Ein Softwareunternehmen mit 35 Mitarbeitern. Ein Datenschutzvorfall, der dem Geschäftsführer erst Wochen nach dem Eintritt bekannt wird. Kurz darauf eine Abberufung durch die Gesellschafter – und die Forderung, persönlich für den entstandenen Schaden einzustehen. Dieses Szenario ist in der Software- und IT-Branche kein Einzelfall, sondern ein wiederkehrendes Muster, das wir in der Mandatspraxis regelmäßig beobachten.
Geschäftsführer einer GmbH haften nach § 43 GmbHG (Gesetz betreffend die Gesellschaften mit beschränkter Haftung) persönlich gegenüber der Gesellschaft, wenn sie die Sorgfalt eines ordentlichen Geschäftsmannes verletzen. In der Software- und IT-Branche entstehen diese Haftungsrisiken besonders häufig aus den Bereichen Datenschutz, IT-Compliance, Gesellschafterweisungen und der Unterschätzung von Insolvenzantragspflichten. Eine anwaltliche Begleitung setzt idealerweise nicht erst bei einem Haftungsanspruch an, sondern präventiv bei der Ausgestaltung von Geschäftsführerverträgen, Compliance-Strukturen und Dokumentationspflichten.
Dieser Beitrag erläutert die Rechtslage nach dem GmbH-Gesetz, zeigt die branchenspezifischen Risikoschwerpunkte und gibt eine strukturierte Handlungsempfehlung für Geschäftsführer in IT-Unternehmen.
Warum § 43 GmbHG für IT-Geschäftsführer besonders relevant ist
Die zentrale Haftungsnorm im GmbH-Recht ist § 43 GmbHG. Sie verpflichtet Geschäftsführer, in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. Wer diese Pflicht verletzt und der Gesellschaft dadurch einen Schaden zufügt, haftet persönlich – und zwar mit dem gesamten Privatvermögen. Die haftungsbeschränkende Wirkung der GmbH-Struktur entfaltet gegenüber dem Geschäftsführer selbst in diesem Innenverhältnis keine Schutzwirkung.
In der Software- und IT-Branche ist diese Norm aus mehreren Gründen von besonderer Brisanz. Unternehmen dieser Branche agieren in einem regulatorisch dicht besiedelten Umfeld: DSGVO (Datenschutz-Grundverordnung), NIS2-Richtlinie, KI-Verordnung der EU sowie sektorspezifische Anforderungen aus dem Finanz- oder Gesundheitsbereich treffen auf Organisationsstrukturen, die häufig noch aus einer Startup-Phase stammen. Compliance-Strukturen werden oft nachgelagert aufgebaut, nicht vorgelagert.
Hinzu kommt, dass IT-Unternehmen häufig mit skalierenden Wachstumsphasen umgehen müssen, in denen Geschäftsführer operative und strategische Verantwortung gleichzeitig tragen. Werden dabei Dokumentationspflichten, Datenschutzmaßnahmen oder buchhalterische Sorgfaltspflichten vernachlässigt, entsteht ein Haftungssubstrat, das im Streitfall von Gesellschaftern oder – nach Eintritt einer Insolvenz – vom Insolvenzverwalter geltend gemacht werden kann. Nach unserer Erfahrung unterschätzen gerade Gründergeschäftsführer, die selbst aus dem technischen Bereich kommen, die rechtliche Tragweite dieser Pflichten.
Welche Haftungsrisiken entstehen konkret in der Software- und IT-Branche?
Die haftungsrelevanten Konstellationen in der IT-Branche lassen sich in vier Cluster einteilen, die sich in der Praxis häufig überlagern.
Datenschutz und IT-Sicherheit: Verstöße gegen die DSGVO können Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 DSGVO). Die Meldung einer Datenschutzverletzung an die zuständige Aufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden erfolgen (Art. 33 DSGVO). Versäumt der Geschäftsführer diese Meldefrist oder hat er keine geeigneten technischen und organisatorischen Maßnahmen eingeführt, kann dies als Verletzung der Sorgfaltspflicht nach § 43 GmbHG gewertet werden. Der Gesellschaft entstandene Schäden – zum Beispiel Bußgelder, Schadensersatzforderungen betroffener Kunden, Vertragsstrafen – können intern auf den Geschäftsführer zurückgeführt werden.
