Persönliche Haftung: Was § 38 Abs. 2 BSIG für Sie bedeutet
Wer als Geschäftsführer oder Vorstand seine Pflichten aus § 38 BSIG verletzt, haftet der eigenen Gesellschaft für den entstandenen Schaden. Das Gesetz erfindet dafür keine neue Haftung, sondern verweist auf das Gesellschaftsrecht, das Sie bereits kennen. Diese Seite erklärt, wie der Anspruch entsteht, was die Business Judgement Rule schützt und warum Ihre Akte der wichtigste Schutz ist.
- § 38 Abs. 2 BSIG: Haftungsnorm für die Geschäftsleitung
- innen Anspruch der eigenen Gesellschaft, nicht Dritter
- § 43 / § 93 GmbHG bzw. AktG als Haftungsmaßstab
- Akte Dokumentation ist der wirksamste Schutz
Was § 38 Abs. 2 BSIG regelt
Drei Fragen, die die Norm beantwortet: Wer haftet, wem gegenüber, wofür. Die Antwort auf die vierte Frage, nämlich wie, gibt das Gesellschaftsrecht.
- Wer
Die Geschäftsleitung
Geschäftsführer, Vorstände und vergleichbare Leitungsorgane einer besonders wichtigen oder wichtigen Einrichtung. Nicht der IT-Leiter, nicht der Informationssicherheitsbeauftragte, nicht der Prokurist. Die Pflichten aus § 38 sind persönliche Pflichten der Leitung.
- Wem gegenüber
Der eigenen Einrichtung
§ 38 Abs. 2 regelt die Innenhaftung: Die Gesellschaft hat einen Anspruch gegen ihre Geschäftsleitung. Geltend gemacht wird er von den Gesellschaftern, einem Aufsichtsrat, einem neuen Geschäftsführer oder, im Ernstfall, einem Insolvenzverwalter. Ansprüche Dritter richten sich nach den allgemeinen Regeln.
- Wofür
Den Schaden aus der Pflichtverletzung
Wer die Risikomanagement-Maßnahmen nicht billigt, ihre Umsetzung nicht überwacht oder sich nicht schulen lässt, und der Gesellschaft entsteht daraus ein Schaden, haftet für diesen Schaden. Bei einem Ransomware-Vorfall mit Produktionsstillstand ist das schnell ein sechs- oder siebenstelliger Betrag.
Nach welchen Regeln gehaftet wird
§ 38 Abs. 2 BSIG verweist auf die Vorschriften des für die Rechtsform geltenden Gesellschaftsrechts. Für die meisten Unternehmen heißt das § 43 GmbHG oder § 93 AktG.
| Rechtsform | Norm | Sorgfaltsmaßstab | Besonderheit |
|---|---|---|---|
| GmbH | § 43 GmbHG | Sorgfalt eines ordentlichen Geschäftsmannes | Mehrere Geschäftsführer haften der Gesellschaft als Gesamtschuldner. Die Verjährung beträgt fünf Jahre. |
| AG | § 93 AktG | Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters | Beweislastumkehr: Im Streitfall muss der Vorstand darlegen, dass er die Sorgfalt angewandt hat. Die Business Judgement Rule ist in § 93 Abs. 1 Satz 2 AktG ausdrücklich geregelt. |
| GmbH & Co. KG | § 43 GmbHG | Wie GmbH, für die Geschäftsführer der Komplementär-GmbH | Die Haftung trifft die Geschäftsführer der Komplementär-GmbH; die Sorgfaltspflicht erstreckt sich auf die Geschäftsführung der KG. |
| Genossenschaft | § 34 GenG | Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters einer Genossenschaft | Struktur und Beweislast entsprechen weitgehend dem Aktienrecht. |
Was gleich bleibt: In allen Rechtsformen ist die Haftung verschuldensabhängig und setzt eine Pflichtverletzung, einen Schaden und den Zusammenhang zwischen beiden voraus. Und in allen Rechtsformen entscheidet am Ende, was Sie über Ihr eigenes Handeln nachweisen können.
Was die Business Judgement Rule schützt, und was nicht
Unternehmerische Entscheidungen dürfen sich im Nachhinein als falsch herausstellen, ohne dass die Geschäftsleitung haftet. Das gilt aber nur, wenn die Entscheidung sauber zustande gekommen ist, und es gilt nicht für die Frage, ob man das Gesetz befolgt.
-
Unternehmerische Entscheidung
Geschützt ist der Ermessensspielraum: Welche Maßnahmen in welcher Reihenfolge, mit welchem Budget, mit welchem Dienstleister. Nicht geschützt ist die Frage, ob Sie die Pflichten aus § 38 überhaupt erfüllen. Die Maßnahmen zu billigen ist keine Ermessensfrage, sondern Gesetz.
-
Angemessene Informationsgrundlage
Sie müssen wissen, worüber Sie entscheiden: Risikoanalyse, Gap-Analyse, Einschätzung des Informationssicherheitsbeauftragten, gegebenenfalls externe Expertise. Ein Beschluss ohne Grundlage ist keine informierte Entscheidung, ein Beschluss auf Basis eines dokumentierten Berichts schon.
