Ein Softwareunternehmen mit 45 Beschäftigten rollt ein neues Produkt aus, ohne den Datenschutzbeauftragten einzubinden. Ein Datenleck folgt, die Gesellschaft erleidet erhebliche Schäden – und der Geschäftsführer steht plötzlich persönlich im Mittelpunkt eines Haftungsverfahrens. Was für viele Gesellschafter-Geschäftsführer im Technologiesektor nach einem seltenen Ausnahmefall klingt, gehört in der Mandatspraxis längst zum Alltag.
Die GmbH-Geschäftsführerhaftung beruht auf § 43 GmbHG: Geschäftsführer haften der Gesellschaft gegenüber persönlich und unbegrenzt, wenn sie die Sorgfalt eines ordentlichen Geschäftsmanns verletzt haben. Für Führungskräfte in der Software- und IT-Branche verschärft sich dieses Risiko durch branchenspezifische Rechtspflichten – von der DSGVO über IT-Sicherheitsgesetze bis hin zur Insolvenzantragspflicht. Die gefestigte höchstrichterliche Rechtsprechung legt den Haftungsmaßstab streng aus und lässt Unkenntnis über gesetzliche Anforderungen regelmäßig nicht als Entlastungsgrund gelten.
Dieser Beitrag ordnet die wesentlichen Linien der Rechtsprechung ein, benennt die zentralen Haftungsfelder der Branche und gibt Geschäftsführern eine praxisorientierte Übersicht, welche Maßnahmen das persönliche Haftungsrisiko substanziell reduzieren können.
§ 43 GmbHG: Der gesetzliche Rahmen der Geschäftsführerhaftung
Die Grundlage der Innenhaftung des GmbH-Geschäftsführers gegenüber der eigenen Gesellschaft bildet § 43 GmbHG. Der erste Absatz statuiert den Sorgfaltsmaßstab: Ein Geschäftsführer hat in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmanns anzuwenden. Wer diese Sorgfalt verletzt und der Gesellschaft daraus ein Schaden entsteht, haftet nach § 43 Abs. 2 GmbHG für den entstandenen Schaden – und zwar persönlich, mit seinem gesamten Privatvermögen, ohne Haftungsdeckelung.
Die gefestigte Senatsrechtsprechung des Bundesgerichtshofs konkretisiert diesen Maßstab dahingehend, dass der Geschäftsführer die ihm obliegenden gesetzlichen Pflichten kennen und einhalten muss. Unkenntnis eines Gesetzes entlastet nicht. Die Haftung nach § 43 GmbHG ist verschuldensabhängig, setzt also eine Pflichtverletzung voraus – doch der Beweis der Sorgfalt liegt beim Geschäftsführer, nicht bei der Gesellschaft. In der Praxis bedeutet das: Wer keine Dokumentation vorweisen kann, dass er eine Entscheidung auf informierter Grundlage getroffen hat, verliert regelmäßig.
Für Geschäftsführer in der Software- und IT-Branche kommen zu diesen allgemeinen Anforderungen branchenspezifische Pflichtenlagen hinzu, die den Haftungskorridor erheblich ausweiten. Wir beraten regelmäßig Unternehmen, bei denen die Lücke zwischen dem Bewusstsein für technische Risiken und der Kenntnis rechtlicher Pflichten genau jenes Haftungspotenzial erst entstehen lässt.
Welche Haftungsfelder sind in der IT-Branche besonders relevant?
Die Software- und IT-Branche zeichnet sich durch eine Kumulation von Rechtspflichten aus, deren Verletzung nicht nur zivilrechtliche Innenhaftung nach § 43 GmbHG auslöst, sondern auch Außenhaftung gegenüber Kunden, Behörden und Dritten nach sich ziehen kann. In der Mandatspraxis sehen wir dabei vor allem drei Felder, die immer wieder zu Haftungsrisiken führen.
Datenschutz und DSGVO-Compliance: Gemäß Art. 83 DSGVO können Bußgelder bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes verhängt werden – je nachdem, welcher Betrag höher ist. Werden diese Sanktionen ausgelöst, weil der Geschäftsführer die erforderliche organisatorische Infrastruktur nicht eingerichtet hat – etwa die Bestellung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO, die Implementierung eines Verzeichnisses von Verarbeitungstätigkeiten oder technische Schutzmaßnahmen nach Art. 32 DSGVO –, droht über § 43 GmbHG der Regress der Gesellschaft. Die höchstrichterliche Rechtsprechung hat klargestellt, dass eine unterlassene DSGVO-Implementierung eine Pflichtverletzung im Sinne des Gesellschaftsrechts darstellen kann.