Vertragsmanagement und Softwareprojekte: IT-Unternehmen schließen regelmäßig Verträge über Softwareentwicklung, SaaS-Dienste und Wartungsleistungen ab. Werden diese Verträge ohne ausreichende rechtliche Prüfung abgeschlossen, entstehen Risiken aus Haftungsklauseln, SLA-Verstößen (Service Level Agreements) oder aus dem Fehlen von Haftungsdeckeln. Ein Geschäftsführer, der systematisch Verträge ohne angemessene Prüfung zeichnet, kann damit den Sorgfaltsmaßstab des § 43 GmbHG unterschreiten.
Insolvenzantragspflicht: Besonders relevant in Wachstumsphasen mit negativem Cashflow: Nach § 15a InsO besteht bei Zahlungsunfähigkeit eine Antragspflicht innerhalb von drei Wochen, bei Überschuldung innerhalb von sechs Wochen. In der IT-Branche tritt Überschuldung oft erst sichtbar zutage, wenn Investitionen ausbleiben und das Eigenkapital durch Verluste aufgezehrt wurde. Wer die Frist versäumt, haftet persönlich – und macht sich gegebenenfalls auch strafbar.
Gesellschafterweisungen und Business Judgment Rule: Nicht jede unternehmerische Entscheidung, die sich im Nachhinein als falsch erweist, begründet eine Haftung. Die sogenannte Business Judgment Rule (unternehmerisches Ermessen) schützt Geschäftsführer bei Entscheidungen, die auf angemessener Informationsgrundlage und im wohlverstandenen Unternehmensinteresse getroffen wurden. Entscheidend ist: Die Grundlagen der Entscheidung müssen dokumentiert sein. Fehlt diese Dokumentation, ist der Haftungsschutz kaum zu führen.
Wie funktioniert die Haftung im Innenverhältnis – und wer macht sie geltend?
Die Haftung nach § 43 GmbHG besteht ausschließlich im Innenverhältnis zwischen Geschäftsführer und Gesellschaft. Nicht die Gläubiger der Gesellschaft, sondern die GmbH selbst ist Anspruchsinhaberin. Dies hat praktische Konsequenzen, die Geschäftsführer kennen müssen.
Im laufenden Betrieb entscheiden die Gesellschafter, ob sie einen Haftungsanspruch gegen den Geschäftsführer geltend machen. Bei inhabergeführten Unternehmen sind Gesellschafter und Geschäftsführer häufig personenidentisch – ein Interessenkonflikt, der rechtlich komplex ist. Sobald jedoch ein Gesellschafterwechsel oder eine Anteilsübertragung erfolgt, können neue Gesellschafter vergangene Pflichtverletzungen aufgreifen. Das gilt ebenso für den Fall, dass ein Beirat oder Aufsichtsrat eingesetzt wird.
In der Insolvenz tritt der Insolvenzverwalter an die Stelle der Gesellschaft. Er ist gesetzlich verpflichtet, sämtliche Ansprüche der Gesellschaft zu verfolgen – einschließlich etwaiger Haftungsansprüche gegen frühere oder amtierende Geschäftsführer. Die regelmäßige Verjährungsfrist nach § 195 BGB beträgt drei Jahre, beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden ist. In der Insolvenz kann diese Frist durch den Insolvenzverwalter erst mit Amtsantritt zu laufen beginnen, was den Haftungszeitraum effektiv verlängert.
Ein weiterer Aspekt, der in der Praxis häufig unterschätzt wird: die Wissenszurechnung. Auch wenn der Geschäftsführer von einem Vorgang tatsächlich keine Kenntnis hatte, kann ihm das Wissen anderer Mitarbeiter zugerechnet werden, wenn er kein funktionierendes Informationssystem in der Gesellschaft eingerichtet hat. Dies entspricht der gefestigten höchstrichterlichen Rechtsprechung zur Organisationshaftung.