-
Zum Wohl der Gesellschaft, frei von Sonderinteressen
Die Entscheidung muss vernünftigerweise dem Unternehmensinteresse dienen. Eine Maßnahme aus Budgetgründen zu verschieben, kann vertretbar sein, wenn das Risiko bewertet und die Verschiebung begründet ist. Ein Risiko zu ignorieren, weil es unbequem ist, kann es nicht.
-
Gutgläubig und nachvollziehbar
Sie durften annehmen, richtig zu handeln, und ein Dritter kann das Jahre später aus Ihren Unterlagen nachvollziehen. Das ist der Punkt, an dem aus einem Rechtsgrundsatz eine Anforderung an Ihre Akte wird.
Die Akte, die im Streitfall entscheidet
Jede der drei Pflichten aus § 38 BSIG erzeugt einen Nachweis, wenn sie richtig erfüllt wird. Die Tabelle zeigt, welches Dokument welche Pflicht belegt.
| Pflicht | Nachweis | Woraus er entsteht |
|---|---|---|
| Billigen | Protokollierter Beschluss der Geschäftsleitung über Maßnahmenplan, Verantwortliche, Budget und Zeitrahmen, mit Datum und Grundlage (Gap-Analyse, Risikoanalyse) | Geschäftsführersitzung mit eigenem Tagesordnungspunkt, Beschluss als Anlage |
| Überwachen | Quartalsberichte, Sitzungsprotokolle mit Entscheidungen zu Abweichungen, Nachfragen und Aufträgen der Geschäftsleitung | Berichtswesen, siehe Quartalsbericht an die Geschäftsleitung |
| Schulen lassen | Teilnahmebescheinigung mit Inhalten, Dauer, Datum und Teilnehmenden, Schulungsplan mit Wiederholungsturnus | Schulung für die Geschäftsleitung, jährlich |
| Betroffenheit | Schriftliche Einordnung von Sektor, Größe, Kategorie mit Freigabe der Geschäftsleitung, auch bei Nichtbetroffenheit | Betroffenheitsprüfung, jährlich wiederholt |
| Organisation | Schriftliche Bestellung des Informationssicherheitsbeauftragten mit Berichtslinie, Benennung der Meldeverantwortlichen, Verträge mit Dienstleistern | Organisationsentscheidungen der Geschäftsleitung |
| Ressourcen | Begründete Budgetentscheidungen, auch Ablehnungen und Verschiebungen mit Risikobewertung | Beschlüsse und Protokolle, nicht E-Mails |
Faustregel: Was nicht protokolliert ist, hat im Streitfall nicht stattgefunden. Eine Entscheidung per Zuruf im Flur schützt nicht, dieselbe Entscheidung als Beschluss mit Begründung schon. Die drei Vertiefungen Berichtswesen, Schulung und Betroffenheit prüfen zeigen, wie diese Nachweise entstehen.
Der Weg vom Vorfall zur Frage nach Ihrer Akte
Haftungsfälle beginnen selten mit einer Klage, sondern mit einer Frage. Wer sie beantworten kann, hat meist schon gewonnen.
-
Der Vorfall
Ransomware, Datenabfluss, Produktionsstillstand. Die Gesellschaft erleidet einen Schaden: Ausfall, Wiederherstellung, Vertragsstrafen, Kundenverlust, gegebenenfalls ein Bußgeld.
-
Die Frage
Gesellschafter, Aufsichtsrat, Versicherer oder ein Insolvenzverwalter fragen: Hätte das verhindert werden können? Hat die Geschäftsleitung ihre Pflichten aus § 38 BSIG erfüllt?
-
Die Prüfung
Gab es einen Beschluss über die Maßnahmen? Wurde die Umsetzung überwacht? War die Geschäftsleitung geschult? Wurden erkannte Risiken bewertet und Entscheidungen begründet? Jede dieser Fragen hat eine Antwort in der Akte oder keine.
-
Das Ergebnis
Mit vollständiger Akte: Die Geschäftsleitung hat auf angemessener Grundlage entschieden und überwacht, der Vorfall ist ein Restrisiko. Ohne Akte: Die Pflichtverletzung wird vermutet, und Sie müssen das Gegenteil beweisen, bei der AG von Gesetzes wegen.
D&O prüfen, bevor Sie sie brauchen
Eine D&O-Versicherung deckt typischerweise Vermögensschäden aus Pflichtverletzungen der Organe, auch die Innenhaftung. Ob sie im NIS2-Fall greift, hängt von Bedingungen ab, die Sie jetzt lesen sollten, nicht nach dem Vorfall.
-
Deckung der Innenhaftung
Prüfen Sie, ob Ansprüche der eigenen Gesellschaft gegen die Geschäftsleitung mitversichert sind und ob es dafür Einschränkungen gibt, etwa bei Geltendmachung durch Gesellschafter, die zugleich Geschäftsführer sind.
