BECKMANN UND NORDA - Rechtsanwälte Bielefeld

OLG Stuttgart
Urteil vom 25.02.2026
4 U 342/25

Das OLG Stuttgart hat entschieden, dass gerichtliche Sachverständige als eigenständige Verantwortliche im Sinne der DSGVO gelten und daher verpflichtet sind, Prozessparteien nach Art. 15 DSGVO Auskunft über verarbeitete Daten zu erteilen – dies umfasst nach Abschluss des Verfahrens auch die Herausgabe von Kopien (Teil-)Gutachten.

Aus den Entscheidungsgründen:
Die zulässige Berufung der Klägerin ist begründet. Der geltend gemachte Auskunftsanspruch ergibt sich aus Art. 15 Abs. 1 und 3 DSGVO.

Gem. Art. 15 Abs. 1 DSGVO hat eine betroffene Person das Recht, von dem Verantwortlichen, der sie betreffende personenbezogene Daten verarbeitet, Auskunft über diese personenbezogenen Daten zu erhalten. Gem. Art. 15 Abs. 3 Satz 1 DSGVO hat der Verantwortliche eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung zu stellen.

1.
Die Bestimmungen der Datenschutz-Grundverordnung sind anwendbar. Der sachliche Anwendungsbereich gem. Art. 2 Abs. 1 DSGVO ist eröffnet, da es um die Verarbeitung personenbezogener Daten der Klägerin geht, die in einem Dateisystem des Beklagten gespeichert sind, und da für die Tätigkeit eines gerichtlichen Sachverständigen keiner der Ausnahmetatbestände des Art. 2 Abs. 2 DSGVO eingreift (vgl. Deutschmann, ZD 2021, 414 [415]). Dass die DSGVO auch für die Tätigkeiten der Gerichte und anderer Justizbehörden gilt, wird in Erwägungsgrund 20 Satz 1 DSGVO ausdrücklich ausgeführt. Der EuGH hat zudem klargestellt, dass die DSGVO auch auf die Verarbeitung personenbezogener Daten in zivilgerichtlichen Verfahren anwendbar ist (EuGH, Urteil vom 02.03.2023, C-268/21, Rn. 26). Für die Tätigkeit des Sachverständigen als „Gehilfe“ des Gerichts (Zöller/Greger, ZPO, 36. Aufl. 2026, Vor § 402, Rn. 1) gilt nichts anderes.

Randnummer55
2.
Die datenschutzrechtlichen Bestimmungen zum Auskunftsrecht werden nicht durch die verfahrensrechtlichen Akteneinsichtsrechte verdrängt (Deutschmann, ZD 2021, 414 [417]; Bäcker in Kühling/Buchner, 4. Aufl. 2024, DSGVO, Art. 15, Rn. 6b; Schmidt-Wudy in BeckOK Datenschutzrecht, 54. Edition, Stand 01.11.2025, DSGVO, Art. 15, Rn. 33; a.A. OLG Köln, ZD 2022, 695; Dörr, MDR 2022, 605 [611]). Die Akteneinsichtsrechte dienen anderen Zwecken als die Rechte aus Art. 15 DSGVO und bestimmen dementsprechend sowohl die Voraussetzungen als auch die Gegenstände der Akteneinsicht abweichend. So erstrecken sich die Akteneinsichtsrechte auf den gesamten Inhalt der Gerichtsakten und der dem Gericht vorgelegten Akten, während sich die Rechte auf Auskunft und auf Datenkopie auf die personenbezogenen Daten der jeweiligen betroffenen Person beschränken (Bäcker in Kühling/Buchner, aaO., Rn. 6b).

Ohnehin genießt die DSGVO als europäische Verordnung gegenüber dem nationalen Verfahrensrecht einen Anwendungsvorrang (Deutschmann, ZD 2021, 414 [417]; Ruffert in Calliess/Ruffert, EUV/AEUV, 6. Aufl. 2022, AEUV, Art. 1, Rn. 17).

3.
Der Beklagte ist Verantwortlicher i.S.d. Art. 15 DSGVO.

Verantwortlicher ist nach Art. 4 Nr. 7 Halbsatz 1 DSGVO die Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Über die Zwecke entscheidet zwar im Wesentlichen das Gericht, das den Beweisbeschluss erlässt. Über die Mittel der Verarbeitung entscheidet aber in der Regel allein der gerichtliche Sachverständige. Sachverständige sind hinsichtlich der Art und Weise, wie das beabsichtigte Ergebnis erreicht werden soll, selbst entscheidungsbefugt. Sie handeln nicht als funktionaler Teil des Gerichts, sondern eigenverantwortlich. Primär die Sachverständigen legen die Mittel der Datenverarbeitung fest. Sie entscheiden, welche Daten sie für die Ausarbeitung des Gutachtens benötigen. Für Gerichte ist es in aller Regel auch irrelevant, welche technischen Mittel dabei zum Einsatz kommen. Zudem fehlt es regelmäßig an einer Überwachungs- und Kontrollmöglichkeit des Gerichts hinsichtlich der Datenverarbeitungsmodalitäten. Dass das Gericht gem. § 404a Abs. 1 ZPO die Tätigkeit des Sachverständigen zu leiten hat und ihm für Art und Umfang seiner Tätigkeit Weisungen erteilen kann, betrifft vor allem, was Sachverständige erforschen sollen, nicht wie sie es erforschen sollen (Erkelenz/Leopold, NZS 2019, 926; Engel in Anmerkungen zu OLG Düsseldorf, ZEuP 2023, 230 [245]; Zimmermann in MüKo/ZPO, 7. Aufl. 2025, § 404a, Rn. 3).

Umstände, die im vorliegenden Fall eine andere Bewertung rechtfertigen könnten, sind weder vorgetragen noch ersichtlich. Es bestehen daher keine Zweifel daran, dass der Beklagte Verantwortlicher im Sinne der DSGVO ist.

4.
Der Beklagte hat bei den Arbeiten zur Erstellung der Gutachten in den beiden beim Landgericht Göttingen anhängigen Verfahren personenbezogene Daten der Klägerin verarbeitet und speichert diese. Das ist unstreitig.

Der Beklagte schuldet der Klägerin daher unabhängig von etwaigen Auskunftspflichten des Gerichts grundsätzlich in eigener Verantwortung Auskunft gem. Art. 15 DSGVO (vgl. Erkelenz/Leopold, NZS 2019, 926 [930]). Dieses Auskunftsrecht der Klägerin ist nicht durch die Regeln der Zivilprozessordnung, durch ein etwaiges Urheberrecht des Beklagten oder durch dessen Recht auf angemessene Vergütung eingeschränkt.

a)
Gem. Art. 23 Abs. 1 DSGVO kann das in Art. 15 DSGVO vorgesehene Auskunftsrecht im Wege von Gesetzgebungsmaßnahmen durch Rechtsvorschriften der Union oder der Mitgliedstaaten beschränkt werden, sofern eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, die eine der nachfolgend in der Vorschrift aufgeführten Ziele sicherstellt, u.a. den Schutz von Gerichtsverfahren (lit. f), den Schutz der Rechte und Freiheiten anderer Personen (lit. i) und die Durchsetzung zivilrechtlicher Ansprüche (lit. j).

aa)
Weder im Hinblick auf den Schutz von Gerichtsverfahren noch im Hinblick auf die Durchsetzung zivilrechtlicher Ansprüche ist Art. 23 Abs. 1 DSGVO im vorliegenden Fall einschlägig, denn die Zivilprozessordnung enthält keine Regelung, die das in Art. 15 DSGVO vorgesehene Auskunftsrecht einer Partei gegenüber dem gerichtlichen Sachverständigen beschränkt. Eine solche Beschränkung lässt sich insbesondere keiner der allgemeinen Vorschriften über die Beweisaufnahme (§§ 355-370 ZPO) und auch keiner der Vorschriften zum Beweis durch Sachverständige (§§ 402-414 ZPO) entnehmen.

