Haftung des Verantwortlichen für seinen Auftragsverarbeiter
Das Oberlandesgericht (OLG) Dresden hat am 10. September 2024 ein Urteil zur Haftung im Rahmen einer Auftragsverarbeitung gefällt (4 U 602/24 / Oberlandesgericht Dresden / 10.09.2024). Dem Urteil zufolge sind Verantwortliche auch für Datenschutzverletzungen haftbar, die durch Verstöße ihrer Auftragsverarbeiter entstehen.
Kernpunkte des Urteils
- Haftung des Verantwortlichen: Verantwortliche haften auch dann, wenn ein Auftragsverarbeiter eine rechtmäßige Weisung missachtet und dadurch Schaden entsteht. Eine Haftungsbefreiung besteht nur, wenn der Verarbeiter eigenständig oder ohne Zustimmung des Verantwortlichen gehandelt hat.
- Pflicht zur Überwachung: Art. 28 DSGVO verpflichtet Verantwortliche zu einer kontinuierlichen Überwachung des Auftragsverarbeiters. Dies schließt ein, sicherzustellen, dass der Verarbeiter Daten nach Auftragsende löscht.
- Verstöße gegen Informationspflichten: Das Gericht stellte klar, dass Verstöße gegen Auskunfts- oder Benachrichtigungspflichten allein keinen Schadensersatzanspruch begründen.
Hintergrund des Falls
Ein Hacking-Angriff auf einen Musikstreaming-Dienst führte zur Offenlegung personenbezogener Daten. Der Verantwortliche hatte sich eines externen Dienstleisters bedient, versäumte jedoch die regelmäßige Überprüfung und Löschung der Daten nach Beendigung des Auftragsverhältnisses. Der Kläger klagte auf Schadensersatz und betonte die unzureichende Kontrolle.
Urteilsfolgen für die Praxis Datenschutzverantwortliche müssen sicherstellen, dass:
- eine kontinuierliche Überwachung externer Dienstleister stattfindet,
- vertragliche Lösch- und Sicherheitsstandards genau geprüft und eingehalten werden,
- auch nach Beendigung des Vertrags die Löschung der Daten dokumentiert ist.
Diese Entscheidung verdeutlicht, dass die Haftung nicht einfach auf den Auftragsverarbeiter abgewälzt werden kann und betont die Wichtigkeit einer strikten Überwachung von Auftragsverarbeitern.
(Foto: Oleksandr – stock.adobe.com)
Verwandte Produkte
Das könnte Sie auch interessieren
-
408.000 Euro Bußgeld wegen fehlenden Datenschutzes durch Technikgestaltung
Die spanische Datenschutzbehörde AEPD hat gegen die CaixaBank Geldbußen von insgesamt 510.000 Euro festgesetzt (Verfahren PS-00028-2025). Die Bank hatte bei der Abwicklung von Erbfällen standardmäßig mehr Daten verlangt als erforderlich und die Erben unzureichend informiert. Da sie die Geldbuße freiwillig vorab bezahlte, ermäßigte sich der Betrag um 20 Prozent auf 408.000 Euro. Sachverhalt Nach dem
Mehr erfahren -
Verlorene Papierakte: DS-GVO greift, Schadensersatz aber nicht
Auch Papierakten können unter die DS-GVO fallen. Wenn eine solche Akte verschwindet, begründet das aber nicht automatisch einen Anspruch auf Schmerzensgeld. Das hat das LG Magdeburg mit Urteil vom 25.06.2026 (Az. 10 O 1894/25) entschieden. Das Urteil ist rechtskräftig. Sachverhalt Bei einem Fachaufsichtsbesuch in der JVA Burg fiel auf, dass ein Ordner mit der Einsatzakte
Mehr erfahren -
Standortdaten: 403 Millionen Euro Bußgeld gegen Google
Die irische Datenschutzbehörde (DPC) hat am 21.09.2026 ein Bußgeld von 403 Millionen Euro gegen Google Ireland verhängt. Gegenstand ist die Verarbeitung von Standortdaten über die Kontoeinstellungen „Location History“, „Web & App Activity“ und „Location Accuracy“ im Zeitraum von Mai 2018 bis Februar 2020. Das Verfahren ging auf Beschwerden europäischer Verbraucherverbände zurück, darunter der europäische Dachverband
Mehr erfahren