IT-Sicherheit und gesetzliche Anforderungen: Das IT-Sicherheitsrecht verpflichtet Betreiber kritischer Infrastrukturen sowie bestimmte Anbieter digitaler Dienste zu Schutzmaßnahmen, Meldepflichten und regelmäßigen Audits. Geschäftsführer, die IT-Sicherheitsprojekte aus Kostengründen verzögern oder interne Sicherheitshinweise ignorieren, setzen sich dem Vorwurf der Pflichtverletzung aus. Ob ein Unternehmen in den Anwendungsbereich einschlägiger Regelwerke fällt, ist im Einzelfall anwaltlich zu prüfen – die Bußgeldtatbestände des BSI-Gesetzes sind erheblich.
Vertragsgestaltung und Softwarehaftung: Verkauft oder lizenziert eine GmbH fehlerhafte Software, können Gewährleistungs- und Schadensersatzansprüche von Kunden die Gesellschaft empfindlich treffen. Hat der Geschäftsführer die Einführung eines funktionierenden Qualitätssicherungssystems versäumt oder den Abschluss von Verträgen ohne angemessene Haftungsbeschränkung in den AGB zugelassen, kann der Regress nach § 43 Abs. 2 GmbHG folgen. Die AGB-Inhaltskontrolle nach §§ 305 ff. BGB begrenzt, was vertraglich vereinbart werden kann – ein weiterer Aspekt, über den Geschäftsführer mit rechtlichem Beistand nachdenken sollten.
Wie beurteilt die Rechtsprechung die Business Judgment Rule im IT-Umfeld?
Die Business Judgment Rule (unternehmerisches Ermessen) schützt Geschäftsführer vor einer rückwirkenden gerichtlichen Überprüfung unternehmerischer Entscheidungen – sofern bestimmte Voraussetzungen erfüllt sind. Für GmbH-Geschäftsführer wird dieses Prinzip in Anlehnung an § 93 Abs. 1 S. 2 AktG von der gefestigten Senatsrechtsprechung anerkannt: Eine Pflichtverletzung liegt nicht vor, wenn der Geschäftsführer bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohl der Gesellschaft zu handeln.
Für die Software- und IT-Branche ergeben sich hier wichtige praktische Konsequenzen. Entscheidungen über die Einführung neuer Technologien, die Priorisierung von Entwicklungsressourcen oder die Vergabe von IT-Subaufträgen fallen grundsätzlich in den Bereich unternehmerischen Ermessens – und sind damit gerichtlich nur eingeschränkt überprüfbar. Entscheidungen hingegen, die gesetzlich gebundene Handlungspflichten berühren, genießen diesen Schutz nicht. Wer die Pflicht zur Bestellung eines Datenschutzbeauftragten ignoriert, handelt nicht unternehmerisch frei, sondern rechtswidrig.
In der Mandatspraxis sehen wir häufig, dass Geschäftsführer die Grenzen zwischen gebundenem Handeln und unternehmerischem Ermessen nicht klar ziehen. Welche Entscheidungen fallen unter welche Kategorie? Das hängt vom konkreten gesetzlichen Tatbestand ab und erfordert regelmäßig eine juristische Einordnung, bevor die Entscheidung getroffen wird – nicht erst dann, wenn die Gesellschaft Regress anmeldet.
Insolvenzantragspflicht: Wann muss ein IT-Unternehmen Insolvenz anmelden?
Ein Haftungsfeld, das in Wachstumsphasen der IT-Branche häufig unterschätzt wird, ist die Insolvenzantragspflicht. Gemäß § 15a InsO ist der Geschäftsführer einer GmbH verpflichtet, bei Zahlungsunfähigkeit spätestens innerhalb von drei Wochen Insolvenzantrag zu stellen. Bei Überschuldung im Sinne des § 19 InsO beträgt die Frist sechs Wochen. Diese Fristen sind gesetzlich gebunden – sie gelten nicht erst dann, wenn der Steuerberater oder die Bank den Geschäftsführer auf die Lage hinweist.