Auch aus allgemeinen Erwägungen zum Schutz von Gerichtsverfahren ergibt sich eine Beschränkung des Auskunftsrechts nicht.

(i)
Hinsichtlich der Anträge Ziff. 1, 2 und 5 kommt eine Beschränkung des Auskunftsrechts zum Schutz des Gerichtsverfahrens schon unabhängig von dem Umstand, dass im vorliegenden Fall von einem rechtskräftigen Abschluss des Gerichtsverfahrens auszugehen ist, nicht in Betracht.

Die Anträge Ziff. 1, 2 und 5 beziehen sich auf Befundtatsachen, d.h. auf Tatsachen, die der Sachverständige in Ausführung des Gutachtenauftrags auf Grund seiner Sachkunde ermittelt hat. Zu solchen Befundtatsachen zählen Tatsachen, die der Sachverständige durch Einsichtnahme in die Krankenunterlagen selbst beschafft hat (vgl. BGH, Beschluss vom 17.08.2011, V ZB 128/11, Rn. 18; Zimmermann in MüKo/ZPO, 7. Aufl. 2025, § 404a, Rn. 9). Dies trifft auf die streitgegenständlichen Dokumente gem. den Anträgen Ziff. 1, 2 und 5 zu. Der Antrag Ziff. 5 betrifft die vom Beklagten erstellte Zusammenfassung des Behandlungsverlaufs. Damit im Wesentlichen identisch ist die im Antrag Ziff. 1 genannte lückenlose Gesamtrekonstruktion des Behandlungsablaufs. Gleiches gilt für die chronologische Behandlungshistorie für jeden einzelnen Zahn, die Gegenstand des Antrags Ziff. 2 ist; insoweit ist lediglich von einer anderen Art der Darstellung auszugehen. In sämtlichen Fällen handelt es sich daher nicht um sachverständige Schlussfolgerungen des Gutachters, sondern um Tatsachen, auf deren Grundlage der Gutachter die sachverständig begründeten Schlussfolgerungen zieht.

Auch bei Befundtatsachen gilt wie bei den sonstigen Anknüpfungstatsachen, die die Parteien selbst vorzutragen haben, dass jedenfalls die wesentlichen Anknüpfungstatsachen offenzulegen sind. Dies geschieht zwar üblicherweise im Gutachten (Zöller/Greger, aaO., § 404a, Rn. 6). Es spricht jedoch nichts dagegen, den Parteien bereits früher die Möglichkeit zu geben, zur Richtigkeit und Vollständigkeit der Befundtatsachen Stellung zu nehmen, zumal dies dem rechtlichen Gehör der Parteien dient und es sich bei der Ermittlung der Tatsachen durch den Sachverständigen ohnehin um eine Ausnahme von dem Grundsatz handelt, dass das Beibringen der Tatsachen primär Sache der beweispflichtigen Partei ist (Zöller/Greger, aaO., § 404a, Rn. 3). Angesichts dessen ist nicht ersichtlich, dass die Gewährung eines Auskunftsanspruchs zu der Frage, auf welcher Tatsachengrundlage der Sachverständige sein Gutachten erstatten will, das Gerichtsverfahren beeinträchtigen könnte.
(ii)
Auch im Hinblick auf das Gutachten, das Gegenstand des Antrags Ziff. 4 ist, kommt eine Beschränkung des Auskunftsrechts zum Zwecke des Schutzes von Gerichtsverfahren bzw. zur Sicherstellung der Durchsetzung zivilrechtlicher Ansprüche nicht in Betracht.

Nach § 411 Abs. 1 ZPO setzt das Gericht dem Sachverständigen eine Frist, innerhalb derer er das von ihm unterschriebene schriftliche Gutachten zu übermitteln hat. Es dürfte in Widerspruch zu dieser Vorschrift stehen, wenn der Sachverständige schon vor Ablauf dieser Frist den Parteien das noch nicht fertiggestellte Gutachten übermitteln müsste. Zudem könnte sich in diesem Fall auch ein Widerspruch zu den Vorschriften über den Auslagenvorschuss gem. §§ 402, 379 ZPO ergeben.

Ob deshalb eine Beschränkung des Auskunftsrechts in Betracht kommt, kann in diesem Fall jedoch dahinstehen, da der Zivilprozess mit dem Az. 9 O 4/11, in dem der Beklagte das Gutachten, dessen Herausgabe die Klägerin begehrt, zu 90 % fertiggestellt hat, mittlerweile rechtskräftig abgeschlossen ist. Der diesbezügliche Vortrag der Klägerin ist in zweiter Instanz zwar neu, da die Klägerin ihn erst nach Schluss der mündlichen Verhandlung in erster Instanz vorgetragen hat. Er ist jedoch gem. § 531 Abs. 2 Nr. 3 ZPO zulässig, da die Rechtskraft des Urteils erst nach Schluss der mündlichen Verhandlung in erster Instanz eingetreten ist und von der Klägerin daher auch nicht früher vorgetragen werden konnte. Soweit die Beklagte den Vortrag der Klägerin bestreitet, hat die Klägerin die Rechtskraft des Urteils durch Vorlage des Rechtskraftvermerks ausreichend belegt (Anlage K18). Jedenfalls nach dem rechtskräftigen Abschluss des Rechtsstreits ist § 411 Abs. 1 ZPO nicht mehr anwendbar. Ein Widerspruch zum Auskunftsanspruch besteht daher nicht. Auch ein Widerspruch zu der Vorschusspflicht nach §§ 402, 379 ZPO besteht in diesem Fall nicht mehr, da diese Vorschriften lediglich die Beweisaufnahme in einem noch laufenden Zivilprozess betreffen.

Nach dem rechtskräftigen Abschluss des Verfahrens ist auch nicht ersichtlich, inwiefern die Gewährung eines Auskunftsanspruchs bzgl. eines vom gerichtlichen Sachverständigen teilweise fertiggestellten Gutachtens das Ziel des Zivilprozesses, das darin liegt, bürgerlich-rechtliche Rechte oder Rechtsverhältnisse im Erkenntnis- oder Urteilsverfahren festzustellen (vgl. Zöller/Vollkommer, aaO., Einl. Rn. 1), beeinträchtigen könnte.

