BGH, Urteil vom 11.11.2025 – VI ZR 396/24

 Sachverhalt

Ein Musikstreamingdienst (Beklagte) beendete zum 1. Dezember 2019 sein Auftragsverarbeitungsverhältnis mit dem externen Dienstleister O. Die Beklagte begnügte sich mit einer E-Mail, in der O. ankündigte, die Daten „morgen“ zu löschen – eine ausdrückliche Löschbestätigung forderte sie nicht ein. Tatsächlich wurden die Nutzerdaten nicht gelöscht, sondern intern in eine Testumgebung überführt. Ab November 2022 wurden die Datensätze aus 2019 – darunter Name, E-Mail-Adresse und Geschlecht betroffener Nutzer – im Darknet zum Kauf angeboten.

Entscheidung des BGH

Der BGH hob das klageabweisende Urteil des OLG Dresden auf und verwies die Sache zurück.

Die zentralen Aussagen:

▸  Eigene Pflicht des Verantwortlichen: Der Verantwortliche bleibt auch bei Beendigung der Auftragsverarbeitung „Herr der Verarbeitung“. Er muss sicherstellen, dass personenbezogene Daten beim Auftragsverarbeiter tatsächlich gelöscht oder zurückgegeben werden. Eine bloße Ankündigung genügt nicht.

▸  Kontrollpflicht: Es reicht nicht, vertragliche Löschpflichten zu vereinbaren. Der Verantwortliche muss aktiv nachfragen und sich die vollständige Erfüllung schriftlich bestätigen lassen (Art. 28 Abs. 3 S. 2 lit. g und h DSGVO, Art. 5 Abs. 1 lit. c, e, f i.V.m. Abs. 2 DSGVO, Art. 32 DSGVO).

▸  Immaterieller Schaden: Verbleiben Daten nach Auftragsende beim Dienstleister und werden abgegriffen und im Darknet veröffentlicht, liegt ein immaterieller Schaden i.S.d. Art. 82 Abs. 1 DSGVO vor – auch wenn die Daten bereits zuvor einmal abgeflossen waren.

▸  Keine Exkulpation: Eine Haftungsbefreiung nach Art. 82 Abs. 3 DSGVO scheidet aus, wenn der Verantwortliche eine eigene, schadensursächliche Pflichtverletzung begangen hat.

Handlungsempfehlung

Verantwortliche sollten bei jeder Beendigung einer Auftragsverarbeitung unverzüglich nach Ablauf der vereinbarten Löschfrist eine schriftliche Bestätigung der vollständigen Datenschutzlöschung einfordern – einschließlich aller Kopien und Unterauftragsverarbeiter. Bleibt diese aus, ist sofort nachzuhaken. Die Dokumentation dieses Prozesses empfiehlt sich als Bestandteil der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Bei weitergehenden Fragen helfen wir Ihnen jederzeit gerne weiter, bitte senden Sie eine kurze E-Mail an datenschutz@dsb-ms.de. 

Ihr DSB Münster Team