-
Ausschlüsse und Obliegenheiten
Wissentliche Pflichtverletzungen sind regelmäßig ausgeschlossen. Wer trotz bekannter Lücken nichts tut, riskiert diesen Ausschluss. Prüfen Sie außerdem Cyber-bezogene Ausschlüsse, Selbstbehalte und die Pflicht, Vorfälle dem Versicherer zu melden.
-
Deckungssumme und Szenario
Setzen Sie die Deckungssumme ins Verhältnis zu einem realistischen Vorfall: Stillstand über zwei Wochen, Wiederherstellung, Vertragsstrafen. Ist die Summe deutlich kleiner als der Schaden, trägt die Differenz im Zweifel Ihr Privatvermögen.
Zur Haftung
Hafte ich auch, wenn die IT-Abteilung den Fehler gemacht hat?
Die Haftung nach § 38 Abs. 2 BSIG knüpft an Ihre eigenen Pflichten an: billigen, überwachen, schulen lassen. Hat die IT eine gebilligte Maßnahme fehlerhaft umgesetzt und Sie haben die Umsetzung angemessen überwacht, liegt keine Pflichtverletzung der Geschäftsleitung vor. Haben Sie nie gebilligt und nie nach dem Stand gefragt, sieht es anders aus. Entscheidend ist, was Sie nachweisen können.
Haften alle Geschäftsführer oder nur der für IT zuständige?
Die Geschäftsleitung trägt die Gesamtverantwortung. Eine Ressortverteilung kann die Pflichten des einzelnen Mitglieds auf die Überwachung des zuständigen Kollegen reduzieren, hebt sie aber nicht auf. Wer nicht für IT zuständig ist, muss trotzdem den Quartalsbericht kennen, Auffälligkeiten nachgehen und den Beschluss mittragen. Bei der GmbH haften mehrere Geschäftsführer der Gesellschaft als Gesamtschuldner.
Schützt mich ein externer CISO oder Informationssicherheitsbeauftragter?
Er hilft bei der Umsetzung und liefert die Informationsgrundlage, auf der Sie entscheiden. Die Pflichten aus § 38 BSIG bleiben aber bei Ihnen: Sie billigen die Maßnahmen, Sie überwachen anhand seiner Berichte, Sie lassen sich schulen. Eine schriftliche Bestellung mit klarer Berichtslinie ist sinnvoll, weil sie dokumentiert, dass Sie die Überwachung organisiert haben.
Muss ich Bußgelder persönlich zahlen?
Die Bußgeldtatbestände des BSIG richten sich an die Einrichtung, mit Rahmen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes beziehungsweise bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes. Die persönliche Haftung nach § 38 Abs. 2 ist etwas anderes: ein Schadensersatzanspruch der Gesellschaft gegen Sie, wenn ihr durch Ihre Pflichtverletzung ein Schaden entstanden ist. Ob und in welchem Umfang ein Bußgeld dabei als Schaden der Gesellschaft geltend gemacht werden kann, ist eine Frage des Einzelfalls und der anwaltlichen Beratung.
Wir sind nicht von NIS2 betroffen. Ist das Haftungsthema damit erledigt?
§ 38 BSIG greift dann nicht. Ihre allgemeine Sorgfaltspflicht nach § 43 GmbHG oder § 93 AktG bleibt aber bestehen, und dazu gehört eine angemessene Organisation der IT-Sicherheit. NIS2 hat den Maßstab dafür konkretisiert, auch für Unternehmen, die nicht unter das Gesetz fallen. Dokumentieren Sie die Nichtbetroffenheit und prüfen Sie sie jährlich.
Vertiefung für die Geschäftsleitung
-
Berichtswesen: der Quartalsbericht
Wie die Überwachungspflicht mit einem zweiseitigen Quartalsbericht erfüllt und protokolliert wird. Mit Vorlage.
-
Betroffenheit prüfen und dokumentieren
Wie Sie die Einordnung veranlassen, was in die schriftliche Feststellung gehört und warum sie auch bei Nichtbetroffenheit nötig ist.
-
Schulung für die Geschäftsleitung
Drei bis vier Stunden mit Bezug zu Ihrem Unternehmen, Teilnahmebescheinigung als Nachweis nach § 38 Abs. 3 BSIG.
-
NIS2 für Geschäftsführer im Überblick
Die drei Pflichten, Haftung und Sanktionen sowie der 90-Tage-Plan auf der Startseite.
Marcel Rieger
Wie belastbar ist Ihre Akte heute?
Im Erstgespräch gehen wir die sechs Nachweise durch und klären, welche davon in Ihrem Unternehmen existieren und welche fehlen. Vertraulich, auf Leitungsebene, ohne Rechtsberatung im Einzelfall.
- Bestandsaufnahme von Beschluss, Berichtswesen und Schulungsnachweis
- Die drei Lücken mit dem größten Haftungsrisiko
- Fragen für das Gespräch mit Ihrem D&O-Versicherer
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen