{"id":21685,"date":"2025-02-14T10:05:40","date_gmt":"2025-02-14T09:05:40","guid":{"rendered":"https:\/\/www.activemind.legal\/?p=21685"},"modified":"2025-02-14T10:05:40","modified_gmt":"2025-02-14T09:05:40","slug":"urteil-haftung-auftragsverarbeiter","status":"publish","type":"post","link":"https:\/\/www.activemind.legal\/de\/guides\/urteil-haftung-auftragsverarbeiter\/","title":{"rendered":"Haften Verantwortliche f\u00fcr Fehlerverhalten von Auftragsverarbeitern?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Haften Verantwortliche f\u00fcr Datenpannen bei ehemaligen Auftragsverarbeitern? Dar\u00fcber hatte das Oberlandesgericht (OLG) Dresden zu entscheiden. Der Richterspruch macht klar, dass die Kontrollpflichten Verantwortlicher bei der Auftragsverarbeitung sehr genau genommen werden sollten (Urteil vom 15. Oktober 2024, Az.: 4 U 940\/24<\/a>). <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der Fall<\/h2>

Im gegenst\u00e4ndlichen Fall hatte der Auftragsverarbeiter eines Musikstreaming-Anbieters vertraglich zugesichert, alle gespeicherten personenbezogenen Daten nach Auftragsbeendigung umgehend zu l\u00f6schen. Der Verpflichtung kam der Auftragsverarbeiter vorerst nicht nach. Eine entsprechende L\u00f6schbest\u00e4tigung legte er erst Jahre sp\u00e4ter auf Nachfrage des Verantwortlichen vor.<\/p>

In der Zwischenzeit war es bei dem Auftragsverarbeiter jedoch zu einem Hackerangriff gekommen, bei dem personenbezogene Daten abflossen.<\/p>

Der Kl\u00e4ger, ein Kunde des Musikstreaming-Anbieters, machte gegen diesen Schadensersatzanspr\u00fcche gem. Art. 82 DSGVO<\/a> geltend, da seine personenbezogenen Daten von dem Hackerangriff betroffen waren. Das beklagte Unternehmen argumentierte, dass es keine Kontrolle \u00fcber die Datenverarbeitung des Auftragsverarbeiters nach Vertragsende gehabt habe und daher nicht haftbar sei.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Aktuelle Urteile zur DSGVO<\/strong><\/p>

In unseren regelm\u00e4\u00dfigen Besprechungen von Urteilen zum Datenschutzrecht<\/a> erkl\u00e4ren wir Ihnen die Konsequenzen f\u00fcr den Unternehmensalltag.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Das Urteil<\/h2>

In seinem Urteil betonte das OLG Dresden, dass sich der Verantwortliche nur dann von der Haftung freisprechen kann, wenn er nachweisen kann, dass ihn keinerlei Verschulden trifft. In diesem Fall hatte die Beklagte ihre Kontrollpflichten verletzt, indem sie die L\u00f6schung der Daten durch den Auftragsverarbeiter nicht rechtzeitig \u00fcberpr\u00fcfte.<\/p>

Das OLG sah den Pflichtversto\u00df insbesondere darin, dass keine Best\u00e4tigung der L\u00f6schung eingeholt wurde, obwohl dies vertraglich vorgesehen war. Damit war es der Beklagten auch nicht m\u00f6glich, sich gem. Art. 82 Abs. 3 DSGVO von der Haftung zu befreien, obwohl der eigentliche Datenschutzvorfall durch den Dienstleister ausgel\u00f6st wurde.<\/p>

Allerdings wurde dem Kl\u00e4ger trotz Pflichtverletzung des Verantwortlichen kein Schadensersatz zugesprochen, da ein tats\u00e4chlicher, ersatzf\u00e4higer Schaden letztlich nicht nachgewiesen werden konnte.<\/p>

Datenschutzrechtliche Einsch\u00e4tzung<\/h2>

Die Verteilung der Aufgaben und Pflichten zwischen Verantwortlichen und Auftragsverarbeitern wird durch die Datenschutz-Grundverordnung (DSGVO) klar geregelt. Der Auftragnehmer ist dabei an die Vorgaben und Anweisungen des Auftraggebers gebunden. Die rechtliche Grundlage f\u00fcr die Verarbeitung obliegt dem Auftraggeber, der die Verantwortung f\u00fcr den gesamten Prozess, einschlie\u00dflich der T\u00e4tigkeiten des Auftragsverarbeiters, sowie die daraus resultierenden rechtlichen Konsequenzen tr\u00e4gt.<\/p>

Gem\u00e4\u00df Art. 28 Abs. 1 DSGVO d\u00fcrfen Verantwortliche nur Dienstleister beauftragen, die nachweislich hinreichend Garantien daf\u00fcr bieten, geeignete technische und organisatorische Ma\u00dfnahmen zum Schutz der personenbezogenen Daten durchzuf\u00fchren. Der Verantwortliche muss nicht nur die Auswahl des Auftragsverarbeiters sorgf\u00e4ltig vornehmen, sondern auch dessen T\u00e4tigkeiten kontinuierlich \u00fcberpr\u00fcfen.<\/p>

Die Entscheidung des OLG zeigt, dass eine Pflichtverletzung durch den Auftragsverarbeiter nicht zur Enthaftung des Verantwortlichen f\u00fchrt, wenn dieser seine Kontrollpflichten aus Art. 28 Abs. 1 DSGVO verletzt hat.<\/p>

Daneben ergibt sich die verletzte \u00dcberwachungspflicht aus Art. 28 Abs. 3 lit. g) und h) DSGVO, die die L\u00f6schung durch den Auftragsverarbeiter explizit regeln. Gleichsam aus den allgemeinen Vorgaben, insbesondere aus dem Grundsatz der Datenminimierung und Speicherbegrenzung gem. Art. 5 DSGVO.<\/p>

Handlungsempfehlungen f\u00fcr Verantwortliche<\/h2>

Verl\u00e4sst ein Auftragsverarbeiter die Grenzen der ihm erteilten Weisungen oder endet das Auftragsverarbeitungs-Verh\u00e4ltnis, muss der Verantwortliche auch dann seinen Kontrollpflichten nachkommen. Das Gericht r\u00e4umt allerdings ein, dass die Anforderungen an die \u00dcberwachung nicht zu weit gehen d\u00fcrfen. W\u00e4hrend bei etablierten und als zuverl\u00e4ssig bekannten Anbietern auf deren Rechtschaffenheit vertraut werden darf, erh\u00f6hen sich dennoch die Anforderungen an den Auftragsverarbeiter bei besonders sensiblen oder umfangreichen Datenmengen.<\/p>

F\u00fcr die Praxis bedeutet das konkret, dass Verantwortliche verpflichtet sind, folgende Ma\u00dfnahmen zu gew\u00e4hrleisten:<\/p>