Eine andere Beurteilung rechtfertigt auch das noch laufende Parallelverfahren 9 O 24/11 nicht. Der Beklagte hat ein Gutachten zum Verfahren 9 O 4/11 gefertigt und nicht zu dem Parallelverfahren 9 O 24/11. Dass das Gutachten auch Fragen behandelt, die im Verfahren 9 O 24/11 relevant sind, hat der Beklagte nicht substantiiert vorgetragen. Selbst wenn dies der Fall wäre, erschließt sich nicht, wieso dies eine Einschränkung des Auskunftsrechts bzgl. eines in einem anderen Verfahren erstellten (Teil-)Gutachtens rechtfertigen könnte, zumal § 411a ZPO die Möglichkeit ausdrücklich vorsieht, Sachverständigengutachten aus anderen Verfahren zu verwerten.

(iii)
Dahinstehen kann, ob auch der Antrag Ziff. 3 eine Befundtatsache betrifft oder ob die zahnbezogene Analyse, die Gegenstand dieses Auskunftsantrags ist, schon eine eigene gutachterliche Tätigkeit des Beklagten beinhaltet. Sollte Letzteres der Fall sein, gelten insoweit die Ausführungen unter (ii) zum Antrag Ziff. 5 entsprechend. Andernfalls gilt das Gleiche wie zu den Anträgen Ziff. 1, 2 und 5 (oben unter (i)).

bb)
Eine Beschränkung des Auskunftsrechts ergibt sich auch nicht aus Art. 6 Abs. 1 Satz 1 EMRK.

Nach dieser Vorschrift hat jede Person ein Recht darauf, dass über Streitigkeiten in Bezug auf ihre zivilrechtlichen Ansprüche und Verpflichtungen von einem unabhängigen und unparteiischen Gericht in einem fairen Verfahren verhandelt wird. Aus dem Grundsatz eines fairen Verfahrens ergibt sich das Erfordernis der Waffen- und Chancengleichheit. Alle Beteiligten in einem Verfahren müssen gleichbehandelt werden, also insbesondere in gleichem Umfang unterrichtet werden und unter denselben Bedingungen die Möglichkeit haben, vorzutragen und ihre Sache geltend zu machen (HK-EMRK/Harrendorf/König/Voigt, 5. Aufl. 2023, EMRK Art. 6 Rn. 117). Dieses Gebot der Waffengleichheit gilt auch im Beweisverfahren (Harrendorf/König/Voigt, aaO., Rn. 135).

Das Gebot der Waffengleichheit wäre nur verletzt, wenn der Sachverständige die Auskunft nur der betroffenen Person gegenüber erteilen dürfte und nicht auch gegenüber dem Gericht. Dies ist jedoch nicht richtig. Art. 9 Abs. 2 lit. f) DSGVO gilt auch für den Sachverständigen, der in einem Gerichtsverfahren tätig wird (Greve in Auernhammer, aaO., Art. 9, Rn. 48). Der Sachverständige ist deshalb nach Art. 9 Abs. 2 lit. f) DSGVO befugt, das Gericht über alles zu informieren, was für die Beweisaufnahme im Zusammenhang mit der Gutachtenerstattung von Relevanz sein könnte (vgl. Erkelenz/Leopold, NZS 2019, 926 [929]). Dies schließt auch die Mitteilung über eine Auskunft an den Kläger nach Art. 15 DSGVO mit ein, da diese Mitteilung an das Gericht erforderlich ist, damit die Gegenpartei – nach entsprechender Unterrichtung durch das Gericht – ihre Rechtsansprüche ausüben bzw. sich gegen die geltend gemachten Rechtsansprüche verteidigen kann. Der Sachverständige würde sich der Besorgnis der Befangenheit aussetzen, wenn er eine derartige Auskunftserteilung an nur eine der Parteien dem Gericht gegenüber verschweigen würde.

b)
Eine Beschränkung des Auskunftsrechts der Klägerin ergibt sich auch nicht aus dem Schutz der Rechte und Freiheiten anderer Personen gem. Art. 23 Abs. 1 lit. i) DSGVO. Insoweit beruft sich der Beklagte lediglich pauschal darauf, dass sein Urheberrecht an dem zu 90 % fertig gestellten Gutachten dem behaupteten Auskunftsanspruch entgegenstünde.

aa)
Dass das Gutachten Urheberrechtsschutz genießt, ist keineswegs selbstverständlich. Zwar sind wissenschaftliche Gutachten in der Regel urheberrechtlich schutzfähig, jedenfalls, soweit zu wissenschaftlichen Streitfragen Stellung genommen wird, die die Berücksichtigung bisheriger Stellungnahmen und eine detaillierte Auseinandersetzung mit der Problematik erfordern. Allerdings wirken die Verwendung notwendiger oder üblicher Darstellungsprinzipien, insbesondere in Aufbau und Terminologie, nicht schutzbegründend. Zudem ist von der Rechtsprechung der Schutz von Gutachten teilweise mit der Begründung, bei wissenschaftlichen Werken sei die Schutzuntergrenze höher anzusetzen, verneint worden (Loewenheim/Leistner in Schricker/Loewenheim, Urheberrecht, 6. Aufl. 2020, § 2, Rn. 141).

Substantiierter Vortrag des Beklagten zum Inhalt des zu 90 % fertiggestellten Gutachtens fehlt. Damit ist auch nicht schlüssig dargelegt, dass es sich bei dem Gutachten um ein urheberrechtlich schutzfähiges Werk handelt.

bb)
Selbst wenn das zu 90 % fertige Gutachten Urheberrechtsschutz nach dem UrhG genießen würde, könnte sich der Beklagte gleichwohl nicht pauschal auf sein Urheberrecht berufen und die Herausgabe des Gutachtens insgesamt verweigern.

Nach Art. 15 Abs. 4 DSGVO und Erwägungsgrund 63 darf das Recht auf Erhalt einer Kopie gemäß Art. 15 Abs. 3 DSGVO die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums nicht beeinträchtigen. Absatz 4 betrifft seinem Wortlaut nach zwar nur den Fall, dass eine Auskunft gerade durch Überlassung einer Kopie erteilt wird. Da die Überlassung einer Kopie nur eine spezifische Modalität der Erfüllung des Auskunftsanspruchs darstellt, gilt die Regelung jedoch unabhängig davon, in welcher Form der Auskunftsanspruch im Einzelfall erfüllt wird (Ehmann in Ehmann/Selmayr, DSGVO, 3. Aufl. 2024, Art. 15, Rn. 71).

