Compliance-Haftung Geschäftsführer 2026: 6 Risiken

Innenhaftung, Bußgeld, Strafbarkeit: welches Risiko wen trifft

Die Risiken 1 bis 5 liegen auf drei verschiedenen Ebenen: Schadensersatz gegenüber der eigenen Einrichtung bzw. Gesellschaft (Risiken 1 und 2), Geldbußen, deren Adressat zunächst das Unternehmen ist (Risiken 3 und 5), und persönliche Strafbarkeit einer natürlichen Person (Risiko 4; im Datenschutz § 42 BDSG, dort ebenfalls — der Bußgeldweg über § 41 Abs. 1 BDSG steht bei Risiko 3). Risiko 6 ist keine Haftungsebene, sondern die Frage, was von alledem versicherbar ist. Die Trennung entscheidet darüber, wer Anspruchsgegner ist, wer Adressat der Sanktion — und wer sie wirtschaftlich trägt.

Die Spalte „Rahmen" nennt, was die jeweilige Norm anordnet: bei den Bußgeldnormen den gesetzlichen Höchstbetrag, bei den Haftungsnormen den Anspruchstyp, bei § 14 StGB die Zurechnungswirkung; Zeile 6 gibt die Angaben der Erstfassung zur D&O-Police wieder. Zu erwartende Beträge lassen sich daraus nicht ableiten.

1. § 38 BSIG (NIS2): persönliche Innenhaftung ohne Deckelung

§ 38 Abs. 2 BSIG regelt die persönliche Innenhaftung der Geschäftsleitung nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform — ohne gesetzlichen Betragsdeckel.

Eine feste „2-Mio.-EUR-Grenze" für die persönliche Haftung existiert nicht — der Betrag ist eine Bußgeld-Stufe gegen die Einrichtung selbst: Sie gilt für die Zuwiderhandlung gegen vollziehbare Anordnungen (§ 65 Abs. 5 Satz 1 Nr. 3 i. V. m. Abs. 2 Nr. 1 Buchst. a BSIG). Für Verstöße gegen die Risikomanagementmaßnahmen nach § 30 BSIG liegt der Bußgeldrahmen bei bis zu 10 Mio. EUR (besonders wichtige Einrichtungen) bzw. 7 Mio. EUR (wichtige Einrichtungen) nach § 65 Abs. 5 Satz 1 Nr. 1 BSIG. Bei einem Gesamtumsatz von mehr als 500 Mio. EUR kann die Geldbuße abweichend bis zu 2 % (besonders wichtige Einrichtungen) bzw. bis zu 1,4 % (wichtige Einrichtungen) des weltweiten Gesamtumsatzes betragen (§ 65 Abs. 6 und 7 BSIG).

Auslöser der Haftung ist die Verletzung der Pflichten aus § 38 Abs. 1 BSIG: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Eine „grobe" Pflichtverletzung verlangt das Gesetz gerade nicht — gehaftet wird für jeden schuldhaft verursachten Schaden, und zwar nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts; nach dem BSIG selbst nur dann, wenn das maßgebliche Gesellschaftsrecht keine Haftungsregelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Gläubiger dieses Anspruchs ist die eigene Einrichtung. Hinzu kommt die persönliche Schulungspflicht der Geschäftsleitung (§ 38 Abs. 3 BSIG). Versicherbar nur eingeschränkt (D&O-Police, Risiko 6).

Wen § 38 BSIG überhaupt erfasst

Die Norm greift nur bei besonders wichtigen und wichtigen Einrichtungen — die Einstufung nach § 28 BSIG entscheidet also vor jeder Haftungsfrage. Als besonders wichtige Einrichtung gilt eine sonstige Einrichtung einer in Anlage 1 bestimmten Art, wenn sie mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Mio. EUR und zudem eine Jahresbilanzsumme von über 43 Mio. EUR aufweist; als wichtige Einrichtung gelten Einrichtungen einer in Anlage 1 oder 2 bestimmten Art mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR (§ 28 Abs. 1 und 2 BSIG). Die Anlagen-Bindung ist Teil der Schwelle: Ohne Zuordnung zu einer Anlagen-Art tragen Beschäftigten- und Umsatzzahlen die Einstufung nicht. Größenunabhängig als besonders wichtige Einrichtung erfasst sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Telekommunikationsanbieter.