Wird die Antragspflicht verletzt, haftet der Geschäftsführer nach § 15b InsO persönlich für sämtliche nach Eintritt der Insolvenzreife geleisteten Zahlungen. Die höchstrichterliche Rechtsprechung hat diesen Haftungstatbestand in den vergangenen Jahren erheblich verschärft. Für Softwareunternehmen entsteht besondere Gefahr in Konstellationen, in denen ein Großkundenvertrag ausläuft, eine Finanzierungsrunde scheitert oder ein Lizenzmodell umgestellt wird: Die Liquiditätssituation kann sich innerhalb weniger Wochen dramatisch verschlechtern, ohne dass dies dem Geschäftsführer sofort bewusst wird.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Einschätzung zur Antragspflicht und zu Sanierungsoptionen schreiben Sie an info@brandtfalk.com.
Persönliche Außenhaftung des Geschäftsführers gegenüber Dritten
Neben der Innenhaftung gegenüber der eigenen Gesellschaft droht dem Geschäftsführer einer GmbH in bestimmten Konstellationen auch eine direkte Außenhaftung gegenüber Dritten – Vertragspartnern, Behörden oder geschädigten Nutzern. Diese Haftung entsteht nicht aus § 43 GmbHG, sondern aus dem allgemeinen Deliktsrecht, insbesondere aus § 823 Abs. 1 und Abs. 2 BGB sowie aus strafrechtlichen Schutzgesetztatbeständen.
Für die IT-Branche besonders relevant ist die deliktische Haftung wegen der Verletzung von Schutzgesetzen: Steuerpflichten, Datenschutzvorschriften und IT-Sicherheitsgesetze können Schutzgesetzcharakter haben. Verstößt der Geschäftsführer schuldhaft gegen solche Normen, haftet er unter Umständen persönlich gegenüber dem geschädigten Dritten – unabhängig davon, ob die Gesellschaft selbst leistungsfähig ist. Diese Außenhaftung tritt zur Innenhaftung hinzu, nicht an ihre Stelle.
Ein Aspekt, der in der Praxis häufig übersehen wird: Die Handelndenhaftung nach § 11 Abs. 2 GmbHG trifft Gründer, die im Namen einer noch nicht eingetragenen GmbH handeln. Gerade in der Gründungsphase von Technologieunternehmen werden Verträge geschlossen, Dienstleister beauftragt und Lizenzen erworben – oft bevor die GmbH im Handelsregister eingetragen ist. Wer in diesem Stadium tätig wird, muss die gesellschaftsrechtlichen Anforderungen genau kennen.
Entlastungsstrategien: Wie reduzieren Geschäftsführer ihr persönliches Haftungsrisiko?
Die Reduzierung des persönlichen Haftungsrisikos ist keine Frage von Schutzreflexen – sie ist eine Führungsaufgabe. Nach unserer Erfahrung in der Beratung von IT-Unternehmen lassen sich die wirksamsten Entlastungsstrategien in drei Kategorien bündeln: Dokumentation, Delegation und Versicherung.
Dokumentation unternehmerischer Entscheidungen: Die Business Judgment Rule setzt voraus, dass der Geschäftsführer auf der Grundlage angemessener Information gehandelt hat. Das erfordert eine nachweisbare Dokumentation: Protokolle von Gesellschafterversammlungen und Geschäftsführersitzungen, schriftliche Risikoabwägungen bei wesentlichen Entscheidungen, Einholung von Rechts- oder Steuerrat vor bedeutsamen Schritten. Wer diese Dokumentation führt, kann im Haftungsfall den Nachweis erbringen, sorgfältig gehandelt zu haben.
Delegation und interne Compliance-Strukturen: Der Geschäftsführer kann Aufgaben auf Mitarbeiter oder externe Dienstleister delegieren – aber er kann die Letztverantwortung für die Einrichtung eines funktionierenden Compliance-Systems nicht delegieren. Die höchstrichterliche Rechtsprechung fordert, dass der Geschäftsführer die ihm obliegenden Pflichten entweder selbst erfüllt oder sicherstellt, dass qualifizierte und weisungsgebundene Mitarbeiter dies tun. Ein Datenschutzmanagementsystem, regelmäßige IT-Sicherheitsaudits und eine klare Vertragsverantwortung sind in der IT-Branche keine optionalen Add-ons, sondern Teil des Pflichtenprogramms.
D&O-Versicherung als Finanzierungsinstrument: Eine Directors-and-Officers-Versicherung (D&O-Versicherung) deckt Haftpflichtansprüche gegen Organmitglieder für Vermögensschäden. Sie ersetzt keine sorgfältige Unternehmensführung, federt aber das Kostenrisiko von Haftungsstreitigkeiten ab. Für Geschäftsführer von Kapitalgesellschaften, insbesondere in haftungsintensiven Branchen wie der Softwareentwicklung, ist das Vorhandensein einer solchen Versicherung nach unserer Erfahrung inzwischen Marktstandard. Dabei kommt es auf die Ausgestaltung im Einzelnen an – Deckungssumme, Ausschlussklauseln und Selbstbehaltregelungen variieren erheblich.