Im Fall eines Konflikts zwischen der Ausübung des Rechts auf vollständige und umfassende Auskunft über die personenbezogenen Daten zum einen und den Rechten oder Freiheiten anderer Personen zum anderen haben die Rechte oder Freiheiten anderer Personen nicht den Vorrang. Vielmehr sind die fraglichen Rechte gegeneinander abzuwägen (Ehmann in Ehmann/Selmayr, aaO., Art. 15, Rn. 72 f.). Nach Möglichkeit sind Modalitäten der Übermittlung der personenbezogenen Daten zu wählen, die die Rechte oder Freiheiten anderer Personen nicht verletzen, wobei diese Erwägungen nicht dazu führen dürfen, dass der betroffenen Person jegliche Auskunft verweigert wird, wie sich aus dem 63. Erwägungsgrund DSGVO ergibt (EuGH, Urteil vom 4. Mai 2023 – C-487/21 –, Rn. 44, juris). Bei der Abwägung ist zudem zu berücksichtigen, dass die Zivilprozessordnung in § 407a Abs. 5 ZPO ohnehin eine Verpflichtung des Sachverständigen vorsieht, auf Verlangen des Gerichts die für die Begutachtung beigezogenen Unterlagen sowie die Untersuchungsergebnisse zur Unterrichtung der Parteien oder eines ggf. gem. § 404 Abs. 1 Satz 3 ZPO oder § 412 ZPO in Anspruch genommenen anderen oder weiteren Sachverständigen herauszugeben (Zöller/Greger, aaO., § 407a, Rn. 4).

c)
Das Recht des Sachverständigen auf angemessene Vergütung ist durch die bestehende Auskunftspflicht nicht verletzt. Die Entschädigung des Sachverständigen richtet sich nach §§ 8 ff. JVEG. Der Auskunftsanspruch ändert hieran nichts. Selbst wenn ein auskunftsberechtigter Kläger aufgrund der Auskunft kein Interesse mehr an dem Gutachten haben sollte und die Klage zurücknimmt oder den erforderlichen Vorschuss für eine Fortsetzung der Begutachtung nicht einzahlt, erhält der Sachverständige gleichwohl eine Vergütung für alle erforderlichen Vorbereitungsarbeiten und erbrachten Teilleistungen (Bleutge in BeckOK Kostenrecht, 51. Ed., Stand 01.12.2025, JVEG, § 8, Rn. 28).

d)
Ist das Auskunftsrecht schon nicht gem. Art. 23 Abs. 1 DSGVO durch andere Rechtsvorschriften eingeschränkt, kommt es auf die Frage, ob die in Betracht kommenden Beschränkungsregelungen auch die erforderlichen Mindestinhalte nach Art. 23 Abs. 2 DSGVO enthalten, nicht mehr an.

5.
Der Auskunftsanspruch besteht in dem von der Klägerin geltend gemachten Umfang.

Vom Auskunftsanspruch umfasst ist insbesondere auch das gesamte, zu 90 % fertiggestellte Gutachten. Es kommt insoweit nicht darauf an, an welchen Stellen des Gutachtens die Klägerin namentlich genannt wird bzw. die Ausführungen in einem direkten Bezug zur Klägerin stehen.

Nach der Rechtsprechung des EuGH begründet Art. 15 Abs. 3 Satz 1 DSGVO nicht lediglich ein Recht der betroffenen Person auf eine Kopie der personenbezogenen Daten als solche. Art. 15 Abs. 3 Satz 1 DSGVO enthält vielmehr auch ein Recht auf Auszüge von Dokumenten bzw. auf das ganze Dokument, das die personenbezogenen Daten enthält, wenn die Kontextualisierung der verarbeiteten Daten erforderlich ist, um ihre Verständlichkeit zu gewährleisten (EuGH, Urteil vom 26.10.2023, C-307/22, Rn. 74 f. – Kostenlose erste Kopie von Patientenakte). Im Hinblick auf das Gutachten bedeutet dies, dass sich der Beklagte nicht auf die Auskunft beschränken darf, welche personenbezogenen Daten der Klägerin im Gutachten auftauchen. Erforderlich ist vielmehr auch eine originalgetreue Reproduktion des Kontexts, in dem das jeweilige personenbezogene Datum steht.

Der Auskunftsanspruch umfasst damit sämtliche Teile des Gutachtens, die in irgendeinem inhaltlichen Bezug zur Klägerin stehen. Umfasst sind damit auch allgemeine zahnmedizinische Ausführungen, selbst wenn diese für sich genommen keinen Bezug zur Klägerin aufweisen, da davon auszugehen ist, dass diese dem Verständnis der weiteren Ausführungen dienen und dieser Kontext daher erforderlich ist, um die Verständlichkeit der personenbezogenen Ausführungen zu gewährleisten. Eine Zurverfügungstellung einer einfachen Zusammenfassung oder Zusammenstellung der personenbezogenen Daten der Klägerin durch den Beklagten genügt nicht, weil dann die Gefahr bestünde, dass bestimmte relevante Daten ausgelassen oder unrichtig wiedergegeben werden oder dass jedenfalls die Überprüfung ihrer Richtigkeit und Vollständigkeit sowie ihr Verständnis durch die Klägerin erschwert würde (vgl. EuGH, aaO., Rn. 78).

Den Volltext der Entscheidung finden Sie hier:

BGH
Beschluss vom 05.02.2026
I ZB 98/25

Der BGH hat entschieden, dass kein Auskunftsanspruch aus Art. 15 DSGVO gegen einen Richter sondern gegen die Behördenleitung als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO besteht.

Aus den Entscheidungsgründen:
Der gegen Vorsitzenden Richter Prof. Dr. K. geltend gemachte, auf Art. 15 Abs. 1 DSGVO gestützte Auskunftsanspruch besteht nicht. Soweit die Verarbeitung personenbezogener Daten in Rede steht, richtet sich ein etwaiger Anspruch aus Art. 15 Abs. 1 DSGVO gegen die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidende Behördenleitung
als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.

Den Volltext der Entscheidung finden Sie hier:

BGH
Beschluss vom 07.10.2025
VI ZR 297/24

Der BGH hat im Rahmen eines Nichtzulassungsbeschwerderverfahrens ausgeführt, dass Arbeitnehmer regelmäßig nicht "Verantwortliche" im Sinne des Art. 4 Nr. 7 DSGVO sind, da sie "unterstellte Personen" nach Art. 29 DSGVO sind.

Aus den Entscheidungsgründen:
Der Sache kommt insbesondere nicht deshalb grundsätzliche Bedeutung zu, weil eine Vorabentscheidung des Gerichtshofs der Europäischen Union geboten wäre. Die Beschwerde legt schon nicht ausreichend dar, inwiefern die von ihr aufgeworfenen Fragen in der Rechtsprechung des Gerichtshofs ungeklärt und auch nicht ohne Weiteres klar zu beantworten wären. Sie setzt sich insbesondere nicht mit der Rechtsprechung des Gerichtshofs auseinander, nach der Arbeitnehmer des Verantwortlichen diesem "unterstellte Personen" im Sinne von Art. 29 DSGVO sind (EuGH, Urteile vom 11. April 2024 - C-741/21, VersR 2024, 1147 Rn. 47-53 - juris GmbH; vom 22. Juni 2023 - C-579/21, NJW 2023, 2555 Rn. 72, 73 - Pankki S), weshalb sie in der Regel nicht selbst als "Verantwortliche" im Sinne des Art. 4 Nr. 7 DSGVO angesehen werden können (vgl. hierzu Jóri in Spiecker gen. Döhmann u.a., General Data Protection Regulation, 2023, GDPR Art. 4 (7) Rn. 7; Petri/Stief in Simitis u.a., Datenschutzrecht, 2. Aufl., DSGVO Art. 4 Nr. 7 Rn. 15, 17; Hartung in Kühling/Buchner, DS-GVO BDSG, 4. Aufl., DS-GVO Art. 4 Nr. 7 Rn. 9; Gola in Gola/Heckmann, Datenschutz-Grundverordnung – Bundesdatenschutzgesetz, 3. Aufl., DSGVO Art. 4 Rn. 63; European Data Protection Board - edpb, Leitlinien07/2020 zu den Begriffen "Verantwortlicher" und "Auftragsverarbeiter" in der DSGVO, Version 2.0, Rn. 18 f.).