Was die Geschäftsleitung umsetzen und überwachen muss

Bezugspunkt ist § 30 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, deren Einhaltung zu dokumentieren ist (§ 30 Abs. 1 BSIG). Der Mindestkatalog des § 30 Abs. 2 BSIG umfasst zehn Bereiche: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity mit Backup-Management und Krisenmanagement, Sicherheit der Lieferkette, sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Der Geschäftsleitung zugewiesen ist davon die Umsetzung dieser Maßnahmen und die Überwachung ihrer Umsetzung (§ 38 Abs. 1 BSIG). Praktisch relevant wird das seit 2026: Die Registrierungsfrist des § 33 Abs. 1 BSIG ist in Deutschland am 06.03.2026 abgelaufen (Einzelheiten in der Nachweis-Tabelle).

2. § 43 GmbHG: Sorgfaltspflicht

§ 43 Abs. 1 GmbHG verpflichtet Geschäftsführer auf die „Sorgfalt eines ordentlichen Geschäftsmannes". Verletzen sie ihre Obliegenheiten, haften sie nach § 43 Abs. 2 GmbHG der Gesellschaft solidarisch für den entstandenen Schaden — § 43 GmbHG begründet also eine Innenhaftung, keine Haftung gegenüber Dritten. Eine Außenhaftung gegenüber Geschäftspartnern, Beschäftigten oder Betroffenen setzt eine eigene Anspruchsgrundlage voraus (etwa Deliktsrecht oder steuer- und sozialversicherungsrechtliche Sondertatbestände).

§ 43 Abs. 1 GmbHG gibt einen Sorgfaltsmaßstab vor. Die einzelnen Pflichten stehen in den Fachgesetzen und treffen dort das Unternehmen: Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO), Auftragsverarbeitungsverträge mit gesetzlichem Mindestinhalt und Auswahl nur solcher Auftragsverarbeiter, die hinreichende Garantien bieten (Art. 28 Abs. 1 und 3 DSGVO), Risikomanagementmaßnahmen (§ 30 BSIG), interne Meldestelle ab in der Regel 50 Beschäftigten (§ 12 Abs. 1 und 2 HinSchG), Schutzmaßnahmen gegen Benachteiligung einschließlich vorbeugender Maßnahmen (§ 12 Abs. 1 bis 3 AGG) und KI-Kompetenz (Art. 4 KI-VO). Demgegenüber weist § 38 Abs. 1 und 3 BSIG die Umsetzungs- und Überwachungspflicht sowie die Schulungsteilnahme ausdrücklich der Geschäftsleitung selbst zu (Risiko 1).

Fehlt eine dieser Vorkehrungen, ist zunächst das Unternehmen Adressat: Wer keine interne Meldestelle einrichtet und betreibt, begeht eine Ordnungswidrigkeit mit einem Rahmen bis 20.000 EUR; Behinderung einer Meldung, Repressalie und Vertraulichkeitsverstoß liegen bei bis zu 50.000 EUR, die übrigen Fälle bei bis zu 10.000 EUR (§ 40 Abs. 2 bis 6 HinSchG). Der Schritt von dieser Unternehmenssanktion zur persönlichen Haftung führt über § 43 Abs. 2 GmbHG — und setzt einen Schaden der Gesellschaft und eine Pflichtverletzung des Geschäftsführers voraus.