Welche Schutzinstrumente stehen dem Geschäftsführer zur Verfügung?
Der Haftung nach § 43 GmbHG lässt sich nicht vollständig ausschließen, aber durch eine strukturierte Vorgehensweise deutlich reduzieren. Wir beraten Geschäftsführer in IT-Unternehmen regelmäßig zu folgenden Instrumenten:
Gesellschafterbeschlüsse und Weisungen: Entscheidungen, die auf einer ausdrücklichen Weisung der Gesellschafterversammlung beruhen, entlasten den Geschäftsführer grundsätzlich – sofern sie nicht gegen zwingendes Recht verstoßen. Diese Weisungen müssen schriftlich dokumentiert und im Gesellschaftsbuch nachgehalten werden. Eine mündliche Weisung in der Gesellschafterversammlung ist im Streitfall schwer nachweisbar.
Entlastungsbeschlüsse: Die jährliche Entlastung durch die Gesellschafterversammlung (§ 46 Nr. 5 GmbHG) schützt vor Haftungsansprüchen für Handlungen, die den Gesellschaftern bekannt waren. Sie ist kein Freifahrtschein, begrenzt aber effektiv den Umfang potenzieller Haftungsansprüche, wenn sie sorgfältig dokumentiert und ordnungsgemäß gefasst wird.
D&O-Versicherung (Directors and Officers Liability Insurance): Eine D&O-Versicherung deckt im Haftungsfall die Kosten der Rechtsverteidigung und etwaige Schadensersatzleistungen ab. In der IT-Branche ist sie noch nicht so verbreitet wie in anderen Branchen, obwohl das Haftungsrisiko vergleichbar oder höher ist. Der Abschluss erfolgt durch die Gesellschaft für die Organe; die Deckungssumme und etwaige Ausschlüsse (insbesondere für vorsätzliches Handeln) sind sorgfältig zu verhandeln.
Compliance-Management-System: Ein dokumentiertes Compliance-System schützt nicht nur vor regulatorischen Risiken, sondern bildet auch den Kernnachweis dafür, dass der Geschäftsführer seiner Organisationspflicht nachgekommen ist. In der IT-Branche umfasst dies insbesondere: DSGVO-Dokumentation, IT-Sicherheitsmaßnahmen nach aktuellem Standard, Vertragsmanagement und klare Berichtswege.
Angepasster Geschäftsführervertrag: Haftungsfreistellungsklauseln zugunsten des Geschäftsführers, Regelungen zur Übernahme von Verteidigungskosten und klare Abgrenzungen von Zuständigkeitsbereichen bei Mehrgeschäftsführung können die Haftungsposition erheblich verbessern. Diese Klauseln müssen GmbH-rechtlich und kartellrechtlich zulässig ausgestaltet sein.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches SaaS-Unternehmen aus der Softwarebranche mit rund 60 Mitarbeitern. Ausgangslage: Nach einem Gesellschafterwechsel machten die neuen Mehrheitsgesellschafter Schadensersatzansprüche gegen den operativen Geschäftsführer wegen angeblich pflichtwidrig abgeschlossener Softwarelizenzverträge geltend. Vorgehen: Die Kanzlei prüfte sämtliche Gesellschafterbeschlüsse und Gesprächsprotokolle der zurückliegenden drei Jahre, rekonstruierte die Entscheidungsgrundlagen der beanstandeten Vertragsabschlüsse und legte dar, dass der Geschäftsführer auf Basis einer kaufmännisch nachvollziehbaren Marktsituation gehandelt hatte. Ergebnis: Die Ansprüche konnten auf einen im Vergleich zur ursprünglichen Forderung deutlich reduzierten Betrag begrenzt werden. Entscheidend war die Verfügbarkeit zeitnaher Dokumentation, nicht die rechtliche Argumentation im Nachhinein.