Den Volltext der Entscheidung finden Sie hier:

BGH
Beschluss vom 28.05.2025
VI ZR 258/24
Verordnung (EU) 2016/679 Art. 82 Abs. 1

Der BGH hat dem EuGH Fragen zum Personenbezug dynamischer IP-Adressen und zur Rechtsmissbräuchlichkeit der Geltendmachung von Schadensersatzansprüchen aus Art. 82 Abs. 1 DSGVO zur Voarbentscheidung vorgelegt.

Leitsatz des BGH:
Dem Gerichtshof der Europäischen Union werden zur Auslegung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO, ABl. L 119 vom 4. Mai 2016, S. 1) folgende Fragen zur Vorabentscheidung vorgelegt:

a) Ist Art. 4 Nr. 1 DSGVO dahingehend auszulegen, dass im Falle der automatisierten Übermittlung einer dynamischen Internetprotokoll-Adresse (IPAdresse) diese bereits dann ein personenbezogenes Datum darstellt, wenn ein Dritter über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt ?

Oder ist Voraussetzung für die Annahme eines personenbezogenen Datums, dass der für die Übermittlung Verantwortliche oder der Empfänger über Mittel verfügen, die vernünftigerweise eingesetzt werden können, die betreffende Person - gegebenenfalls mit Hilfe eines Dritten - bestimmen zu lassen ?

Falls letzteres zutrifft: Genügt es insoweit, dass unter bestimmten Voraussetzungen rechtliche Möglichkeiten zur Identifizierung der betroffenen Person bestehen können oder müssen diese Voraussetzungen in tatsächlicher und rechtlicher Sicht im konkreten Fall vorgelegen haben ?

b) Ist Art. 82 Abs. 1 DSGVO dahingehend auszulegen, dass ein immaterieller Schaden auch dann vorliegen kann, wenn die betroffene Person einen Verstoß des Verantwortlichen gegen die Datenschutz-Grundverordnung bewusst und allein zu dem Zweck herbeiführt, den Verstoß dokumentieren und gegenüber dem Verantwortlichen geltend machen zu können ?

Falls ja: Kann das Vorliegen eines immateriellen Schadens auch dann bejaht werden, wenn gleichartige Verstöße in großer Zahl in automatisierter Weise provoziert werden ?

c) Falls beide unter Ziffer 2 aufgeworfenen Fragen bejaht werden:

Ist Art. 82 Abs. 1 DSGVO dahingehend auszulegen, dass in einem Fall der in Frage 2 beschriebenen Art ein Anspruch auf Ersatz immateriellen Schadens wegen missbräuchlichen Verhaltens der betroffenen Person verneint werden kann, weil trotz formaler Einhaltung der in der Unionsregelung vorgesehenen Bedingungen das Ziel dieser Regelung nicht erreicht wurde und die Absicht bestand, sich einen aus der Unionsregelung resultierenden Vorteil zu verschaffen, indem die Voraussetzungen für seine Erlangung künstlich geschaffen werden? Kommt es insoweit darauf an, ob die Erlangung eines finanziellen Vorteils die alleinige Motivation für die Provokation des Verstoßes gegen die Verordnung war ?

BGH, Beschluss vom 28. August 2025 - VI ZR 258/24 - LG Hannover - AG Hannover

Den Volltext der Entscheidung finden Sie hier:

VG Ansbach
Beschluss v. 19.02.2025
AN 14 K 22.02562

Das VG Ansbach hat dem EuGH zur Vorabentscheidung vorgeleget, ob ein Auskunftsanspruch aus Art. 15 DSGVO gegen eine Datenschutzbehörde besteht.

Tenor der Entscheidung:
Dem Gerichtshof der Europäischen Union werden nach Art. 267 AEUV folgende Fragen zur Vorabentscheidung vorgelegt:

1. Ist Art. 15 VO (EU) 2016/679 i.V.m. Art. 4 Nr. 7 VO (EU) 2016/679 dahingehend auszulegen, dass eine Aufsichtsbehörde nach Art. 4 Nr. 21 VO (EU) 2016/679, die im Rahmen eines von einer betroffenen Person eingeleiteten Beschwerdeverfahrens nach Art. 77 VO (EU) 2016/679 tätig wird, gleichzeitig im Sinne von Art. 15 VO (EU) 2016/679 i.V.m. Art. 4 Nr. 7 VO (EU) 2016/679 „Verantwortlicher“ und damit auf Grundlage des Art. 15 VO (EU) 2016/679 gegenüber der betroffenen Person zur Auskunft verpflichtet ist ?

2. Für den Fall, dass Frage 1 mit „ja“ beantwortet wird:
Ist das Unionsrecht, insbesondere Art. 23 VO (EU) 2016/679, dahingehend auszulegen, dass es einer nationalen Regelung – wie dem im Ausgangsverfahren streitigen Art. 20 Abs. 2 BayDSG – entgegensteht, wonach Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der Aufsichtsbehörden nach Art. 4 Nr. 21 VO (EU) 2016/679 pauschal nicht bestehen ?

Den Volltext der Entscheidung finden Sie hier:

BGH
Urteil vom 27. 03.2025
I ZR 223/19
Arzneimittelbestelldaten II
Verordnung (EU) 2016/679 Art. 9 Abs. 1, Abs. 2 Buchst. a und h, Abs. 3; Richtlinie 95/46/EG Art. 8 Abs. 1 Abs. 2 Buchst. a, Abs. 3; BDSG § 22 Abs. 1 Nr. 1 Buchst. b; UWG § 3 Abs. 1, §§ 3a, 8 Abs. 2, § 9 Abs. 1

Der BGH hat entschieden, dass ein wettbewerbswidriger Verstoß gegen die Marktverhaltensregel Art. 9 Abs. 2 Buchst. a DSGVO durch Verarbeitung von Bestelldaten ohne ausdrückliche Einwilligung bei Online-Bestellungen (hier über Amazon Marketplace) apothekenpflichtiger Medikamente vorliegt.

Wir hatten bereits in dem Beitrag BGH: Mitbewerber und Verbraucherschutzverbände können Datenschutzverstöße abmahnen und als Wettbewerbsverstoß gerichtlich geltend machen über die Entscheidung berichtet.

Leitsätze des BGH:
a) Bestellt ein Kunde über den Account eines Apothekers bei der Internet-Plattform "Amazon- Marketplace" (Amazon) apothekenpflichtige Medikamente, findet eine Erhebung und Verarbeitung von Gesundheitsdaten im Sinne von § 4 Abs. 1 BDSG aF statt.

b) Die Verarbeitung der Bestelldaten ohne ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 Buchst. a DSGVO stellt einen Verstoß gegen eine Marktverhaltensregelung gemäß § 3a UWG dar, für die der Apotheker gemäß § 8 Abs. 2 UWG wettbewerbsrechtlich verantwortlich ist und gegen den ein Mitbewerber im Wege der Klage vor den Zivilgerichten unter dem Gesichtspunkt des Verbots der Vornahme unlauterer Geschäftspraktiken vorgehen kann.