3. Art. 83 DSGVO + § 41 BDSG: Bußgeld auch persönlich

Persönlich in ein Bußgeldverfahren geraten kann eine Leitungsperson über § 41 Abs. 1 BDSG: Die Norm erklärt für Verstöße nach Art. 83 Abs. 4 bis 6 DSGVO die Vorschriften des Ordnungswidrigkeitengesetzes sinngemäß für anwendbar (ohne §§ 17, 35 und 36 OWiG). Die Geldbuße nach Art. 83 DSGVO selbst richtet sich dagegen gegen den Verantwortlichen oder Auftragsverarbeiter — in der Regel also gegen das Unternehmen, nicht gegen die Geschäftsführung. Persönlich strafbar wird es nach § 42 BDSG; die beiden Tatbestände stehen bei Risiko 4. Ergänzend zu Art. 83 DSGVO stellt § 43 BDSG — nicht zu verwechseln mit § 43 GmbHG (Risiko 2) — bestimmte Verstöße bei der Behandlung von Auskunftsverlangen und der Verbraucherunterrichtung nach § 30 BDSG als Ordnungswidrigkeit unter Geldbuße bis zu 50.000 EUR; gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt (§ 43 Abs. 2 und 3 BDSG).

Welcher Bußgeldrahmen gilt, hängt vom Verstoßtyp ab. Verstöße gegen Pflichten aus den Art. 25 bis 39 DSGVO — darunter die Meldung einer Datenschutzverletzung und die Datenschutz-Folgenabschätzung — liegen bei bis zu 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Verstöße gegen die Verarbeitungsgrundsätze und Einwilligungsbedingungen (Art. 5, 6, 7, 9) sowie gegen die Rechte betroffener Personen (Art. 12 bis 22) liegen bei bis zu 20 Mio. EUR oder 4 % (Art. 83 Abs. 5 DSGVO) — jeweils, je nachdem, welcher Betrag höher ist.

Im Alltag berühren vor allem fünf Pflichten diesen Rahmen. Drei davon laufen gegen die Uhr: die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, unverzüglich und möglichst binnen 72 Stunden nach Kenntnis, sonst mit Begründung der Verzögerung (Art. 33 Abs. 1 DSGVO); die Benachrichtigung der betroffenen Person unverzüglich bei voraussichtlich hohem Risiko (Art. 34 Abs. 1 DSGVO); und die Antwort auf Betroffenenanträge unverzüglich, in jedem Fall binnen eines Monats, verlängerbar um zwei Monate mit Begründung innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO). Zwei sind organisatorisch: die Benennung eines Datenschutzbeauftragten in den Fällen des Art. 37 Abs. 1 DSGVO, in Deutschland ergänzt um in der Regel mindestens 20 Personen in der automatisierten Verarbeitung sowie unabhängig von dieser Zahl bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen, oder bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung oder für Zwecke der Markt- oder Meinungsforschung (§ 38 Abs. 1 BDSG) — und diese Folgenabschätzung selbst, vorab durchzuführen bei voraussichtlich hohem Risiko, insbesondere bei neuen Technologien, umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 1 und 3 DSGVO).

4. § 14 StGB: Strafrechtliche Haftung

§ 14 StGB („Handeln für einen anderen") rechnet dem vertretungsberechtigten Organ einer juristischen Person die besonderen persönlichen Merkmale zu, die die Strafbarkeit begründen — die Norm verlagert Sonderdelikte auf die Geschäftsleitung, schafft aber keinen eigenen Straftatbestand. Sie setzt also stets einen Straftatbestand voraus, der an eine besondere Täterstellung anknüpft.

§ 203 StGB (Verletzung von Privatgeheimnissen) trägt bei einer Datenpanne regelmäßig nicht: Die Vorschrift trifft nur die dort aufgezählten Geheimnisträger (Abs. 1: u. a. Ärzte, Rechtsanwälte, Steuerberater; Abs. 2: Amtsträger) und verlangt ein vorsätzliches, unbefugtes Offenbaren — eine Fahrlässigkeitsvariante gibt es nicht (§ 15 StGB). Persönliche Strafbarkeit im Datenschutz läuft daher praktisch über § 42 BDSG, nicht über § 203 StGB. Praktisch heißt das: Vor jeder strafrechtlichen Bewertung einer Datenpanne steht der Täterstellungs-Check — gibt es einen Tatbestand, der an eine besondere Täterstellung anknüpft? Für die persönliche Strafbarkeit im Datenschutz ist § 42 BDSG die einschlägige Strafnorm: bis zu drei Jahre Freiheitsstrafe bei gewerbsmäßigem, unberechtigtem Übermitteln oder Zugänglichmachen nicht allgemein zugänglicher personenbezogener Daten einer großen Zahl von Personen (Abs. 1), bis zu zwei Jahre bei unberechtigter Verarbeitung gegen Entgelt oder in Bereicherungs- bzw. Schädigungsabsicht (Abs. 2). Fehlt ein solcher Tatbestand, läuft § 14 StGB leer.