Mikro-Fall aus der Mandatspraxis
Ausgangslage: Die Kanzlei beriet ein mittelständisches Softwareunternehmen aus dem Bereich B2B-SaaS (Software as a Service) mit rund 60 Beschäftigten. Der alleinige Gesellschafter-Geschäftsführer wurde von der Gesellschaft auf Schadensersatz in Anspruch genommen, nachdem ein Kundenvertrag über eine kritische Geschäftsanwendung wegen Datenschutzmängeln außerordentlich gekündigt und ein erheblicher Umsatzausfall geltend gemacht worden war. Im Kern des Vorwurfs: Der Geschäftsführer hatte – trotz mehrfacher interner Hinweise der Entwicklungsleitung – die Einführung eines Verfahrensverzeichnisses und technischer Datenschutzmaßnahmen über mehrere Monate verzögert.
Vorgehen: Die Kanzlei prüfte zunächst, ob die internen Hinweise als dokumentierte Kenntniserlangung anzusehen waren und damit das Vertrauen des Geschäftsführers auf die laufende Implementierung schutzwürdig blieb. Parallel wurde analysiert, ob die Entscheidung zur Verzögerung als unternehmerisches Ermessen oder als gebundene Handlungspflicht einzustufen war. Im Ergebnis sprach vieles dafür, dass der Datenschutzbeauftragtenpflicht ein gesetzlicher Charakter zukommt, der keinen Ermessensspielraum lässt.
Ergebnis: Nach eingehender Prüfung und Verhandlung konnte eine außergerichtliche Einigung erzielt werden. Der Fall verdeutlichte, dass die frühzeitige anwaltliche Beratung – nicht erst im Haftungsfall – erhebliche wirtschaftliche Folgen hätte verhindern können.
Handlungsempfehlungen: Nächste Schritte für Geschäftsführer
Geschäftsführer in der Software- und IT-Branche stehen vor einer klaren Aufgabe: Sie müssen das Haftungsrisiko aus § 43 GmbHG systematisch managen – nicht reaktiv, wenn der Schaden eingetreten ist, sondern präventiv, als Teil ihrer Führungsverantwortung. Vier Handlungsfelder stehen dabei im Vordergrund.
Erstens: eine Bestandsaufnahme aller gesetzlich gebundenen Handlungspflichten – DSGVO, IT-Sicherheitsrecht, steuerliche Meldepflichten, Arbeitszeiterfassung, Insolvenzantragspflicht. Die Frage lautet nicht, ob diese Pflichten im Einzelfall einschlägig sind, sondern ob ihre Einschlägigkeit geprüft worden ist.
Zweitens: die Einführung oder Überprüfung interner Compliance-Strukturen. Wer als Geschäftsführer Aufgaben delegiert, braucht Kontrollmechanismen. Ohne Berichtspflichten und Eskalationsregeln fehlt der Nachweis, dass die Delegation sorgfältig erfolgt ist.
Drittens: eine anwaltliche Überprüfung der bestehenden Vertragswerke – Gesellschaftsvertrag, Geschäftsführervertrag, AGB, Lizenzverträge. Die Haftungsverteilung zwischen Gesellschaft und Geschäftsführer kann gesellschaftsvertraglich und durch Freistellungsregelungen mitgestaltet werden, wo das Gesetz es erlaubt.
Viertens: die Überprüfung des D&O-Versicherungsschutzes. Besteht eine Versicherung? Sind Deckungssumme und Ausschlüsse dem tatsächlichen Risikoprofil angemessen? Diese Fragen sollten jährlich und nach wesentlichen Veränderungen des Unternehmens auf den Tisch.
Die vorstehende Darstellung gibt einen Überblick über typische Haftungsfelder und Rechtsprechungslinien. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Vertragswerke, Unternehmensstruktur und aktuellen Risikosituation. Für eine fachliche Einschätzung Ihrer Situation als Geschäftsführer schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur GmbH-Geschäftsführerhaftung in der IT-Branche
Auf welcher gesetzlichen Grundlage haftet ein GmbH-Geschäftsführer persönlich?
