Datenleck nach Vertragsende: Unternehmen haftet für Dienstleister

Der Fall: Löschung nur angekündigt

Wer Kundendaten von einem externen Dienstleister verarbeiten lässt, bleibt dafür verantwortlich, auch nach dem Ende des Vertrags. Das hat der Bundesgerichtshof mit Urteil vom 11. November 2025 (VI ZR 396/24) klargestellt. Ein Vertrag, der die Löschung vorschreibt, genügt nicht. Das Unternehmen muss selbst dafür sorgen, dass die Löschung vollzogen wird.

Geklagt hatte der Nutzer eines Musikstreamingdienstes. Der Betreiber mit Sitz in Frankreich nutzte einen Auftragsverarbeiter, also einen Dienstleister, der Daten nur im Auftrag und nach Weisung des Unternehmens verarbeitet. Der Auftrag endete am 1. Dezember 2019. Am Tag zuvor kündigte der Dienstleister per E-Mail an, er werde die Webseite und alle Daten darauf am nächsten Tag löschen. Eine Bestätigung kam nicht, und der Betreiber fragte nicht nach.

Mitarbeiter des Dienstleisters hatten die Daten in eine Testumgebung verschoben, statt sie zu löschen. Von dort gelangten sie in fremde Hände, durch Hacker oder durch Mitarbeiter, die sie unbefugt weitergaben. Seit November 2022 boten Unbekannte die Datensätze aus dem Jahr 2019 im Darknet zum Verkauf an. Erst am 22. Februar 2023 bestätigte der Dienstleister schriftlich die Löschung. Beim Kläger betraf das Name, Geschlecht, E-Mail-Adresse, Sprache und Registrierungsdatum.

Die Vorinstanzen sahen keinen Schaden

Das Landgericht Dresden wies die Klage ab, das Oberlandesgericht Dresden die Berufung. Dabei sah auch das Oberlandesgericht den Pflichtverstoß: Der Betreiber habe seinen Dienstleister schuldhaft nicht überwacht, weil er keine ausdrückliche schriftliche Bestätigung der Löschung angefordert habe. Auf Nachfrage wären die Daten gelöscht worden.

Einen Schaden erkannte das Gericht trotzdem nicht. Die E-Mail-Adresse sei kein besonders sensibles Datum. Spam-Mails bekomme jeder. Die Adresse des Klägers sei laut haveibeenpwned.com ohnehin schon früher gehackt worden, und er habe sie danach nicht einmal geändert. Seine Sorge vor Missbrauch sei deshalb nicht begründet.

Der Vertrag allein reicht nicht

Der Bundesgerichtshof bestätigte den Pflichtverstoß und formulierte ihn als Grundsatz. Das Unternehmen bleibt „Herr der Verarbeitung“, der Dienstleister ist sein verlängerter Arm. Endet der Auftrag, dürfen dort keine Daten mehr liegen, abgesehen von gesetzlichen Aufbewahrungspflichten. Ein Vertrag, der Löschung und Nachweis vorschreibt, reicht dafür nicht. Das Unternehmen muss selbst beitragen, was nach den Umständen nötig ist, damit die Löschung auch geschieht.

Im Fall war das nicht viel. Der Vertrag verpflichtete den Dienstleister, die Daten samt aller Kopien innerhalb von 21 Tagen nach Auftragsende zurückzugeben oder zu löschen. Die vollständige Erfüllung hatte er schriftlich zu bestätigen. Die Ankündigung, „die Site und alle Daten auf der Site“ zu löschen, deckte schon inhaltlich nicht alle Kopien ab, und die Bestätigung fehlte ganz. Der Betreiber hätte sie unmittelbar nach Ablauf der 21 Tage einfordern müssen. Die Nachfrage im Jahr 2023 kam mehr als drei Jahre zu spät. Das Risiko eines unbefugten Zugriffs beginnt nach Ansicht des Senats nicht erst mit dem Hackerangriff, sondern schon, wenn Daten nach Auftragsende beim Dienstleister liegen bleiben.