Haftung bei Mehrgeschäftsführung und Ressortverteilung
Viele IT-Unternehmen führen eine zweigeteilte oder dreigliedrige Geschäftsführung ein – einen technischen Geschäftsführer (CTO) und einen kaufmännischen Geschäftsführer (CFO oder COO). Diese Ressortverteilung reduziert das operative Haftungsrisiko, beseitigt es aber nicht vollständig.
Nach der gefestigten höchstrichterlichen Rechtsprechung gilt auch bei Ressortverteilung eine allgemeine Überwachungspflicht für jeden Geschäftsführer gegenüber dem Handeln seiner Mitgeschäftsführer. Konkret bedeutet das: Der kaufmännische Geschäftsführer haftet nicht für jeden Softwarefehler im Produkt. Er haftet aber, wenn er erkennt oder erkennen muss, dass der technische Geschäftsführer gravierende rechtliche Risiken eingeht – etwa durch das systematische Ignorieren von IT-Sicherheitsvorschriften – und er nicht eingreift.
Die Ressortverteilung muss schriftlich in der Geschäftsordnung der Geschäftsführung oder im Gesellschaftsvertrag festgehalten sein. Mündliche Absprachen bieten im Haftungsfall keinen belastbaren Schutz. Wir empfehlen, die Ressortabgrenzung mindestens jährlich zu überprüfen und an veränderte Unternehmensstrukturen anzupassen – insbesondere nach Akquisitionen oder bei Übernahme neuer Geschäftsfelder.
Konkrete Handlungsempfehlung: Was sollten IT-Geschäftsführer jetzt prüfen?
Die nachfolgende Systematik gibt einen Überblick über die wesentlichen Handlungsfelder, die im Rahmen einer anwaltlichen Erstberatung strukturiert geprüft werden sollten.
Erstens: Dokumentationslage. Liegen für die wesentlichen unternehmerischen Entscheidungen der vergangenen drei Jahre nachvollziehbare Dokumentationen vor – Gesellschafterbeschlüsse, Protokolle, E-Mail-Korrespondenz, Beratungsunterlagen? Fehlt diese Dokumentation, ist eine rückwirkende Rekonstruktion zwar möglich, aber aufwendig und im Streitfall nicht immer überzeugend.
Zweitens: Compliance-Strukturen. Verfügt das Unternehmen über ein DSGVO-konformes Verarbeitungsverzeichnis, Datenschutzrichtlinien, ein Verfahren zur Meldung von Datenschutzvorfällen und dokumentierte IT-Sicherheitsmaßnahmen? Diese Elemente sind nicht nur behördlich relevant, sondern zentrale Nachweise für die Erfüllung der Sorgfaltspflicht nach § 43 GmbHG.
Drittens: Vertragliche Absicherung. Enthält Ihr Geschäftsführervertrag eine Freistellungsklausel für den Fall, dass Sie auf Weisung der Gesellschafter gehandelt haben? Ist die D&O-Versicherung aktuell und sind die Deckungssummen an das Unternehmenswachstum angepasst?
Viertens: Liquiditätsüberwachung. Besteht ein System zur fortlaufenden Liquiditätsplanung und zur Früherkennung einer möglichen Überschuldung? In der IT-Branche sind Liquiditätskrisen häufig nicht durch operative Verluste, sondern durch den Ausfall eines Schlüsselkunden oder das Scheitern einer Finanzierungsrunde bedingt. Die Frist zur Einholung anwaltlichen Rats bei drohender Zahlungsunfähigkeit ist eng.
Welche dieser vier Handlungsfelder in Ihrem Unternehmen konkret Handlungsbedarf aufweisen, lässt sich nur im Einzelfall bewerten. Pauschalaussagen ersetzen keine individuelle Prüfung.
Die vorstehende Darstellung betrifft die Regelfälle der GmbH-Geschäftsführerhaftung in der IT-Branche. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der aktuellen Haftungslage und der einschlägigen Rechtsprechung. Für eine erste Einschätzung Ihrer Situation als Geschäftsführer schreiben Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur GmbH-Geschäftsführerhaftung in der IT-Branche
Hafte ich als Geschäftsführer eines IT-Unternehmens persönlich für Datenschutzverstöße?