BGH, Urteil vom 27. März 2025 - I ZR 223/19 - OLG Naumburg - LG Dessau-Roßlau

Den Volltext der Entscheidung finden Sie hier:

BGH
Beschluss vom 18.02.2025
VI ZR 64/24

Der BGH hat das Verfahren Künast gegen Meta / Facebook zur Haftung der Betreiber sozialer Netzwerke für Inhalte der Nutzer bis zur Entscheidung des EuGH im Verfahren C-492/23 (siehe dazu: EuGH-Generalanwalt: Zur Haftung des Betreibers eines Online-Marktplatzes nach der DSGVO und der Richtlinie über den elektronischen Geschäftsverkehr) ausgesetzt.


Die Pressemitteilung des BGH:
Bundesgerichtshof: Aussetzung des Verfahrens zur Haftung des Betreibers eines sozialen Netzwerks
für von seinen Nutzern eingestellte rechtswidrige Inhalte

Der VI. Zivilsenat hat am 18. Februar 2025 über wechselseitige Revisionen verhandelt, in denen sich die Frage stellt, welche Ansprüche gegen den Betreiber eines sozialen Netzwerks Betroffenen zustehen, über die auf der Plattform dieses Netzwerks falsche Tatsachenbehauptungen verbreitet werden. Hinsichtlich des Sachverhalts und des bisherigen Prozessverlaufs wird auf die Pressemitteilung Nr. 027/2025 vom 6. Februar 2025 hingewiesen.

Nach ausführlicher Erörterung in der mündlichen Verhandlung hat der VI. Zivilsenat am Ende der Sitzung das Verfahren analog § 148 ZPO bis zu der Entscheidung des Gerichtshofs der Europäischen Union in dem dort anhängigen Verfahren C-492/23 ausgesetzt.

Vorinstanzen:

LG Frankfurt a.M. - Entscheidung vom 8. April 2022 - 2-03 O 188/21

OLG Frankfurt a.M. - Entscheidung vom 25. Januar 2024 - 16 U 65/22

EuGH-Generalanwalt
Schlussansträge vom 06.02.2025
C-492/23
Russmedia Digital und Inform Media Press

Der EuGH-Generalanwalt hat sich vorliegend mit der Haftung des Betreibers eines Online-Marktplatzes nach der DSGVO und der Richtlinie über den elektronischen Geschäftsverkehr befasst.

Die Pressemitteilung des EuGH:
Elektronischer Geschäftsverkehr und DSGVO: Generalanwalt Szpunar nimmt Klarstellungen zur Haftung des Betreibers eines Online-Marktplatzes vor

Im Jahr 2018 wurde auf der Website Publi24.ro (Website der Gesellschaft Russmedia), einem Online-Marktplatz, eine Anzeige veröffentlicht, aus der hervorging, dass eine Person (X) sexuelle Dienstleistungen anbiete. Die Anzeige enthielt Fotos und eine Telefonnummer, die aus den sozialen Netzwerken des Opfers stammten und die ohne seine Zustimmung verwendet wurden. Russmedia entfernte zwar die Anzeige rasch, doch wurde sie auf andere Websites kopiert. X erhob Klage gegen Russmedia.

Das Berufungsgericht Cluj (Rumänien) hat den Gerichtshof der Europäischen Union angerufen, um die Haftung des Betreibers eines Online-Marktplatzes für diesen Fall zu klären.

Generalanwalt Maciej Szpunar geht in seinen Schlussanträgen, um die Vorlagefragen des vorlegenden Gerichts zu beantworten, auf den Zusammenhang zwischen der Richtlinie über den elektronischen Geschäftsverkehr und der Datenschutz-Grundverordnung (DSGVO) ein.

In Bezug auf die Richtlinie über den elektronischen Geschäftsverkehr weist er darauf hin, dass ein Betreiber eines Online-Marktplatzes wie Russmedia in den Genuss einer Haftungsbefreiung für den Inhalt der auf seinem Marktplatz veröffentlichten Anzeigen kommen könne, sofern seine Rolle neutral und rein technisch bleibe.

Dies gelte nicht, wenn aktiv in die Verwaltung der Inhalte, deren Änderung oder die Werbung für die Inhalte eingegriffen werde.

Zur DSGVO stellt der Generalanwalt klar, dass der Betreiber eines Online-Marktplatzes für die in den Anzeigen enthaltenen personenbezogenen Daten als Auftragsverarbeiter agiere. Folglich sei der Betreiber nicht verpflichtet, vor der Veröffentlichung systematisch den Inhalt der Anzeigen zu überprüfen. Er müsse jedoch organisatorische und technische Maßnahmen zum Schutz dieser Daten ergreifen. Demgegenüber vertritt der Generalanwalt die Ansicht, dass der Betreiber des Online-Marktplatzes in Bezug auf die personenbezogenen Daten der auf diesem Online-Marktplatz registrierten inserierenden Nutzer als Verantwortlicher handele und in diesem Rahmen die Identität der inserierenden Nutzer überprüfen müsse.

Die vollständigen Schlussanträge finden Sie hier:

OLG Dresden
Urteil vom 15.10.2024
4 U 940/24

Das OLG Dresden hat entschieden, dass die unzureichende Kontrolle des Auftragsverarbeiters einen Schadensersatzanspruch aus Art. 82 DSGVO des Betroffenen gegen den Verantwortlichen begründen kann.

Aus den Entscheidungsgründen:
1. Die internationale Zuständigkeit deutscher Gerichte ist gemäß Art. 18 Abs. 1 EuGVVO sowie gemäß Art. 79 Abs. 2, Satz 2 DSGVO gegeben, denn die Klagepartei hat ihren gewöhnlichen Aufenthalt in Deutschland. Der sachliche, räumliche und zeitliche Anwendungsbereich der am 25.05.2018 in Kraft getretenen Datenschutzgrundverordnung ist eröffnet.