5. Art. 99 EU AI Act: bis 35 Mio. EUR / 7%

Die Geldbußen des Art. 99 KI-VO richten sich gegen die Akteure: bis zu 35 Mio. EUR oder — im Falle von Unternehmen — bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bei Missachtung der verbotenen Praktiken nach Art. 5, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3); bis zu 15 Mio. EUR bzw. 3 % bei Verstößen gegen Anbieterpflichten (Art. 16), Betreiberpflichten (Art. 26) oder Transparenzpflichten (Art. 50) nach Art. 99 Abs. 4; bis zu 7,5 Mio. EUR bzw. 1 % für falsche Auskünfte an Behörden (Art. 99 Abs. 5). Für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6) — die 35-Mio.-Zahl ist für kleine Unternehmen also nicht der Maßstab. Adressat ist das Unternehmen als Anbieter oder Betreiber; eine persönliche Inanspruchnahme der Geschäftsführung folgt nicht aus Art. 99, sondern erst über nationales Recht (Gesellschafts- und Ordnungswidrigkeitenrecht). Die Sanktionsvorschriften selbst legen die Mitgliedstaaten fest (Art. 99 Abs. 1); sie müssen dabei die Interessen von KMU und deren wirtschaftliches Überleben berücksichtigen.

Welche Pflichten dahinterstehen, ist seit dem 2. August 2026 in voller Breite relevant: Die KI-VO gilt seit diesem Datum allgemein, Kapitel I und II mit den verbotenen Praktiken des Art. 5 galten bereits ab 02.02.2025, die Pflichten für Modelle mit allgemeinem Verwendungszweck ab 02.08.2025; die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 gelten nach der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, für Anhang-III-Systeme ab 02.12.2027 und für KI in Produkten nach Anhang I (Art. 6 Abs. 1 KI-VO) ab 02.08.2028 (Art. 113 KI-VO). Zum höchsten Rahmen führt Art. 5: verboten sind unter anderem manipulative Techniken mit erheblichem Schaden, Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Kategorisierung zur Ableitung sensibler Merkmale. In den Rahmen des Art. 99 Abs. 4 fallen die Transparenzpflichten des Art. 50: Systeme zur direkten Interaktion mit Menschen müssen darüber informieren, dass es sich um ein KI-System handelt (Abs. 1); synthetische Audio-, Bild-, Video- oder Textinhalte sind maschinenlesbar als künstlich erzeugt oder manipuliert zu kennzeichnen (Abs. 2); Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen informieren die betroffenen Personen (Abs. 3); wer Deepfakes erzeugt oder manipuliert, legt das offen (Abs. 4). Für die Durchführung der Verordnung benennt jeder Mitgliedstaat mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde; eine Marktüberwachungsbehörde fungiert als zentrale Anlaufstelle (Art. 70 Abs. 1 und 2 KI-VO). Marktüberwachungsbehörde ist in Deutschland seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind; Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt, die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

6. D&O-Versicherung als Schutz

Die D&O-Versicherung deckt nach den Angaben der Erstfassung dieses Artikels (Stand 02.05.2026) einen Teil der hier behandelten Risiken ab. Compliance-Verstöße sind danach meist gedeckt, Vorsatz und grobe Fahrlässigkeit nicht; Bußgelder sind nicht Gegenstand der Deckung. Deckungssumme und Prämie hängen von Unternehmensgröße, Branche und gewähltem Deckungsumfang ab und sind über Angebote zu klären.

