Datenleck beim IT-Dienstleister: BGH zu Schadensersatz

Datenleck beim Dienstleister: Wer haftet gegenüber Kunden?

Wer Kundendaten an einen IT-Dienstleister weitergibt, bleibt für eigene Datenschutzpflichten verantwortlich. Das gilt auch, wenn die Zusammenarbeit beendet ist. Im Urteil vom 11. November 2025, VI ZR 396/24, befasst sich der Bundesgerichtshof mit Daten, die nach Vertragsende nicht gelöscht und später im Darknet angeboten wurden.

Für Betroffene eröffnet die Entscheidung eine konkrete Prüfung von Schadensersatz. Für Unternehmen zeigt sie, warum ein Auftragsverarbeitungsvertrag allein nicht genügt. Die Rückgabe oder Löschung muss durch geeignete Maßnahmen tatsächlich abgesichert werden. Welche Maßnahmen erforderlich sind, hängt vom Einzelfall ab.

Was war bei dem Musikstreamingdienst passiert?

Ein externer Dienstleister sollte nach dem Ende seines Auftrags im Dezember 2019 die überlassenen Daten löschen. Stattdessen gelangten Datensätze in eine Testumgebung. Ab November 2022 boten unbekannte Personen Nutzerdaten im Darknet zum Verkauf an. Im Verfahren blieb offen, ob Hacker die Daten erbeutet oder Mitarbeiter sie unbefugt weitergegeben hatten.

Betroffen waren beim Kläger unter anderem Name, E-Mail-Adresse, Geschlecht, Sprache und Registrierungsdatum. Er verlangte immateriellen Schadensersatz und die Feststellung einer Ersatzpflicht für zukünftige materielle Schäden. Landgericht und Oberlandesgericht hatten seine Klage abgewiesen. Der BGH hob die Entscheidung teilweise auf und verwies die Sache zurück.

Ein bestimmter Geldbetrag wurde vom BGH damit noch nicht zugesprochen. Die Entscheidung korrigiert die rechtlichen Maßstäbe, anhand derer das Berufungsgericht erneut entscheiden muss.

Warum reicht eine angekündigte Datenlöschung nicht?

Der Verantwortliche darf sich grundsätzlich nicht damit begnügen, seinem Dienstleister die Löschung vertraglich vorzuschreiben. Nach Auftragsende muss er das nach den Umständen Erforderliche beitragen, damit die Daten tatsächlich zurückgegeben oder gelöscht werden. Gesetzliche Aufbewahrungspflichten bleiben zu berücksichtigen (Randnummern 17 bis 19).

Im konkreten Fall fehlte eine rechtzeitige Nachfrage nach der tatsächlich vollzogenen Löschung. Eine bloße Ankündigung wurde nicht als ausreichende Absicherung angesehen. Der Hinweis, der Dienstleister habe eigenmächtig gehandelt, beseitigte die Verantwortung für die eigene Pflichtverletzung nicht.

Für Unternehmen mit Hosting-, Cloud-, Newsletter- oder CRM-Dienstleistern ist daher die Abwicklung nach Vertragsende wichtig: Datenbestände und Kopien erfassen, Rückgabe oder Löschung regeln, den Vollzug nachvollziehbar kontrollieren und die ergriffenen Maßnahmen dokumentieren. Diese Beispiele beschreiben mögliche Prüfungsfelder; das Urteil schreibt kein einheitliches technisches Löschverfahren für alle Unternehmen vor.

Wann kommt Schadensersatz wegen des Datenlecks in Betracht?

Ein DSGVO-Verstoß allein löst noch keinen Zahlungsanspruch aus. Erforderlich sind außerdem ein materieller oder immaterieller Schaden und der Zusammenhang mit dem Verstoß. Im entschiedenen Fall waren die Daten nicht nur unbefugt zugänglich, sondern bereits im Darknet zum Verkauf angeboten worden. Darin lag eine missbräuchliche Verwendung und damit ein immaterieller Schaden (Randnummern 24 und 31 bis 35).

Dass dieselben Daten schon bei einem früheren Vorfall abgegriffen worden sein könnten, schließt einen weiteren Schaden nicht automatisch aus. Ein erneuter Zugriff kann den Kontrollverlust und das Missbrauchsrisiko vergrößern. Vorherige Vorfälle können allerdings für die Höhe der Entschädigung relevant sein.

Auch eine begründete Sorge vor weiterem Missbrauch kann erheblich sein. Sie muss anhand der tatsächlichen Umstände nachvollziehbar dargelegt werden. Pauschale Versprechen eines festen Schadensersatzbetrags passen deshalb nicht zu dieser Entscheidung.

Diese Unterlagen helfen bei der Prüfung

• Die Benachrichtigung des Anbieters über den Vorfall einschließlich Datum und genannter Datenarten.
• Ihre Vertrags- und Kontodaten beim betroffenen Dienst sowie den bisherigen Schriftwechsel.
• Vorhandene Auskunftsantworten und konkrete Belege für einen Missbrauch oder dessen Folgen.
• Für Unternehmen: Auftragsverarbeitungsvertrag, Kündigung, Löschkonzept, Löschbestätigungen und Kontrollnachweise.

Verdächtige Nachrichten sollten Sie sichern, ohne darin enthaltene Links oder Anhänge zu öffnen. Betroffene müssen keine Datenbestände aus dem Darknet beschaffen, um einen ersten Beratungstermin vorzubereiten.

MANDATI Rechtsanwaltskanzlei & Steuerberatung in Essen prüft die Verantwortlichkeit, die vorhandenen Nachweise und mögliche Ansprüche. Unternehmen können ihre Verträge und den Ablauf beim Wechsel eines IT-Dienstleisters rechtlich prüfen lassen. Umfang und Kosten der Beauftragung werden vorab geklärt.

Häufige Fragen zum Datenleck beim IT-Dienstleister

Erhalte ich nach jedem Datenleck automatisch Geld?

Nein. Neben einem Datenschutzverstoß müssen ein Schaden und dessen Zusammenhang mit dem Verstoß vorliegen. Im BGH-Fall war das Angebot der personenbezogenen Daten im Darknet entscheidend. Die Höhe wurde nicht abschließend festgesetzt.

Kann ich mich an den Anbieter statt nur an seinen Dienstleister wenden?

Eine Haftung des Anbieters kommt bei einer eigenen Pflichtverletzung in Betracht. Die Auslagerung der Datenverarbeitung befreit ihn nicht automatisch von seinen Pflichten. Wer konkret haftet, muss anhand der beteiligten Unternehmen und des Ablaufs geprüft werden.

Schließt ein früheres Datenleck einen neuen Anspruch aus?

Nein. Nach dem Urteil kann ein erneuter rechtswidriger Zugriff einen weiteren Schaden begründen. Frühere Vorfälle können bei der Schadenshöhe berücksichtigt werden.

Reicht für Unternehmen eine Löschklausel im Vertrag?

Grundsätzlich nicht. Der Verantwortliche muss nach den Umständen geeignete Schritte unternehmen, damit die vereinbarte Rückgabe oder Löschung nach Auftragsende tatsächlich erfolgt. Die Dokumentation dieser Schritte ist für eine spätere Prüfung wesentlich.

IT-Recht bei MANDATI · Beratung im Datenschutzrecht · SCHUFA-Daten: Speicherung und Löschung · Weitere aktuelle Urteile · Kontakt aufnehmen