2. Die Beklagte ist der Klagepartei dem Grunde nach gemäß Art. 82 DSGVO zum Schadensersatz verpflichtet. Der Verantwortliche und Auftragsverarbeiter haftet im Grundsatz nach Art. 82 DSGVO für das Handeln seiner Auftragsverarbeiter und deren Mitarbeiter jedenfalls dann, wenn dem Mitarbeiter erst durch die ihm vom Verantwortlichen oder Auftragsverarbeiter übertragene Tätigkeit die Gelegenheit gegeben wurde, auf die Rechtsgüter der betroffenen Person einzuwirken. Der Verantwortliche haftet auch, wenn der Auftragsverarbeiter die Weisungen des Verantwortlichen ausführt und dadurch ein Schaden entsteht. Missachtet der Auftragsverarbeiter eine rechtmäßige Weisung des Verantwortlichen, haftet der Verantwortliche auch hierfür (Hans-Jürgen Schaffland; Gabriele Holthaus in: Schaffland/Wiltfang, Datenschutz-Grundverordnung (DS-GVO)/Bundesdatenschutzgesetz (BDSG), 8. Ergänzungslieferung 2024, Art. 82 EUV 2016/679, Rz. 30a). Zwar besteht in diesem Fall auch eine Haftung des Auftragsdatenverarbeiters. Der Verantwortliche kann den Betroffenen aber nicht auf dessen vorrangige Inanspruchnahme verweisen, weil dies einem „wirksamen Schadensersatz“ im Sinne des Art. 82 Abs. 4 DSGVO (vgl. auch Erwägungsgrund 146 S. 6) entgegenstünde. Ein Abschieben der Haftung auf den Auftragsverarbeiter widerspricht auch dem Grundgedanken der Auftragsverarbeitung, wonach der Verantwortliche zwar ohne Weiteres Dritte einschalten darf, aber gegenüber der betroffenen Person verantwortlich bleibt. Der Auftragsverarbeiter ist letztlich – mit einigen formalen und inhaltlichen Anforderungen, die aus der fehlenden arbeitsrechtlichen Weisungsbefugnis und tatsächlichen Kontrollmöglichkeit herrühren – wie ein sonstiger Mitarbeiter zu behandeln (vgl. Bergt, in: Kühling/Buchner, DSGVO, 4. Auflage, 2024, Art. 82 Rn. 55 mwN).

a) Die Beklagte hat gegen die ihr obliegende Pflicht zur sorgfältigen Überwachung des von ihr beauftragten externen Auftragsdatenverarbeiters verstoßen, Art. 28, 32 DSGVO.

Art 28 Abs. 1 DSGVO regelt unmittelbar nur die Anforderungen an die Auswahl des Auftragsverarbeiters durch den Verantwortlichen. Dieser darf nur solche Auftragnehmer als Auftragsverarbeiter beauftragen, „die hinreichende Garantie dafür bieten, dass geeignete technische und organisatorische Maßnahmen“ im Einklang mit der DSGVO durchgeführt werden. Dies führt aber nicht nur zu einer Pflicht zur sorgfältigen Auswahl, sondern auch zu einer Pflicht zur sorgfältigen Überwachung des Auftragsverarbeiters durch den Verantwortlichen. Diese Pflicht zur Überwachung des Auftragsverarbeiters - im Anschluss an dessen Auswahl - ist in Art. 28 Abs. 1 DSGVO zwar nicht ausdrücklich geregelt, ergibt sich jedoch aus der Formulierung der Norm („arbeitet [...] nur mit“). Absatz 3 lit h) setzt eine solche Kontrollpflicht voraus, was auch die ordnungsgemäße Datenlöschung betrifft. Zugleich enthält er eine Verpflichtung der Vertragsparteien, die Details zu den Prüfrechten auszugestalten und hierdurch eine effektive Kontrolle durch den Verantwortlichen sicherzustellen (Schaffland/Wiltfang, Datenschutz-Grundverordnung (DSGVO)/Bundesdatenschutzgesetz (BDSG), 8. Ergänzungslieferung 2024, Art. 28 EUV 2016/679, Rn. 61). De facto ist die Pflicht zur Überwachung daher auch ohne konkrete zeitliche Vorgaben als Dauerpflicht zu verstehen (vgl. Plath in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Rz. 17 mwN). Durch diese vertragliche Ausgestaltung werden aber nicht nur die Pflichten des Auftragsdatenverarbeiters, sondern auch die korrespondierenden Prüfpflichten des Unternehmers konkretisiert. Ob dies auch dann gilt, wenn dem Auftragsdatenverarbeiter Pflichten auferlegt werden, die über das nach der DSGVO gebotenen Schutzniveau hinausgehen, bedarf hier entgegen der Auffassung der Beklagten im Schriftsatz vom 9.9.2024 keiner Entscheidung, weil die durch Ziff. 9 des Nachtrags geregelten Pflichten nicht über diese Mindestanforderungen hinausgehen. Wie die Beklagte im Schriftsatz vom 9.9.2024 insofern zu Recht geltend macht, ist der Auftragsverarbeiter nämlich nach Vertragsende – als Ausfluss der allgemeinen Grundsätze der „Rechtmäßigkeit“, (Art. 5 Abs. 1 lit. (a) DSGVO), der „Datenminimierung“ (Art. 5 Abs. 1 lit. (c) DSGVO) sowie der Speicherbegrenzung (Art. 5 Abs. 1 (e) DSGVO) – verpflichtet, alle noch vorhandenen personenbezogenen Daten entweder zu löschen oder zurückzugeben (vgl. Paal/Pauly/Martini, 3. Aufl. 2021, DS-GVO Art. 28 Rn. 22, 23, beck-online mit Verweisen auf Spoerr in BeckOK DatenschutzR DS-GVO Art. 28 Rn. 78). Dies entspricht Art. 9 des Nachtrags.

Die Anforderungen an Auswahl und Überwachung dürfen dabei in der Praxis zwar nicht überspannt werden. Wählt ein Unternehmen z.B. einen führenden und am Markt als zuverlässig bekannten IT-Dienstleister aus, so darf es grundsätzlich auf dessen Fachwissen und Zuverlässigkeit vertrauen, ohne dass etwa eine - vollkommen praxisfremde - Vor-OrtKontrolle erforderlich wäre (Schaffland/Wiltfang aaO.). Gesteigerte Anforderungen ergeben sich indes, soweit z.B. große Datenmengen oder besonders sensible Daten gehostet werden sollen (Plath, a.a.O., Rz. 18). Diese gesteigerten Kontrollpflichten gelten auch außerhalb der Verarbeitung personenbezogener Daten nach Art. 9, 10 DSGVO. Ungeachtet der Frage, ob die von dem zwischen der Beklagten und dem Autragsdatenverarbeiter geschlossenen Vertrag erfassten Daten auch Daten über das Nutzerverhalten und hieraus zu erstellende Profile beinhalteten, betraf die Verarbeitung vorliegend jedenfalls nicht unbedeutende Datenmengen, deren Verlust potentiell vielen Millionen Nutzern Schaden zufügen konnte. Infolgedessen war die Beklagte auch nach Vertragsbeendigung zu einer Überwachung ihres Auftragsdatenverarbeiters dahingehend angehalten, dass dieser die ihm zur Verfügung gestellten Daten tatsächlich löscht und hierüber eine aussagekräftige Bescheinigung ausstellt. Diese durch die DSGVO gesetzlich aufgestellten Anforderungen werden in Ziff. 9 der am 18.7.2019 geschlossenen Zusatzvereinbarung (Anlage B 2a) Datenschutznachtrag ("Nachtrag") als Teil des Dienstleistungsvertrags vom 01. Dezember 2016 wie folgt präzisiert:

„9. BEENDIGUNG DER VERARBEITUNG
9.1 Vorbehaltlich des Abschnitts 9.2, ist der Anbieter verpflichtet, nach Wahl des Unternehmens entweder (a) eine vollständige Kopie aller Personenbezogenen Daten des Unternehmens durch sichere Dateiübertragung in einem Format, das das Unternehmen dem Anbieter in angemessener Weise mitteilt, an das Unternehmen zurückzusenden und anschließend alle anderen Kopien der Personenbezogenen Daten des Unternehmens, die vom Anbieter oder den Unterauftragsverarbeitern verarbeitet wurden, innerhalb von einundzwanzig (21) Kalendertagen nach dem Datum der Beendigung der Dienstleistungen, die die Verarbeitung Personenbezogener Daten des Unternehmens beinhalten (das "Beendigungsdatum"), zu löschen und für die Löschung zu sorgen oder (b) die Daten innerhalb von einundzwanzig (21) Kalendertagen nach dem Beendigungsdatum zu löschen und für die Löschung aller anderen Kopien der Personenbezogenen Daten des Unternehmens, die vom Anbieter oder den Unterauftragsverarbeitern verarbeitet wurden, zu sorgen.