Für die sechs Risiken heißt das dreierlei. Erstens: Die beiden Innenhaftungsfälle (Risiken 1 und 2) sind Schadensersatzansprüche der eigenen Einrichtung bzw. Gesellschaft; die Erstfassung führt Compliance-Verstöße insoweit als „meist gedeckt". Zweitens: Die Bußgelder aus Art. 83 DSGVO, § 65 BSIG und Art. 99 KI-VO treffen ohnehin das Unternehmen als Verantwortlichen bzw. als Einrichtung oder Akteur — und sind nach der Angabe der Erstfassung nicht gedeckt. Drittens: Die Verschuldensschwellen fallen auseinander. § 38 Abs. 2 BSIG knüpft an jeden schuldhaft verursachten Schaden an und verlangt keine grobe Pflichtverletzung, während der Deckungsausschluss nach der Angabe der Erstfassung bei grober Fahrlässigkeit ansetzt — zwischen beiden Schwellen liegt der Bereich, in dem sich die Deckungsfrage praktisch entscheidet.

Praxisempfehlung: Halten Sie die Police vor Verlängerung gegen genau diese sechs Positionen und lassen Sie sich die Behandlung von Ansprüchen nach § 38 Abs. 2 BSIG schriftlich bestätigen. Deckungsumfang und Ausschlüsse folgen den Bedingungen des jeweiligen Vertrags, nicht einer Norm.

Was dokumentiert sein muss — und was Praxisempfehlung ist

Sechs Nachweis- und Meldepflichten führt die Tabelle; vier davon betreffen die Führungsdokumentation: Dokumentation, Registrierung (einmalig, mit laufender Änderungsmeldung), Schulung und Überwachung — hinzu kommen die Vorfallsmeldung (§ 32 Abs. 1 BSIG) und der Umsetzungsnachweis der Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG). Adressat ist teils die Einrichtung (§ 30 Abs. 1, § 32 Abs. 1, § 33 Abs. 1, § 39 Abs. 1 BSIG), teils die Geschäftsleitung selbst (§ 38 Abs. 1 und 3 BSIG). Welcher Termin dabei aus dem Gesetz folgt und welcher aus der Praxis, weist die Spalte „Vorgabe" je Zeile aus — diese Trennung entscheidet darüber, was im Aufsichtsverfahren als Pflichtverstoß zählt und was interne Arbeitsvorgabe bleibt. Die Tabelle bildet die deutsche Rechtslage ab; die österreichischen Entsprechungen stehen im nächsten Abschnitt.

Praxisempfehlung für die Ablage: Halten Sie je Schulung Datum, Teilnehmerkreis, Inhalt und die zugrunde liegende Norm fest und führen Sie diese Nachweise als Anlage zum Management-Review. Ein erheblicher Sicherheitsvorfall — einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG) — lässt sich nicht auf den nächsten Review-Termin verschieben: Die 24-Stunden-Frist läuft ab Kenntnis.

Österreich: abweichende Rechtsgrundlagen

Für österreichische Gesellschaften gelten andere Fundstellen und andere Behörden: § 25 GmbHG (AT) statt § 43 dGmbHG, NISG 2026 statt BSIG mit der Cybersicherheitsbehörde statt dem BSI, DSG und Datenschutzbehörde statt BDSG und Landesdatenschutzbehörden, HSchG statt HinSchG; die KI-VO gilt in beiden Staaten gleich. Die Haftungssystematik ist vergleichbar, die Zuständigkeiten sind es nicht. Die Punkte 1–4 bilden die deutsche Rechtslage ab; dasselbe gilt für die Übersichtstabelle am Anfang und für die Nachweis-Tabelle im vorigen Abschnitt. Zum zeitlichen Vorbehalt: Das NISG 2026 (BGBl. I Nr. 94/2025) ist nach dem ausgewerteten Terminstand vom 02.05.2026 ab dem 01.10.2026 anwendbar — alle folgenden NISG-Angaben stehen unter diesem Anwendungsbeginn; die Angaben zu GmbHG (AT), Datenschutz, Hinweisgeberschutz und KI-VO sind davon nicht berührt.

• GF-Sorgfaltspflicht: § 25 GmbHG (AT) — „Sorgfalt eines ordentlichen Geschäftsmannes", Haftung gegenüber der Gesellschaft — an Stelle von § 43 dGmbHG.
• NIS2: Umsetzung über das NISG 2026 (statt BSIG): Registrierung § 29, Risikomanagement-Maßnahmen § 32, Meldepflichten (24 h / 72 h / 1 Monat) an das CSIRT nach § 34. Im Einzelnen ab 01.10.2026: Registrierung bei der Cybersicherheitsbehörde binnen drei Monaten, Änderungen der Kerndaten binnen zwei Wochen (§ 29 Abs. 2 bis 4); Maßnahmen „geeignet und verhältnismäßig" mit dem Mindestkatalog des § 32 Abs. 4 lit. a bis j — der deutsche § 30 Abs. 1 BSIG verlangt demgegenüber zusätzlich Wirksamkeit; Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht und Nachweis durch eine unabhängige Stelle auf Aufforderung binnen zwei Jahren, bei wesentlichen Einrichtungen für die operative und organisatorische Umsetzung binnen zwei Monaten (§ 33 Abs. 1 und 2). Die Einstufung als wesentliche oder wichtige Einrichtung regelt § 24 i. V. m. § 25 NISG 2026, zuständige Behörde ist die Cybersicherheitsbehörde (§ 3a), nicht das BSI.
• Geschäftsleitung/NIS2 (AT): § 31 NISG 2026 — die Leitungsorgane wesentlicher und wichtiger Einrichtungen haben die Einhaltung der Risikomanagementmaßnahmen nach § 32 sicherzustellen und zu beaufsichtigen und müssen an Cybersicherheitsschulungen teilnehmen. Eine ausdrückliche Innenhaftungsnorm wie § 38 Abs. 2 BSIG enthält das NISG 2026 nicht; die Haftung folgt aus dem allgemeinen Gesellschaftsrecht. Dafür kann die Cybersicherheitsbehörde den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen (§ 39 Abs. 4 Z 2 NISG 2026, Eintragung im Firmenbuch), und Verwaltungsstrafen verhängen die Bezirksverwaltungsbehörden — eine Bestrafung des Verantwortlichen nach § 9 VStG entfällt nur, wenn für denselben Verstoß bereits die juristische Person bestraft wird (§ 44 Abs. 5 NISG 2026). Für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 liegt der Strafrahmen bei wesentlichen Einrichtungen bei bis zu 10.000.000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bei bis zu 7.000.000 EUR oder 1,4 % — je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026).
• Datenschutz: Aufsicht durch die Datenschutzbehörde auf Basis des DSG — statt Landesdatenschutzbehörden und BDSG in Deutschland. Die Datenschutzbehörde ist als nationale Aufsichtsbehörde nach Art. 51 DSGVO eingerichtet (§ 18 Abs. 1 DSG) und entscheidet über die nationalen Verwaltungsstrafen: bis zu 50.000 Euro etwa für die vorsätzliche Übermittlung von Daten in Verletzung des Datengeheimnisses — allerdings nur, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist (§ 62 Abs. 1 DSG). Eine zahlenmäßige Schwelle für die Benennung des Datenschutzbeauftragten über Art. 37 DSGVO hinaus sieht Österreich nicht vor (§ 5 DSG); die deutsche 20-Personen-Schwelle hat dort kein Gegenstück.
• Hinweisgeberschutz: HinweisgeberInnenschutzgesetz (HSchG) statt HinSchG — internes Hinweisgebersystem ab 50 Arbeitnehmerinnen und Arbeitnehmern (§ 3 Abs. 1, § 11 Abs. 1). Behinderung, Vergeltungsmaßnahmen, Vertraulichkeitsverstöße und wissentlich falsche Hinweise sind Verwaltungsübertretungen und werden von der Bezirksverwaltungsbehörde mit Geldstrafe bis zu 20.000 Euro, im Wiederholungsfall bis zu 40.000 Euro geahndet (§ 24 HSchG).
• EU AI Act (Art. 99): gilt als EU-Verordnung 2024/1689 in Deutschland und Österreich gleichermaßen — hier gibt es keinen nationalen Unterschied.