Die zentrale Haftungsnorm ist § 43 GmbHG. Danach haftet der Geschäftsführer der Gesellschaft gegenüber persönlich und mit seinem gesamten Privatvermögen, wenn er die Sorgfalt eines ordentlichen Geschäftsmanns verletzt hat und der Gesellschaft dadurch ein Schaden entstanden ist. Die Beweislast für sorgfältiges Handeln liegt grundsätzlich beim Geschäftsführer. Unkenntnis über gesetzliche Pflichten entlastet nach der gefestigten höchstrichterlichen Rechtsprechung regelmäßig nicht.
Welche besonderen Haftungsrisiken bestehen für Geschäftsführer von IT-Unternehmen?
Geschäftsführer in der Software- und IT-Branche sind mit einer Kumulation von gesetzlich gebundenen Pflichten konfrontiert: DSGVO-Compliance (Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach Art. 83 DSGVO), IT-Sicherheitsrecht, Meldepflichten bei Datenpannen binnen 72 Stunden (Art. 33 DSGVO) sowie die allgemeine Insolvenzantragspflicht. Jedes dieser Felder kann bei Verletzung eine Innenhaftung nach § 43 GmbHG auslösen. Die genaue Risikoexposition ist im Einzelfall zu prüfen.
Was ist die Business Judgment Rule und schützt sie IT-Geschäftsführer?
Die Business Judgment Rule schützt Geschäftsführer vor einer nachträglichen gerichtlichen Überprüfung unternehmerischer Entscheidungen, sofern sie auf angemessener Information getroffen wurden und das Wohl der Gesellschaft im Blick hatten. Sie gilt jedoch nur für echte unternehmerische Ermessensentscheidungen – nicht für Entscheidungen, bei denen eine gesetzlich gebundene Handlungspflicht besteht. IT-Geschäftsführer, die datenschutzrechtliche oder IT-sicherheitsrechtliche Pflichten verletzen, können sich daher nicht auf unternehmerisches Ermessen berufen.
Wann muss ein Geschäftsführer Insolvenzantrag stellen?
Bei Zahlungsunfähigkeit im Sinne von § 17 InsO gilt eine Antragsfrist von drei Wochen (§ 15a InsO). Bei Überschuldung nach § 19 InsO beträgt die gesetzliche Frist sechs Wochen. Beide Fristen beginnen mit Eintritt des Insolvenzgrundes, nicht erst mit dessen Entdeckung. Wird die Pflicht verletzt, haftet der Geschäftsführer nach § 15b InsO persönlich für sämtliche nach Eintritt der Insolvenzreife geleisteten Zahlungen. Die individuelle Situation sollte anwaltlich geprüft werden, sobald Anhaltspunkte für eine Krisenlage bestehen.
Kann ein Geschäftsführer seine Haftung durch eine D&O-Versicherung ausschließen?
Eine D&O-Versicherung (Directors and Officers) schließt die persönliche Haftung des Geschäftsführers nicht aus, deckt jedoch – je nach Vertragsgestaltung – Haftpflichtansprüche Dritter oder der Gesellschaft für Vermögensschäden ab. Damit fungiert sie als finanzielles Sicherheitsnetz, nicht als Haftungsausschluss. Ob und in welchem Umfang eine bestehende Versicherung greift, hängt von den konkreten Vertragskonditionen, dem Selbstbehalt und etwaigen Ausschlussklauseln ab. Eine regelmäßige Überprüfung des Deckungsumfangs ist empfehlenswert.
Wie lange können Haftungsansprüche gegen einen Geschäftsführer geltend gemacht werden?
Ansprüche der Gesellschaft gegen den Geschäftsführer aus § 43 GmbHG unterliegen der allgemeinen zivilrechtlichen Verjährung: Die Regelverjährung beträgt nach § 195 BGB drei Jahre, beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger Kenntnis erlangt hat (§ 199 BGB). In bestimmten Fällen können längere Verjährungsfristen gelten, etwa wenn deliktische Ansprüche oder spezialgesetzliche Regelungen einschlägig sind. Die genaue Frist ist im Einzelfall anwaltlich zu prüfen.
Die vorstehende Darstellung betrifft die Regelfälle der Geschäftsführerhaftung. Ihr konkreter Fall erfordert die Prüfung Ihrer gesellschaftsvertraglichen Situation, bestehender Haftungsvereinbarungen und der aktuellen Rechtsprechungsentwicklung. Zur Klärung, wie die Haftungsregeln auf Ihre Position als Geschäftsführer wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.