Die Haftung des Geschäftsführers ist streng. Sie beginnt im Innenverhältnis, d.h. im Verhältnis zum Gesellschafter der GmbH: Verletzt der Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmannes, ist er zum Schadensersatz verpflichtet. Und zwar mit seinem Privatvermögen und gesamtschuldnerisch mit etwaigen anderen Geschäftsführern. Entscheidend ist die Beweislast: Steht eine Pflichtverletzung im Raum, muss ihm nicht etwa die Gesellschaft ein Verschulden nachweisen. Vielmehr muss der Geschäftsführer darlegen und beweisen, dass er sorgfältig gehandelt hat.

Hinzu treten Pflichten, die auch dann einzuhalten sind, wenn bei mehreren Geschäftsführern eine Ressortaufteilung vereinbart wurde:

• Insolvenz: Insolvenzantragspflicht nach § 15a InsO (inklusive einer insolvenzrechtlichen Zahlungshaftung sowie der persönlichen Strafbarkeit bei Verschleppung).
• Steuern: Persönliche Haftung des Geschäftsführers für nicht abgeführte Lohn- und Umsatzsteuer.
• Sozialversicherung: Persönliche Strafbarkeit und deliktische Haftung bei dem Vorenthalten von Arbeitnehmerbeiträgen.
• Organisations- und Compliance: Verantwortung des Geschäftsführers, dass der Betrieb so aufgestellt ist, dass Rechtsverstöße vermieden werden. Wie schnell daraus eine persönliche Haftung wird, haben wir am Beispiel gefälschter Kontoverbindungen auf Rechnungen und zuletzt beim KI-Einsatz nach dem Digital Omnibus

Die formelle Vorgabe aus Art. 4 KI-VO war nie das eigentliche Risiko. Verstöße gegen Art. 4 waren schon bisher nicht bußgeldbewehrt, denn der Bußgeldkatalog der KI-Verordnung erfasst diese Norm nicht. Die wirklichen Haftungsfallen des KI-Einsatzes liegen in Rechtsgebieten, die der Digital Omnibus überhaupt nicht anrührt:

• Datenschutz (DSGVO): Geben Mitarbeitende personenbezogene Daten (z.B. Kundendaten, Bewerberunterlagen, Gesundheitsinformationen) in öffentliche KI-Tools ein, liegt regelmäßig ein Datenschutzverstoß vor. Die DSGVO verlangt technische und organisatorische Maßnahmen (Art. 24, 32 DSGVO); dazu gehört, dass Beschäftigte wissen, was sie in welche Systeme eingeben dürfen. Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes bleiben unverändert möglich.
• Urheberrecht: Wer KI-generierte Texte, Bilder oder Logos ungeprüft verwendet, riskiert die Verletzung fremder Schutzrechte. Umgekehrt genießen rein KI-generierte Inhalte selbst keinen Urheberrechtsschutz, wie wir in unserem Beitrag Urheberrecht für durch KI erstellte Logos? gezeigt haben. Beides müssen Mitarbeitende wissen, bevor KI-Output in Angebote, Werbung oder Produkte wandert.
• Geschäftsgeheimnisse (GeschGehG): Ein Geschäftsgeheimnis ist rechtlich nur geschützt, wenn das Unternehmen „angemessene Geheimhaltungsmaßnahmen“ nachweisen kann (§ 2 Nr. 1 GeschGehG). Wer Kalkulationen, Rezepturen oder Vertragsentwürfe in ein öffentliches KI-Tool kopiert, gefährdet nicht nur die Vertraulichkeit im Einzelfall, sondern kann sogar den rechtlichen Geheimnisschutz insgesamt verlieren. Und zwar unwiederbringlich.
• Vertrags- und Außenhaftung: Fehlerhafter, ungeprüfter KI-Output (z.B. die von der KI erfundene Quellenangabe, die falsche technische Spezifikation, die fehlerhafte Berechnung) wird dem Unternehmen zugerechnet, wenn er das Haus verlässt. Gegenüber Kunden haftet nicht „die KI“, sondern der Vertragspartner.

Wer jetzt auf das Inkrafttreten eines deutschen Gesetzes wartet, bevor er handelt, geht ein erhebliches rechtliches Risiko ein.

Zwar werden nicht sämtliche Vorgaben der Richtlinie jetzt unmittelbar gegenüber privaten Arbeitgebern anwendbar. Die EU-Richtlinie entfaltet jedoch ihre Wirkung auch ohne nationale Umsetzung auf zwei Wegen.

Erstens sind deutsche Gerichte seit dem 8. Juni 2026 verpflichtet, bestehendes deutsches Arbeitsrecht im Lichte der Richtlinie auszulegen. Das gilt unabhängig davon, ob ein deutsches Umsetzungsgesetz existiert oder nicht. Zweitens stützt sich die Richtlinie auf Art. 157 AEUV, den Grundsatz gleichen Entgelts für gleiche Arbeit im EU-Primärrecht. Auf diesen können sich Arbeitnehmer unmittelbar berufen und tun es bereits.

Das ist keine theoretische Debatte. Klagen auf Entgeltgleichheit waren auch bisher schon gängige Praxis. Die Richtlinie macht es für Arbeitnehmer nun einfacher – und für Arbeitgeber schwieriger, sich zu verteidigen.

Das Gesetz gilt erst seit Mitte 2023 – erste Urteile gibt es trotzdem bereits, und sie zeigen eine klare Richtung: Entscheidend ist nicht nur, dass Mitarbeitende Missstände ansprechen, sondern wie sie dies tun.

In mehreren Fällen hatten Beschäftigte Probleme zwar intern angesprochen – etwa gegenüber Vorgesetzten oder der Geschäftsführung –, den offiziellen Meldeweg aber nicht genutzt. Als sie später Nachteile geltend machten und Schadensersatz verlangten, scheiterten sie vor Gericht.

Die Botschaft daraus ist einfach: Der besondere Schutz des Hinweisgeberschutzgesetzes greift grundsätzlich erst dann, wenn Hinweise über die vorgesehenen Meldestellen abgegeben werden. Wer lediglich informell Kritik äußert oder Missstände anspricht, fällt nicht automatisch unter den gesetzlichen Schutzmechanismus.

Für Unternehmen ist das eine wichtige Erkenntnis: Ein funktionierendes Hinweisgebersystem ist nicht nur gesetzliche Pflicht, sondern schafft im Streitfall auch klare Strukturen und nachvollziehbare Prozesse.

Die neue Pflicht gilt für alle Unternehmen, die Verträge mit Verbrauchern online abschließen – unabhängig von Größe oder Umsatz.

Erfasst sind insbesondere:

• Online-Shops
• Plattformverkäufe (z. B. über Marktplätze)
• Digitale Dienstleistungen und Inhalte
  
  

Keine Anwendung findet die Regelung, wenn:

• kein gesetzliches Widerrufsrecht besteht (z. B. Sonderanfertigungen, verderbliche Waren),
• ausschließlich B2B-Verträge geschlossen werden.