IT-Recht aktuell

Auftragsverarbeiter verstößt gegen Löschpflicht: Haftet der Verantwortliche auf Schadensersatz?

Setzt ein Verantwortlicher einen Dienstleister ein, der weisungsgebunden personenbezogene Daten für ihn verarbeitet, müssen die Parteien einen sog. Auftragsverarbeitungsvertrag schließen. Dieser soll gewährleisten, dass der eingesetzte Dienstleister die personenbezogenen Daten nur rechtskonform innerhalb der geltenden DSGVO- Regelungen und weisungsgemäß verarbeitet.

Doch wie ist die Rechtslage, wenn der Auftragsverarbeiter gegen eine ihm obliegende Pflicht aus dem Auftragsverarbeitungsvertrag verstößt und der Verantwortliche deswegen vom Betroffenen auf Schadenersatz gemäß Art. 82 Abs. 1 DSGVO in Anspruch genommen wird?

Mit dieser Frage, haben sich im Jahr 2024 sowohl das Oberlandesgericht Stuttgart als auch das Oberlandesgericht Dresden befasst. Rechtssicherheit bieten Entscheidung bzw. Beschluss nicht, da beide Gerichte gegenteilige Auffassungen vertraten.

Die Entscheidung des OLG Dresden, Urteil vom 05.11.2024, Az. 4 U 729/24

Das OLG Dresden kam in Bezug auf die Missachtung von Löschpflichten durch den Auftragsverarbeiter zu dem Ergebnis, dass dem datenschutzrechtlich Verantwortlichen mit Beendigung des Verarbeitungsvertrags eine Kontrollpflicht über die Löschung der beim Auftragsverarbeiter angefallenen personenbezogenen Daten obliege. Er könne sich nicht auf einen Exzess seines Auftragsverarbeiters berufen, wenn er dieser Kontrollpflicht nicht genügt habe.

Der Beschluss des OLG Stuttgart, Beschluss v. 15.10.2024, Az. 4 U 49/24

Das OLG Stuttgart vertrat wiederum im Rahmen seines Beschluss vom 15.10.2024 als Berufungsinstanz die Auffassung, ein Schadenersatzanspruch des Betroffenen wegen der rechtswidrigen Datenverarbeitung durch den Auftragsverarbeiter müsse daran scheitern, dass dem Verantwortlichen kein kausales schuldhaftes Verhalten vorgeworfen werden könne. Es stünde zwar fest, dass der Auftragsverarbeiter vertragswidrig die Löschung der personenbezogenen Daten unterlassen habe. Dies sei jedoch ohne Kenntnis des Verantwortlichen geschehen, da der Auftragsverarbeiter die Löschung gegenüber diesem bestätigt habe. Der Verantwortliche hätte sich auf diese Auskunft verlassen können. Eine darüberhinausgehene Kontrollpflicht habe nicht bestanden.

Das Gericht verneinte aus diesem Grund einen schuldhaften Verstoß des Verantwortlichen und kündigte mit dem Beschluss an, die Berufung als erfolglos gemäß § 522 Abs. 2 ZPO zurückzuweisen.

 

Es bleibt abzuwarten wie in Zukunft der Bundesgerichtshof dazu urteilt. Derzeit besteht jedenfalls für Verantwortliche Rechtsunsicherheit, weshalb sich die Kontrolle der Einhaltung von Löschfristen bei Dienstleistern empfiehlt.

 

« Alle Artikel anzeigen