Haftung, NDA und Datenzugriff beim Interim CFO

Die kurze Antwort

Drei Dinge müssen vor dem ersten Arbeitstag geklärt sein: in welcher Rolle die Besetzung tätig wird (beratend oder als bestelltes Organ), welche Versicherung dahintersteht, und welche Zugriffe sie bekommt – auf Bankkonten, Buchhaltung und Personaldaten. Alle drei gehören schriftlich in den Vertrag, nicht in eine mündliche Verabredung.

Der Beitrag beschreibt die übliche Praxis. Er ersetzt keine Rechtsberatung; die konkrete Ausgestaltung gehört mit dem eigenen Anwalt oder Steuerberater geprüft.

Drei Ebenen der Haftung

Wer für was einsteht, hängt davon ab, in welcher Rolle die Besetzung arbeitet. In der Praxis gibt es drei Fälle, und sie werden regelmäßig verwechselt.

1. Beratend und weisungsgebunden – der Normalfall. Der Interim CFO arbeitet auf Grundlage eines Dienstvertrags. Er schuldet sorgfältige Arbeit, keinen Erfolg. Entscheidungen mit Außenwirkung – Jahresabschluss, Zahlungen, Verträge – trifft und verantwortet die Geschäftsführung. Haftung besteht bei Pflichtverletzung, üblicherweise vertraglich begrenzt.

2. Als Geschäftsführer bestellt. Wird die Besetzung ins Handelsregister eingetragen, gilt die volle Organhaftung nach § 43 GmbHG – inklusive der besonders scharfen Haftung für Zahlungen nach Eintritt der Insolvenzreife. Das ist eine bewusste Entscheidung mit anderem Preis, anderer Versicherung und anderem Vertrag, kein Nebeneffekt.

3. Faktische Geschäftsführung – der Fall, den niemand plant. Wer nach außen auftritt wie ein Geschäftsführer, kann auch ohne Bestellung wie einer haften. Der Schutz dagegen ist banal und wirksam: klare Entscheidungsrechte im Vertrag, Zahlungsfreigaben im Vier-Augen-Prinzip, und keine Alleinvertretung gegenüber Bank, Finanzamt oder Gesellschaftern.

Wer die Rolle beim Start sauber beschreibt, hat diesen Punkt erledigt. Die Felder dafür stehen im Anforderungsprofil.

Vermögensschadenhaftpflicht

Die relevante Versicherung heißt Vermögensschadenhaftpflicht. Sie deckt reine Vermögensschäden aus beruflicher Tätigkeit ab – also genau das, was bei Finanzarbeit entstehen kann: ein übersehener Sachverhalt im Abschluss, eine falsche Meldung, eine verpasste Frist. Eine normale Betriebshaftpflicht deckt das nicht; sie greift bei Personen- und Sachschäden.

Drei Fragen genügen zur Prüfung:

• Besteht sie, und über welche Deckungssumme? Die Antwort gehört als Nachweis vorgelegt, nicht als Zusage.
• Deckt sie die konkrete Tätigkeit? Manche Policen schließen Organtätigkeit oder Auslandsbezug aus.
• Passt sie zur Haftungsbegrenzung im Vertrag? Eine Begrenzung oberhalb der Deckungssumme läuft im Ernstfall leer.

Bei bestellter Organtätigkeit ist zusätzlich zu klären, ob die D&O-Versicherung der Gesellschaft die Besetzung einschließt. Viele Policen tun das erst nach ausdrücklicher Anmeldung.

Die Vertraulichkeitsvereinbarung

Eine NDA vor dem ersten inhaltlichen Gespräch ist Standard und sollte kein Verhandlungsthema sein. Praktisch relevant sind vier Punkte:

• Umfang. Zahlen, Verträge, Kundendaten, Gesellschafterthemen, Personaldaten – und ausdrücklich auch die Tatsache des Mandats selbst, wenn Vertraulichkeit nach außen wichtig ist (bei Transaktionen und Restrukturierungen die Regel).
• Laufzeit. Zwei bis fünf Jahre über das Mandatsende hinaus sind üblich; Geschäftsgeheimnisse ohne Befristung.
• Weitergabe im Team. Wenn mehrere Personen des Anbieters mitarbeiten, muss die NDA sie einbeziehen.
• Wettbewerbsklauseln. Ein pauschales Branchenverbot ist für einen Interim-Anbieter nicht tragbar. Angemessen ist eine Frist für unmittelbare Wettbewerber, klar benannt.

Anbieterseitig gilt dasselbe umgekehrt: Referenzen werden nur mit Freigabe genannt. Das ist der Grund, warum die Mandatsbeschreibungen Situation und Ergebnis zeigen, aber nicht in jedem Fall den Namen.

Datenzugriff und Datenschutz

Ein Interim CFO sieht Personaldaten, Kontobewegungen und Vertragsdaten. Zwei Konstellationen sind zu unterscheiden.

Arbeitet die Besetzung eingegliedert und weisungsgebunden in der Organisation – der Normalfall –, handelt sie in aller Regel nicht als Auftragsverarbeiter, sondern wie eigenes Personal; nötig ist dann eine Verpflichtung auf die Vertraulichkeit nach der DSGVO. Wird dagegen eine Leistung mit eigener Datenverarbeitung außerhalb erbracht, etwa Buchhaltung oder Lohnabrechnung auf eigenen Systemen, ist ein Auftragsverarbeitungsvertrag der richtige Rahmen. Welche Variante vorliegt, gehört vor Zugriffserteilung entschieden, nicht danach.

