firma haftet?

von

Drei Studien, ein Problem

  • Fast ein Drittel aller deutschen Unternehmen mit mehr als 1.000 Mitarbeitern hat durch BYOD bereits wichtige Daten verloren. Das besagt eine Studie, über die Heise berichtet.
  • Andererseits erlaubt mit  43 % annähernd die Hälfte der IT-Unternehmen hierzulande den Mitarbeitern, eigene Geräte für die Arbeit zu nutzen, von denen wiederum nur 60 % dafür feste Regeln aufstellen –  so eine andere Studie vom Branchenverband Bitkom.
  • Wobei Betriebsvereinbarungen etc. oft ohnehin wenig bringen: Fast die Hälfte der Arbeitnehmer bis 32 schert sich schlichtweg nicht um Verbote und Einschränkungen und nutzt die eigenen Geräte einfach trotzdem. Das ergab eine Fortinet-Umfrage zum BYOD-Verhalten der „Generation Y“.

Kaum noch ohne BYOD

Dass BYOD für  die Rechner- und Datensicherheit des Unternehmens  ein Horror ist, liegt auf der Hand. Heterogene Hardware, unterschiedliche Betriebssysteme, eine völlig uneinheitliche Ausrüstung  mit Firewalls, Virensoftware und Backup-Programmen, wenn überhaupt vorhanden. Dazu Nutzer, die das jeweilige Gerät als Teil ihrer persönlichen Ausrüstung begreifen, an allen möglichen Orten im Internet unterwegs sind, unkontrolliert herunterladen und installieren, mit weiß wem Kontakt haben und fleißig Wechseldatenträger nutzen …

Arbeitsrechtlich bzw. juristisch ist BYOD ebenfalls ein Alptraum. Arbeit und Privatsphäre, persönliche und Unternehmensdaten, Privatbesitz und Firmeneigentum – alles vermischt sich. Da freut sich der Anwalt, wenn es zu Konflikten kommt …

Dazu kommen die steuerlichen Unklarheiten, wenn Privat- und Firmeneigentum, berufliche und private Nutzung sich vermischen.

Trotzdem kann man BYOD oft kaum noch wirksam verbieten – s.o. Außerdem macht ein BYOD-VErbot die Suche nach jungen Talenten für den „Mangelberuf Anwendungsentwickler“  und ähnliche Jobs sehr viel schwieriger.  Daneben ist BYOD der Preis (und der Köder) für die erhöhte Verfügbarkeit wichtiger Leute und spart oft Anschaffungskosten.

Schutzmaßnahmen festklopfen

Ganz wichtig: Eine verbindliche und arbeitsrechtlich wirksame Richtlinie zu BYOD etablieren.

Wichtig ist aber auch, die einschlägigen Risiken klar zu erfassen und versichert zu haben. Gerade an dieser Front ist das Unternehmen abhängig vom Verhalten Dritter und anfällig für Pleiten, Pech und Pannen.

Wenn das ganz große Datenleck oder der Komplettverlust wichtiger Firmendaten da ist, hilft Ihnen auch ein Haftungsanspruch gegen den Sündenbock  nicht mehr viel.  Dann retten  Sie nur noch gute Nerven und eine ausreichende Deckung in Ihrer Versicherungspolice.

Punkte für eine BYOD-Richtlinie

Dennoch: Die arbeitsrechtliche Absicherung von  BYOD ist absolut zentral – schon deshalb, um das Bewusstsein der Mitarbeiter zu schärfen und um Rechtsstreitigkeiten mit dem eigenen Personal von vornherein den Boden zu entziehen. Welche Punkte  in Sachen BYOD im Arbeitsvertrag oder per Betriebsvereinbarung zu klären sind, haben die Rechtsanwälte Sebastian Dramburg und Matthias Sziedat in einem Gastbeitrag für Deutsche-Startups.de aufgelistet. Die von ihnen genannten Punkte kurz zusammengefasst:

  • Klare Regeln dazu, wer wie viel bezahlt für Anschaffung, Zubehör und Reparaturen
  • Haftung bei Softwarenutzung ohne Lizenz
  • Regeln für Verlust oder Beschädigung
  • Klare Abmachungen zum Umgang mit persönlichen Daten des Mitarbeiters auf dem Gerät
  • Regeln für den Fall des Ausscheidens des Mitarbeiters oder bei akuten Konflikten

Fragen an Ihren Versicherer

Zusätzlich sollten Sie sich aber bei jedem dieser Punkte auch fragen: Wie steht mein Unternehmen da, wenn die Richtlinie nicht greift?

