Betriebliche Absicherung ist kein Standardprodukt

Der Beitrag richtet sich nach Branche, Umsatz und Mitarbeiterzahl – nicht nach der Rechtsform. Für risikoarme Tätigkeiten ohne Kundenverkehr in eigenen Räumen, etwa Beratung oder Bürodienstleistung, bewegt sich eine Betriebshaftpflicht typischerweise im unteren dreistelligen Bereich pro Jahr. Handwerk, Montage, alles mit Arbeiten an fremden Sachen und alles mit Publikumsverkehr liegt deutlich darüber, weil dort tatsächlich Schäden entstehen. Wichtiger als der Beitrag ist bei kleinen Gewerben die Tätigkeitsbeschreibung: Sie muss die tatsächlich ausgeübten Tätigkeiten abbilden. Eine falsch eingestufte Tätigkeit ist billig und im Schadenfall wertlos.

Für die meisten Gewerbe nicht gesetzlich vorgeschrieben, für einige Berufe dagegen zwingend – etwa für Rechtsanwälte, Steuerberater, Architekten, Ärzte und Versicherungsvermittler, jeweils über das jeweilige Berufsrecht. Unabhängig davon verlangen Auftraggeber sie heute praktisch immer: Ohne Nachweis kommen Sie in keine Ausschreibung und auf keine Baustelle. Der eigentliche Grund, sie zu haben, ist aber ein anderer: Wer als Einzelunternehmer oder Personengesellschaft haftet, haftet mit dem Privatvermögen, und zwar unbegrenzt.

Vier Bereiche fallen regelmäßig heraus. Erstens vorsätzliche Pflichtverletzungen und wissentliche Pflichtwidrigkeiten – der Kernausschluss jeder D&O, denn Vorsatz ist nicht versicherbar. Zweitens Geldstrafen, Bußgelder und Strafen mit Sanktionscharakter, soweit ihre Übernahme rechtlich unzulässig ist. Drittens Schäden an Personen und Sachen; dafür ist die Betriebshaftpflicht zuständig, nicht die D&O, die reine Vermögensschäden abdeckt. Und viertens alles, was vor Vertragsbeginn bereits bekannt war – Pflichtverletzungen, die man beim Abschluss schon kannte oder kennen musste, sind über die Umstandsmeldung ausgeschlossen. Hinzu kommen je nach Vertrag Ausschlüsse für Insolvenzverschleppung, Kartellrecht und Ansprüche zwischen verbundenen Unternehmen.

Am häufigsten dann, wenn wissentliche Pflichtverletzung im Raum steht – der Versicherer stellt sich auf den Standpunkt, das Organ habe die Pflicht gekannt und dennoch verletzt. Weitere klassische Fälle: Der Versicherungsfall wurde zu spät gemeldet, obwohl D&O-Verträge auf dem Claims-made-Prinzip beruhen und deshalb nur Ansprüche decken, die während der Laufzeit erhoben und angezeigt werden. Oder die Pflichtverletzung liegt vor dem Beginn der Rückwärtsdeckung. Oder das Organ war zum fraglichen Zeitpunkt gar nicht in der versicherten Funktion. Deshalb sind Nachmeldefrist, Rückwärtsdeckung und die Behandlung ausgeschiedener Organe die drei Punkte, auf die wir bei jedem Vergleich zuerst schauen.

Schließt die Gesellschaft die D&O für ihre Organe ab, geschieht das im überwiegend eigenbetrieblichen Interesse: Sie sichert damit in erster Linie ihre eigenen Ersatzansprüche ab. Die Beiträge sind dann Betriebsausgaben und lösen beim Organ keinen steuerpflichtigen Arbeitslohn aus. Anders liegt es, wenn die Police überwiegend dem persönlichen Interesse des Organs dient – etwa bei einer reinen Eigenschadendeckung oder einer persönlichen Police, deren Beitrag die Gesellschaft übernimmt. Dann kann ein geldwerter Vorteil entstehen. Die Abgrenzung hängt an der konkreten Vertragsgestaltung und sollte mit Ihrem Steuerberater geprüft werden – wir sorgen dafür, dass der Vertrag eine eindeutige Zuordnung ermöglicht.

Ja. Über § 116 AktG in Verbindung mit § 93 AktG trifft Aufsichtsratsmitglieder dieselbe Sorgfaltspflicht wie den Vorstand, und sie haften bei deren Verletzung persönlich und unbeschränkt mit ihrem Privatvermögen. Bei der GmbH mit fakultativem Aufsichtsrat verweist § 52 GmbHG auf dieselben Vorschriften. Verschärfend kommt die Beweislast hinzu: Ist ein Schaden entstanden, muss das Organ darlegen, sorgfältig gehandelt zu haben – nicht die Gesellschaft das Gegenteil. Der zwingende Selbstbehalt des § 93 Abs. 2 Satz 3 AktG gilt dabei nur für Vorstandsmitglieder, nicht für Aufsichtsräte; eine gesonderte Aufsichtsratsdeckung ist gleichwohl sinnvoll, weil die Unternehmens-D&O im Konfliktfall von derselben Gesellschaft gesteuert wird, gegen die sich der Anspruch richtet.

Kalkuliert wird über Umsatz, Branche und das Sicherheitsniveau der IT. Der zweite Punkt ist inzwischen der entscheidende: Versicherer zeichnen Cyberrisiken nur noch bei nachgewiesenen Mindeststandards – Multifaktor-Authentifizierung für Fernzugriffe, getrennte und getestete Backups, aktuelles Patchmanagement, Notfallplan. Wer diese Punkte erfüllt, bekommt Deckung zu vertretbaren Beiträgen; wer sie nicht erfüllt, bekommt entweder gar kein Angebot oder eines mit Ausschlüssen, die im Ernstfall greifen. Wir klären deshalb vor der Ausschreibung, wo Sie stehen – das ist die Arbeit, die den Beitrag am stärksten beeinflusst.

Für jedes Unternehmen, dessen Betrieb ohne IT stillsteht oder das personenbezogene Daten verarbeitet – also praktisch für jedes. Der wirtschaftlich schwerste Posten ist dabei selten das Lösegeld, sondern die Betriebsunterbrechung: Tage, in denen nicht produziert, nicht abgerechnet und nicht ausgeliefert wird. Dazu kommen die Kosten der Wiederherstellung, die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden und mögliche Ansprüche Betroffener. Der praktisch wertvollste Teil einer guten Cyberpolice ist aber die Assistance: IT-Forensik, Krisenkommunikation und Rechtsberatung, erreichbar am Tag des Vorfalls. Diese Dienstleister zu finden, während das Unternehmen steht, ist der eigentliche Engpass.