Urteil

Haften Verantwortliche für Auftragsverarbeiter?

Können Verantwortliche für Datenpannen ehemaliger Auftragsverarbeiter haftbar gemacht werden? Genau diese Frage entschied das Oberlandesgericht (OLG) Dresden. Das Gericht stellte klar: Die Kontrollpflichten von Verantwortlichen in der Auftragsverarbeitung sind sehr ernst zu nehmen (Urteil vom 15.10.2024, Az.: 4 U 940/24)

Der Fall

Ein Musikstreaming-Anbieter hatte einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt. Im Vertrag war klar geregelt, dass der Dienstleister alle gespeicherten Daten nach Vertragsende unverzüglich löschen muss. Doch diese Pflicht erfüllte er nicht: Erst Jahre später – und nur auf ausdrückliche Nachfrage – legte er eine Löschbestätigung vor.

Während dieser Zeit kam es bei dem Dienstleister zu einem Hackerangriff, bei dem personenbezogene Daten in unbefugte Hände gelangten.

Ein betroffener Kunde verklagte daraufhin den Musikstreaming-Anbieter auf Schadensersatz nach Art. 82 DSGVO. Seine Begründung: Seine Daten seien durch den Angriff kompromittiert worden. Der Anbieter wiederum argumentierte, er habe nach Beendigung des Auftrags keinen Einfluss mehr auf die Datenverarbeitung des Dienstleisters gehabt und könne deshalb nicht verantwortlich gemacht werden.

Die Entscheidung des Gerichts

Das OLG Dresden stellte klar: Ein Verantwortlicher kann sich nur dann von der Haftung befreien, wenn er nachweist, dass ihn keinerlei Verschulden trifft. Im konkreten Fall hatte die Beklagte jedoch ihre Kontrollpflichten verletzt, da sie die vertraglich vereinbarte Löschung der Daten durch den Auftragsverarbeiter nicht rechtzeitig überprüfte.

Nach Auffassung des Gerichts lag der Pflichtverstoß insbesondere darin, dass keine Löschbestätigung eingeholt wurde, obwohl dies ausdrücklich vertraglich vorgesehen war. Dadurch war es der Beklagten nicht möglich, sich gemäß Art. 82 Abs. 3 DSGVO von der Haftung zu entlasten – selbst wenn der eigentliche Datenschutzverstoß vom Dienstleister verursacht wurde.

Trotz der festgestellten Pflichtverletzung sprach das Gericht dem Kläger jedoch keinen Schadensersatz zu, da er keinen konkreten, ersatzfähigen Schaden nachweisen konnte.

Datenschutzrechtliche Einschätzung

Die Datenschutz-Grundverordnung (DSGVO) regelt klar die Rollenverteilung zwischen Verantwortlichen und Auftragsverarbeitern. Der Auftragsverarbeiter ist dabei an die Weisungen des Verantwortlichen gebunden. Die rechtliche Grundlage für die Verarbeitung liegt beim Verantwortlichen, der für den gesamten Verarbeitungsprozess – einschließlich der Handlungen des Auftragsverarbeiters – und die daraus entstehenden rechtlichen Folgen einzustehen hat.

Nach Art. 28 Abs. 1 DSGVO dürfen Verantwortliche nur solche Auftragsverarbeiter beauftragen, die nachweislich hinreichende Garantien für den Schutz personenbezogener Daten bieten. Dies umfasst nicht nur eine sorgfältige Auswahl des Dienstleisters, sondern auch eine regelmäßige Kontrolle seiner Tätigkeiten.

Das Urteil des OLG Dresden macht deutlich: Verletzt der Verantwortliche seine Kontrollpflichten, kann er sich nicht allein mit dem Hinweis auf ein Fehlverhalten des Auftragsverarbeiters von der Haftung befreien.

Die entsprechende Überwachungspflicht ergibt sich insbesondere aus Art. 28 Abs. 3 lit. g) und h) DSGVO, die die Löschung durch den Auftragsverarbeiter ausdrücklich regeln. Darüber hinaus leiten sich diese Pflichten auch aus den allgemeinen Grundsätzen der DSGVO ab, insbesondere aus dem Prinzip der Datenminimierung und der Speicherbegrenzung gemäß Art. 5 DSGVO.

Unsere Handlungsempfehlungen

Beendet ein Auftragsverarbeiter seine Tätigkeit oder überschreitet er die ihm erteilten Weisungen, bleibt der Verantwortliche in der Pflicht: Er muss auch in diesen Fällen seine Kontroll- und Überwachungspflichten erfüllen.

Das OLG Dresden betont jedoch, dass die Anforderungen an die Überwachung nicht grenzenlos sind. Bei etablierten, als zuverlässig bekannten Dienstleistern darf grundsätzlich auf deren Rechtschaffenheit vertraut werden – dennoch steigen die Sorgfaltsanforderungen, wenn besonders sensible oder umfangreiche Daten verarbeitet werden.

Für die Praxis bedeutet das: Verantwortliche sollten vor allem folgende Maßnahmen sicherstellen:

Kontinuierliche Überwachung der eingesetzten Auftragsverarbeiter, auch nach Vertragsende.
Kontrolle der vertraglichen Vorgaben, insbesondere zur Datenlöschung und zu Sicherheitsmaßnahmen.
Lückenlose Dokumentation der Datenlöschung, um die Erfüllung der Pflichten nachweisen zu können.

Die Lehre aus dem Fall ist eindeutig: Wer die Kontrolle über kritische Datenverarbeitungen vernachlässigt, riskiert erhebliche Haftungsfolgen. Verantwortliche sollten daher bereits beim Vertragsschluss klare Regelungen zur Löschung und Überwachung treffen – und deren Einhaltung regelmäßig prüfen. Versäumnisse können noch Jahre später zu rechtlichen und finanziellen Belastungen führen.

Fazit

Das Haftungsrisiko von Verantwortlichen für Datenschutzverstöße ihrer Auftragsverarbeiter ist erheblich und sollte keinesfalls unterschätzt werden. Unternehmen können dieses Risiko jedoch deutlich reduzieren – durch eine sorgfältige Auswahl der Dienstleister, klare vertragliche Regelungen und eine konsequente Überwachung der vereinbarten Maßnahmen.

Der vom OLG Dresden entschiedene Fall zeigt eindrücklich: Es reicht nicht, diese Pflichten nur auf dem Papier festzuhalten. Sie müssen auch aktiv gelebt werden. Wer die Kontrolle vernachlässigt, riskiert, im Schadensfall selbst in die Haftung genommen zu werden.

Rechtsberatung anfordern

Die genaue Ausgestaltung kann je nach den spezifischen Umständen und der Art der Datenverarbeitung variieren, aber diese Punkte bilden die Grundlage für einen rechtlich korrekten Auftragsverarbeitungsvertrag.