Unabhängig davon haben sich fünf Regeln bewährt:

• Eigener, personalisierter Zugang in jedem System. Keine geteilten Konten – sonst ist im Nachhinein nicht nachvollziehbar, wer was getan hat.
• Lesen statt Schreiben, wo Lesen reicht. Für Analyse braucht es keine Buchungsrechte.
• Bankzugang nur mit Einreichrecht, Freigabe bleibt im Vier-Augen-Prinzip bei der Geschäftsführung. Das schützt beide Seiten – und ist zugleich der wirksamste Schutz gegen den Vorwurf faktischer Geschäftsführung.
• Personaldaten nach Bedarf. Gehaltsdaten für die Planung ja; Zugriff auf vollständige Personalakten selten nötig.
• Entzug am Mandatsende, mit Datum und Liste. Der häufigste Fehler nach einem Mandat sind vergessene Zugänge – ein Punkt, der in die Übergabe gehört.

Der Statusfrage kurz nachgegangen

Bei längeren Vollzeitmandaten mit fester Einbindung stellt sich die Frage der Scheinselbständigkeit. Gegen das Risiko sprechen ein klar abgegrenzter Auftrag mit definierten Ergebnissen, freie Zeiteinteilung, eigene Arbeitsmittel und mehrere Auftraggeber. Dafür sprechen Vollzeit über viele Monate, Weisungsgebundenheit wie ein Angestellter und ein fester Platz in der Organisation. Wo Unsicherheit besteht, ist ein Statusfeststellungsverfahren bei der Deutschen Rentenversicherung der saubere Weg – die Kriterien im Einzelnen stehen im Beitrag zu Vertragsform und Scheinselbstständigkeit.

Checkliste vor dem ersten Arbeitstag

1. NDA unterzeichnet, beidseitig.
2. Rolle und Entscheidungsrechte schriftlich, inklusive Zahlungsfreigaben.
3. Nachweis der Vermögensschadenhaftpflicht mit Deckungssumme.
4. Haftungsbegrenzung im Vertrag, abgestimmt auf die Deckungssumme.
5. Datenschutzrechtliche Einordnung entschieden: Vertraulichkeitsverpflichtung oder Auftragsverarbeitungsvertrag.
6. Zugriffsliste je System, personalisiert, mit Rechtestufe.
7. Bankrechte: Einreichen ja, Freigabe nein.
8. Entzugsdatum und Übergabeform vereinbart.

Bei nugrow liegen die Punkte 1 bis 5 vor dem ersten Termin vor; Punkte 6 bis 8 werden in der ersten Woche gemeinsam festgelegt.

Häufige Fragen

Haftet ein Interim CFO persönlich?

In der beratenden Rolle haftet er vertraglich für Pflichtverletzungen, üblicherweise begrenzt und über eine Vermögensschadenhaftpflicht abgesichert. Wird er als Geschäftsführer bestellt, gilt die volle Organhaftung nach § 43 GmbHG.

Welche Versicherung braucht ein Interim CFO?

Eine Vermögensschadenhaftpflicht. Sie deckt reine Vermögensschäden aus beruflicher Tätigkeit; eine Betriebshaftpflicht tut das nicht. Deckungssumme und Nachweis gehören vor Mandatsbeginn vorgelegt.

Braucht es einen Auftragsverarbeitungsvertrag?

Nur, wenn personenbezogene Daten außerhalb der Organisation auf eigenen Systemen verarbeitet werden – etwa bei ausgelagerter Buchhaltung. Bei eingegliederter, weisungsgebundener Tätigkeit ist in der Regel die Verpflichtung auf die Vertraulichkeit der richtige Weg. Die Einordnung gehört vor der Zugriffserteilung geklärt.

Sollte ein Interim CFO Zugriff auf das Bankkonto bekommen?

Einreichrecht ja, alleinige Freigabe nein. Zahlungen bleiben im Vier-Augen-Prinzip bei der Geschäftsführung. Das schützt das Unternehmen und die Besetzung gleichermaßen.

Was ist faktische Geschäftsführung, und wie vermeidet man sie?

Wer nach außen wie ein Geschäftsführer auftritt, kann auch ohne Bestellung so haften. Vermeidbar durch klare Entscheidungsrechte im Vertrag, Vier-Augen-Prinzip bei Zahlungen und keine Alleinvertretung gegenüber Bank, Finanzamt und Gesellschaftern.

Wie lange sollte eine NDA gelten?

Zwei bis fünf Jahre über das Mandatsende hinaus sind üblich, Geschäftsgeheimnisse ohne Befristung. Wichtig ist, dass sie das Team des Anbieters einschließt und die Tatsache des Mandats abdeckt, wenn Diskretion nach außen zählt.

Weiterlesen

• Mandat ausschreiben und Angebote vergleichen.
• Was passiert, wenn es nicht passt.
• Dienstvertrag oder Arbeitnehmerüberlassung.
• Interim CFO finden · Preise.

Quellen und Stand

Der Beitrag beruht auf der Vertrags- und Mandatspraxis von nugrow sowie auf den einschlägigen Regelungen des GmbH-Gesetzes und der DSGVO. Er ist keine Rechtsberatung. Stand: September 2026.