Grundsätzlich richtet sich das DSGVO-Bußgeld gegen die Gesellschaft, nicht gegen Sie persönlich. Wenn der Datenschutzverstoß jedoch auf eine Verletzung Ihrer Sorgfaltspflicht nach § 43 GmbHG zurückzuführen ist – etwa weil Sie keine geeigneten technischen Maßnahmen eingeführt oder die Meldepflicht binnen 72 Stunden versäumt haben –, kann die Gesellschaft den ihr entstandenen Schaden intern gegen Sie geltend machen. Die Haftung im Innenverhältnis und die behördliche Haftung der Gesellschaft sind zwei rechtlich getrennte Stränge, die sich aber faktisch überlagern.
Schützt mich eine Weisung der Gesellschafterversammlung vor Haftung?
Eine rechtmäßige Weisung der Gesellschafterversammlung entlastet Sie grundsätzlich von der Innenhaftung nach § 43 GmbHG, sofern Sie dieser Weisung gefolgt sind und sie nicht gegen zwingendes Recht verstößt. Entscheidend ist, dass die Weisung schriftlich dokumentiert ist. Eine mündliche Weisung lässt sich im Haftungsfall kaum nachweisen. Weisungen, die zur Verletzung der Insolvenzantragspflicht oder zu strafbewehrten Handlungen führen, entlasten Sie dagegen nicht.
Was bedeutet die Business Judgment Rule für IT-Geschäftsführer?
Die Business Judgment Rule schützt Sie vor der Haftung für unternehmerische Fehlentscheidungen, wenn Sie bei der Entscheidung auf angemessener Informationsgrundlage gehandelt und das Unternehmensinteresse in den Vordergrund gestellt haben. In der IT-Branche ist diese Regel besonders relevant bei Entscheidungen über Produktentwicklungen, Markteintritte oder Vertragsabschlüsse. Der Schutz entfaltet sich aber nur, wenn die Entscheidungsgrundlagen zeitnah dokumentiert wurden – im Nachhinein lässt sich dieser Nachweis kaum noch führen.
Ab wann muss ich als Geschäftsführer einen Insolvenzantrag stellen?
Bei Zahlungsunfähigkeit Ihrer Gesellschaft müssen Sie den Insolvenzantrag spätestens innerhalb von drei Wochen stellen, bei Überschuldung innerhalb von sechs Wochen (§ 15a InsO). In der IT-Branche tritt die Überschuldung häufig durch den Wegfall einer Finanzierungsrunde oder den Verlust eines Schlüsselkunden ein. Wer die Frist versäumt, haftet persönlich für danach entstandene Schäden und macht sich gegebenenfalls strafbar. Bei konkreten Anzeichen einer wirtschaftlichen Krise sollten Sie umgehend anwaltlichen Rat einholen.
Kann ich als Gründergeschäftsführer meine Haftung vertraglich ausschließen?
Einen vollständigen Ausschluss der Haftung nach § 43 GmbHG erlaubt das GmbH-Gesetz nicht. Möglich sind jedoch vertragliche Haftungsbeschränkungen, die den Haftungsumfang auf grobe Fahrlässigkeit und Vorsatz begrenzen, sowie Freistellungsklauseln zugunsten des Geschäftsführers, wenn er auf Weisung der Gesellschafter gehandelt hat. Die genaue Ausgestaltung hängt vom Einzelfall ab und sollte anwaltlich geprüft werden, da bestimmte Klauseln gesellschaftsrechtlich unwirksam sein können.
Die vorstehenden Antworten geben einen allgemeinen Überblick über die Haftungslage. Ob und in welchem Umfang Sie als Geschäftsführer eines IT-Unternehmens konkret exponiert sind, erfordert die Prüfung Ihrer Gesellschaftsverträge, Geschäftsführerverträge und der Dokumentationslage. Zur Klärung, wie die GmbH-Geschäftsführerhaftung auf Ihre Situation wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.