Ist das neue iPhone, das der Marketingchef auf der Messe liegen lässt, versichert? Wenn der Entwickler im Streit geht und das Unternehmen keinen Zugriff mehr auf den bislang erstellten Code auf dessen Laptop hat, wer bezahlt dann die Vertragsstrafe an den Kunden? Wie steht es, wenn der Vertriebsmitarbeiter sich einen Trojaner einfängt und die Kunden verteilt, die dann Schadensersatz fordern? Kann man für den Schaden vorsorgen, der entsteht, wenn ein Mitarbeiter die Kundendaten auf „seinem“ Laptop für ein eigenes Unternehmen nutzt?

Wie immer gilt: Das sind zum einen Themen für Ihre IT-Sicherheit. Das alles sind aber auch Versicherungsfragen.  Sie sollten Sie Ihrem Versicherungsmakler oder Ihrem Versicherer stellen, bevor es passiert.

Fazit

BYOD ist ein Risiko, an dem Sie aber vermutlich kaum vorbeikommen. Um das Risiko zu begrenzen, müssen Sie es auf drei Ebenen angehen:

  1. auf Ebene der  IT-Sicherheit: in Bezug auf die Geräte selbst,
  2. auf arbeitsrechtlicher Ebene: in Bezug auf Ihre Mitarbeiter
  3. auf Unternehmensebene:  in Bezug auf Ihre betrieblichen Versicherungen

Außerdem sollten Sie mit dem Steuerberater über dieses Thema sprechen.

Links

EU-Datenschutzgrund­verordnung: Was auf IT-Unternehmen zukommt

von

Datenschutz ist großes Thema – auch auf EU-Ebene. Doch abseits täglich wechselnder Aufregungen über abgehörte Handys und und Netzknotenpunkte gibt es beim Datenschutz auch Bewegungen, die den Geschäftsalltag der Unternehmen sehr konkret beeinflussen werden: Die neue EU-Datenschutzgrundverordnung nimmt Gestalt an.

Die geltende EU-Richtlinie zum Datenschutz stammt aus dem Jahr 1995. Damals tröpfelten die Daten oft noch mit 28.8 kBit/s durch das Modem in den Rechner. Und mit ähnlicher Geschwindigkeit schien sich auch die Nachfolgeverordnung über die verschlungenen Pfade der europäischen Gesetzgebung zu bewegen. Immerhin – sie hat das EU-Parlament erreicht und wurde dort in einer Kompromissfassung beschlossen .

Verabschiedet sehen will die zuständige Kommissarin, Viviane Reding, die neue Datenschutzverordnung bis April 2014 – das ist sehr ambitioniert. Aber im Mai 2014 sind EU-Wahlen. Und nachdem das Datenschutzthema nun dank Angela Merkels Smartphone endgültig die Schlagzeilen beherrscht, scheint vieles möglich. Es könnte sich also mittelfristig einiges ändern für IT-Unternehmen.

Der jetzige Text der Vereinbarung ist noch längst nicht der Stand, der dann irgendwann auch in Kraft tritt – vorher müssen EU-Kommission und die Regierungen der Mitgliedsstaaten zustimmen. Und allein bis jetzt gab es schon über 3.000 Änderungsanträge, wie Matthias Spielkamp auf iRights.info berichtet.

Interessante Regelungen enthält die Vorlage in jedem Fall:

  • Unternehmen, die von der Verordnung erfasst werden, müssen einen Datenschutzbeauftragten ernennen, eine Risikoanalyse zur Datenverarbeitung erstellen und sich alle zwei Jahre einer Überprüfung unterziehen. Aus Sicht des Risikomanagements ist das eine Risikoerhöhung. Wenn der Audit nicht bestanden wird, drohen ja Geschäftsausfälle.
  • Gelten soll die Verordnung für Unternehmen, wenn sie die Datensätze von mehr als 5000 Nutzern speichern –  das ist schnell erreicht. Demgegenüber wollte die EU-Kommission die Schwelle durch eine Mitarbeiterzahl 250 festlegen. Das ist natürlich ein großer Unterschied. Denn auch kleine Unternehmen haben schnell 5000 Newsletter-Abonnenten, Bestelladressen oder Datensätze in der von ihnen verwalteten Kundendatenbank.
  • Wie immer die Schwelle bestimmt wird: Firmen unterhalb davon brauchen keinen Datenschutzbeauftragten mehr. Das deutsche Datenschutzrecht schreibt im Moment vor, dass ein – externer oder interner – Datenschutzbeauftragter berufen werden muss, wenn mindestens zehn Mitarbeiter mit der Verarbeitung persönlicher Nutzerdaten zu tun haben. (Andererseits: Mit dem Datenschutzbeauftragten ist das Unternehmen die Haftung für Datenschutzverstöße ohnehin nicht los. Die bleibt im Zweifelsfall direkt bei der Geschäftsleitung – wo sie übrigens auch jetzt schon ist.)
  • Auch noch umstritten ist die Frage, wie hoch die Sanktionen bei Verstößen ausfallen. Dieser Aspekt ist aus aus Sicht des Risikomanagements natürlich besonders interessant. Die EU-Kommission wollte Strafen für Unternehmen auf eine Million Euro oder bei zwei Prozent des Jahresumsatzes deckeln. Die Parlamentsvorlage ist deutlich schärfer und legte die Grenze bei 100 Millionen Euro und fünf Prozent vom Umsatz fest. Der „Preis” für Datenschutzverstöße hat natürlich sehr direkte Auswirkungen darauf, wie teuer die Prämien der Vermögensschadenhaftpflicht oder der D&O- (Managerhaftpflicht)-Policen werden.
  • Geregelt wird auch das Recht auf Auskunft über gespeicherte Daten und auf deren Löschung. Beides schreibt das deutsche Datenschutzrecht im Grundsatz ja auch schon vor. Neu wäre aber, dass ein Unternehmen auch dafür verantwortlich ist, alles „Vertretbare“ zu unternehmen, um Dritte, welche die Daten verarbeitet haben, davon in Kenntnis zu setzen, dass der Betroffene die Löschung seiner Daten und damit auch Verlinkungen verlangt. Hier kündigen sich möglicherweise neue Haftungsrisiken an, die durch entsprechende Verträge mit Geschäftspartnern, aber auch durch Anpassung der eigenen Haftpflichtversicherung aufgefangen werden müssen.
  • Persönliche Daten dürfen nur mit Einwilligung erfasst oder verarbeitet werden. Allerdings gibt es eine etwas schwammige Ausnahmeregelung, die bei Datenschutzaktivisten Protest auslöst. Mal abwarten, wie dieser Punkt am Ende gefasst wird.
  • Auch nicht ohne ist für die Anbieter das Recht aus Datenportabilität: Selbst erstellte Profile und Inhalte soll der Nutzer von einem Dienst zum anderen mitnehmen können wie die Rufnummer beim Wechsel des Mobilfunkvertrags. Die bisher genutzte Plattform muss dann die gespeicherten, möglicherweise bereits veröffentlichten und von anderen Nutzern geteilten Inhalte löschen. Auch das ein neues Haftungsrisiko.
  • Datenschutzverstöße wie Datendiebstahl müssen den Betroffenen ohne Verzögerung, mindestens innerhalb 72 Stunden, mitgeteilt werden. Das begründet wiederum mögliche Ansprüche von Kunden, die zu spät über Datenverluste informiert werden.
  • Datenschutzrechtliche Ansprüche von EU-Bürgern werden durch die EU-Verordnung vereinheitlicht. Zur Zeit können Services mit Sitz in den USA sich auf dortige Bestimmungen zurückziehen, auch bei deutschen Kunden. Das wird dann Vergangenheit sein – auch US-Dienste müssen sich an die EU-Vorschriften halten, wenn sie EU-Nutzer haben. Ob das auch durchsetzbar ist, muss man allerdings abwarten.

Wie gesagt: Noch ist vieles im Fluss, die große Schlacht der Lobbyisten, Aktivisten und Einflussgruppen ist noch lange nicht vorbei. Aber eines ist sicher: Datenschutz hat einen Preis, und den zahlen unter anderem die Unternehmen. Zum Beispiel in Form erhöhter Versicherungsprämien für Policen mit erweiterter Deckung. Um so wichtiger ist es, die Versicherungsverträge optimal zu gestalten, um weder Geld zu verschenken noch von Deckungslücken bedroht zu werden.

 

Ein externer Datenschutz­beauftragter braucht eine Zusatz-Versicherung (auch ein Rechtsanwalt)

von

Externer Datenschutzbeauftragter? Haftpflicht-Zusatzversicherung nötig

Wenn Sie als externer Datenschutzbeauftragter tätig sind und keine Zusatzversicherung bzw. Deckungserweiterung Ihrer Berufshaftpflichtpolice haben, führen Sie eine gewagte Existenz. Sie haben dann Haftungsrisiken übernommen, die vermutlich nicht versichert sind. Das gilt auch, wenn Sie als Rechtsanwalt eine Pflichtversicherung haben.

Ihre Haftung aus der Tätigkeit als externer Datenschutzbeauftragter ist durch die „normale” Berufshaftpflichtversicherung bzw. Vermögensschadenhaftpflicht nicht abgedeckt.

Die Deckungserweiterung kann durchaus zu einer Zusatzprämie führen, die sich im Regelfall am Honorarumsatz der Tätigkeit als Datenschutzbeauftragter bemisst.

Das gilt auch bei Rechtsanwälten

Vielen externen Datenschutzbeauftragten ist nicht bewusst, dass diese Zusatztätigkeit in der Deckung Ihrer Berufshaftpflichtversicherung nicht automatisch enthalten ist. Es ist aber so – das haben mir auf Anfrage alle gängigen Anwaltsversicherer bestätigt. Eine typische Begründung lautet, die Arbeit als Datenschutzbeauftragter sei ja keine freiberufliche Tätigkeit.

Auch bei der Bundesrechtsanwaltskammer konnte ich keine Bestätigung dafür bekommen, dass man dort die Tätigkeit als externer Datenschutzbeauftragter zum typischen Tätigkeitsprofil eines Anwalts zählt, die also unter das Berufsbild des Rechtsanwalts subsumiert werden könnte.

Es bleibt dabei: Als externer Datenschutzbeauftragter brauchen Sie in aller Regel

  • entweder eine eigene Haftpflichtversicherung speziell für diese Tätigkeit, oder
  • eine Erweiterung der Deckung Ihrer Berufshaftpflicht-Police,

… sonst stehen sei im Haftungsfall „nackt” da.

Eine Anmerkung aus Sicht der Kunden

Haben Sie als Datenschutzbeauftragter versäumt, sich für diese Tätigkeit zu versichern, können die Folgen für Ihre Kunden mindestens ebenso problematisch sein. Verschulden Sie einen Datenschutzverstoß, hat der Kunden zwar grundsätzlich einen Anspruch auf Regress für den entstandenen Schaden einschließlich der Vermögensschäden. Doch das wird wenig nutzen, wenn die finanzielle Absicherung dafür fehlt.

Im Zweifel kann sogar eine persönliche Haftung des Geschäftsführers oder Inhabers Ihres Auftraggebers abgeleitet werden (Auswahlverschulden). Schon deshalb sollte jedes Unternehmen, das einen externen Datenschutzbeauftragten unter Vertrag nimmt, einen Versicherungsnachweis speziell für diese Tätigkeit verlangen. Sie selbst wiederum können mit einem solchen Versicherungsnachweis gegenüber potenziellen Kunden punkten.

Interner oder externer Datenschutzbeauftragter? Auch Risiken und Haftung zählen

von

Ob ein interner oder externer Datenschutzbeauftragter für ein IT-Unternehmen die bessere Wahl ist, hängt nicht nur von den direkten Kosten ab. Wichtig sind auch die Auswirkungen auf das Unternehmensrisiko und mögliche Haftungsgesichtspunkte.

Haftung beim Datenschutz

Für IT-Unternehmen ist es besonders „leicht”, gegen Datenschutzbestimmungen zu verstoßen. Mit personenbezogenen Daten zu arbeiten ist für sie ja Alltag. Dafür genügt es schon, wenn sie für ein anderes Unternehmen eine Datenbank mit dessen Kunden-, Bestell- oder Personaldaten anlegen oder pflegen. Prompt ergibt sich eine ganze Reihe von Rechtspflichten (aus dem Bundesdatenschutzgesetzes BDSG , aber auch aus anderen Gesetzen wie dem  TKG oder dem TMG) und damit eine Menge Stolperfallen.

Die Liste der Details, auf die das Unternehmen beim Datenschutz  achten muss, reicht …

  • von der formellen, schriftlich fixierten Beauftragung  bei Datenverarbeitung im Auftrag des Kunden …
  •  über die Bestellung eines kompetenten  internen oder externen Datenschutzbeauftragten (Pflicht spätestens ab 10 Personen, die  mit personenbezogenen Daten zu tun haben einschließlich freier Mitarbeiter, Praktikanten etc.) sowie …
  • umfangreichen Dokumentationspflichten (interner und externer Verfahrensnachweis) bis hin zu …
  • Auskunfts- und Belehrungspflichten gegenüber Dritten.

Für die Einhaltung der Datenschutzvorschriften ist die Geschäftsführung verantwortlich. Diese Verantwortung lässt sich auch nicht einfach delegieren, bei einem Datenschutzverstoß muss sich der Geschäftsführer oder der Vorstand zumindest ein Organisationsverschulden anrechnen lassen.

Wann haftet ein externer Datenschutzbeauftragter?

Schon aus Haftungsgesichtspunkten ist es oft sinnvoll, einen externen Datenschutzbeauftragen zu engagieren. Dieser haftet grundsätzlich einmal dafür, dass er seine Funktion ordentlich erfüllt –  egal ob es sich um einen Rechtsanwalt handelt oder ob man einen spezialisierten Dienstleister wie etwa den TÜV oder das IITR nutzt. Natürlich kommt es auf die Vertragsgestaltung an, ein kompletter Haftungsausschluss oder die pauschale Beschränkung auf eine bestimmte Summe  ist für externe Datenschutzbeauftragte nach gängiger Rechtsansicht jedoch nicht möglich.

Deshalb brauchen externe Datenschutzbeauftragte auch unbedingt eine Versicherung ihrer beruflichen Vermögensschadenshaftpflicht. Von einem externen Datenschutzbeauftragten sollten Sie sich deshalb auf jeden Fall eine Versicherungsbestätigung vorlegen lassen, als Nachweis einer angemessenen Vermögensschadenhaftpflichtversicherung. Handelt es sich um einen  Rechtsanwalt, dann ist er zwar ohnehin pflichtversichert, aber seine  anwaltliche Berufshaftpflichtversicherung deckt nicht von vornherein mögliche Schäden aus der Tätigkeit als externer Datenschutzbeauftragter ab. Dafür ist eine Erweiterung der Police oder eine Zusatzversicherung notwendig. Das gilt natürlich auch für andere Berufe.

Allerdings kann ein  Unternehmen, das einen externen Datenschutzbeauftragten bestellt, die Haftung nicht einfach an diesen „weitergeben”. Kommt es zu einem Datenschutzverstoß, ist dennoch die Unternehmensleitung die Adresse für den Geschädigten. Muss das Unternehmen aber z. B. Schadenersatz leisten, kann es seinerseits den externen Datenschutzbeauftragen in Anspruch nehmen, falls dieser durch seine Tätigkeit den Verstoß hätte verhindern können und müssen.

Im Gegensatz zu einem internen Mitarbeiter, der als Arbeitnehmer nur beschränkt haftet, muss ein externer Beauftragter nicht etwa grob fahrlässig oder vorsätzlich gehandelt haben, um zu haften – einfaches Verschulden reicht grundsätzlich. Deshalb ist der Versicherungsnachweis wichtig. Er stellt sicher, dass die  die Ansprüche des Unternehmens im Falle eines Falles nicht ins Leere gehen.

Hat die Geschäftleitung jedoch einen unversicherten Datenschutzbeauftragten unter Vertrag genommen und gehen Regressansprüche finanziell ins Leere, muss der Geschäftsführer bzw. Inhaber unter Umständen sogar damit rechnen, dass ihm das als Auswahlverschulden zur Last gelegt und daraus seine eigene persönliche Haftung abgeleitet wird.

Unternehmensrisiken verringern

Eine Anmerkung aus der Sicht des Versicherungsmaklers und Versicherungsexperten: Die Haftung des externen Datenschutzbeauftragten reduziert  das Risiko von Unternehmen und Geschäftsführung und damit den Versicherungsbedarf. Solche Haftungsaspekte sind für das Unternehmen selbst wichtig, sie fallen aber auch für mich als Versicherungsmakler ins Gewicht, wenn ich die Unternehmensrisiken begutachte.

Wie man sieht, ist  betrifft die Arbeit eines Versicherungsmakler nicht nur den Versicherungsabschluss. Meine Kunden und Mandanten erhalten gleichzeitig auch wichtige Anhaltspunkte für ihre Geschäftsentscheidungen.

Noch zwei Anmerkungen:

  •  Ein externer Datenschutzbeauftragter ist selbst aus Sicht des Personalwesens oft die sinnvollere Alternative. Ein interner Datenschutzbeauftragter ist im Rahmen dieser Tätigkeit von Weisungen unabhängig, hat Anspruch auf fortlaufende Weiterbildungen und genießt einen besonderen Kündigungsschutz – das kann zu Konflikten führen.
  • Immer wieder kommen Geschäftsführer auf die Idee, sich selbst zum Datenschutzbeauftragten zu bestellen oder dafür den Steuerberater zu nehmen, aber das  funktioniert nicht. Der Beauftragte darf nach gängiger Rechtsmeinung nicht in einem grundsätzlichen Interessenkonflikt zu seiner sonstigen Tätigkeit für das Unternehmen stehen.