Hacker und Dienstleister entlasten nicht

Die Verteidigung lag nahe: Der Dienstleister habe sich vertragswidrig verhalten, und gehackt hätten Dritte. Der Bundesgerichtshof ließ das nicht gelten. Für Verstöße seines Auftragsverarbeiters muss ein Unternehmen ohnehin einstehen, solange es sich nicht entlastet. Hier kam ein eigener Verstoß hinzu. Die DSGVO vermutet das Verschulden des Unternehmens.

Wer selbst gegen sie verstoßen hat, und sei es nur leicht fahrlässig, müsste belegen, dass dieser Verstoß mit dem Schaden nichts zu tun hat. Das gelang hier nicht. Die unterbliebene Kontrolle war mitursächlich für alles, was folgte.

Darknet-Angebot ist der Schaden

Die Vorschrift zum Schadensersatz, Art. 82 DSGVO, verlangt drei Dinge: einen Verstoß, einen Schaden und einen Zusammenhang zwischen beiden. Der Kläger verlangte Ersatz für einen immateriellen Schaden, also für einen Nachteil, der sich nicht in Geld beziffern lässt. Dazu zählt der Verlust der Kontrolle über die eigenen Daten. Schon dieser bloße Kontrollverlust kann ein Schaden sein. Hier wurden die Daten zudem im Darknet zum Verkauf angeboten und damit missbräuchlich verwendet. Spätestens damit, so der Senat, ist der Schaden entstanden. Ein zusätzlicher „emotionaler“ Schaden ist nicht erforderlich.

Ob die E-Mail-Adresse sensibel ist, ob auch andere Spam bekommen und ob der Kläger seine Adresse gewechselt hat, spielt für das Ob eines Schadens keine Rolle. Damit habe das Oberlandesgericht eine Bagatellgrenze eingeführt, die es nicht gibt. Solche Umstände zählen erst bei der Höhe. Auch frühere Datenlecks helfen dem Unternehmen nicht, denn jeder erneute Abgriff vertieft den Kontrollverlust und erhöht die Missbrauchsgefahr.

Die Sorge des Klägers vor Spam und betrügerischen Mails hielt der Senat für begründet. Wessen Name und E-Mail-Adresse im Darknet zum Verkauf stehen, muss mit solchen Mails rechnen. Über die Höhe und über den Antrag zu künftigen Vermögensschäden entscheidet nun erneut das Oberlandesgericht Dresden.

Was Unternehmen jetzt tun sollten

Das Urteil betrifft jedes Unternehmen, das Kunden-, Nutzer- oder Personaldaten von einem Dienstleister verarbeiten lässt. Der Vertrag zur Auftragsverarbeitung ist nur der Anfang. Der teuerste Fehler in diesem Fall war ein fehlender Kalendereintrag für den Tag nach Ablauf der Löschfrist. Aus der Entscheidung ergeben sich konkrete Schritte für das Vertragsende:

• Das Wahlrecht ausdrücklich ausüben: Rückgabe oder Löschung der Daten.
• Die vertragliche Frist überwachen und direkt nach Ablauf die schriftliche Bestätigung einfordern.
• Eine Ankündigung ist keine Bestätigung. Die Bestätigung muss die vollständige Löschung umfassen, einschließlich aller Kopien, auch in Testumgebungen und bei Unterauftragnehmern.
• Bleibt die Bestätigung aus, nachhaken und mit den Mitteln des Vertrags auf die Erfüllung drängen.
• Den Vorgang dokumentieren. Die Beweislast dafür, dass die Sicherheitsmaßnahmen ausreichten, liegt beim Unternehmen.

Wer diese Schritte auslässt, haftet gegenüber jedem einzelnen Betroffenen, und die Hürden für Kläger sind niedrig: Gleichlautende Formulierungen in vielen Klageschriften sprechen nicht gegen die einzelne Klage, und je naheliegender der Missbrauch, desto weniger muss der Kläger zu seinen Sorgen vortragen.