9.2 Der Anbieter und jeder Unterauftragsverarbeiter dürfen Personenbezogene Daten des Unternehmens nur in dem Umfang und für den Zeitraum aufbewahren, wie es die anwendbaren EU-Gesetze vorschreiben, und immer nur unter der Voraussetzung, dass der Anbieter die Vertraulichkeit aller Personenbezogenen Daten des Unternehmens sicherstellt und gewährleistet, dass diese Personenbezogenen Daten des Unternehmens nur für Zwecke verarbeitet werden, die mit denen vereinbar sind, für die sie gemäß Artikel 5.1 (b) der DSGVO erhoben wurden, und wie es die anwendbaren EU-Gesetze vorschreiben, die ihre Speicherung vorschreiben.

9.3 Der Anbieter muss dem Unternehmen schriftlich bestätigen, dass er und jeder Unterauftragsverarbeiter diesen Abschnitt 9 innerhalb von einundzwanzig (21) Kalendertagen nach dem Beendigungsdatum vollständig eingehalten haben.

In Ergänzung hierzu regelt Ziff. 10.1 des Nachtrags das Recht der Beklagten, von dem Auftragsdatenverarbeiter „alle erforderlichen Informationen“ verlangen zu dürfen, „soweit dies vernünftigerweise erforderlich ist“. Folgerichtig war die Beklagte zum einen verpflichtet, von ihrem Wahlrecht nach Ziff. 9.1. Gebrauch zu machen, d.h. entweder die Rückübertragung oder die Löschung der von dem Auftragsdatenverarbeiter gehosteten Daten innerhalb der dort genannten Fristen zu verlangen. Zum anderen war sie gehalten, die Erfüllung der den Auftragsdatenverarbeiter hiernach treffenden Verpflichtungen zu kontrollieren, also die nach dem Vertrag erforderlichen Bestätigungen einzuholen, bei deren Ausbleiben innerhalb der 21-Tage Frist die Vorlage unverzüglich anzumahnen und ggf. auch eine Vorort-Prüfung nach Art. 10 des Nachtrags vorzunehmen. Nichts davon ist hier geschehen. Dem Vortrag der Beklagten lässt sich bereits nicht entnehmen, dass diese gegenüber dem Auftragsdatenverarbeiter ihr Wahlrecht gem. Ziff. 9.1. des Nachtrags überhaupt ausgeübt hätte, ein entsprechendes Schreiben ist nicht vorgelegt worden.

Insbesondere hat sie aber dadurch gegen ihre Kontrollpflichten aus Art. 28 DSGVO verstoßen, dass sie nicht nach Ablauf der vertraglich geregelten 21-tägigen Frist von ihrer Auftragsverarbeiterin die ausdrückliche schriftliche Bestätigung einer tatsächlich durchgeführten Löschung aller bei dieser vorhandenen Datensätze angefordert hat, die eine detaillierte Auflistung der gelöschten Daten enthielt. Die von dem Auftragsdatenverarbeiter unter dem Datum 9.12.2020 versandte Mail genügte dessen vertraglichen Verpflichtungen nicht, schon weil sie nicht dem Schriftformerfordernis in Ziff. 9.3. (“written certification“ in der englischen Originalfassung Anlage B 2b) entsprach (in diesem Sinne auch LG Lübeck, Beschluss vom 8. Mai 2024 – 15 O 224/23 –, Rn. 16, juris). Auch wenn, wozu die Parteien nichts vorgetragen haben, der Nachtrag dem französischen Zivilrecht unterfallen sollte, wäre die elektronische Form der Schriftform nur gleichgestellt, wenn die Identität der Person, die es erstellt hat, eindeutig nachgewiesen und die Integrität der E-Mail gewährleistet wäre (Art. 1366 cc:..“sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité“). Da aus der als Anlage B4 vorgelegten anonymisierten Kopie deren Absender nicht erkenntlich ist, liegen auch diese Voraussetzungen nicht vor. Art. 28 Abs. 9 DSGVO der nur für den „Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4“ gilt, ist auf die Löschungsbestätigung, für die die Parteien ausdrücklich die Schriftform gewählt haben, nicht anwendbar. Schwerer wiegt indes, dass die E-Mail des Auftragsdatenverarbeiters vom 9.12.2020 lediglich die Ankündigung einer bevorstehenden, nicht aber die Bestätigung einer erfolgten Löschung enthielt. Die bloße Ankündigung einer Maßnahme ist jedoch nicht gleichwertig zu einer Bestätigung über deren Ausführung. Es ist allgemein bekannt, dass gleich ob in kleinen oder großen Unternehmen anstehende Vorgänge aufgeschoben und in der Folge auch vergessen werden können. Indem die Bestätigung der tatsächlichen Durchführung einer vertraglich festgelegten Aufgabe eingefordert wird, minimiert der Verantwortliche das Risiko, dass es beim Auftragsverarbeiter bei der bloßen Ankündigung eines Tätigwerdens bleibt und sorgt zugleich dafür, dass der Auftragsverarbeiter in seiner eigenen Sphäre überprüft, ob die vertraglich übernommene Verpflichtung tatsächlich gewissenhaft erfüllt wurde - auch um das eigene Haftungsrisiko zu minimieren.

Die als Anlage B4 vorgelegte Löschungsankündigung des Auftragsdatenverarbeiters erfüllte aber auch unabhängig hiervon nicht die zum Zwecke und zur Sicherstellung der gesetzlichen Pflichten vertraglich festgelegten Anforderungen, weil sie sich lediglich auf „your site and all the data on the site“, d.h. die unmittelbar von der Beklagten zur Verfügung gestellte Website einschließlich der dort befindlichen Daten, nicht jedoch auf die „Löschung aller anderen Kopien der personenbezogenen Daten des Unternehmens, die vom Anbieter ... verarbeitet wurden“.

erstreckte, wie es Ziff. 9.1. vorsieht. Angesichts dessen hätte sich die Beklagte mit dieser weder formal noch inhaltlich hinreichenden Ankündigung nicht zufrieden geben dürfen, sondern auf eine vollständige und rechtzeitige Löschungsbestätigung hinwirken müssen. Wäre diese auf Anforderung nicht unverzüglich vorgelegt worden, hätte sie ggf. eine nach Ziff. 10.1. des Nachtrags vorgesehene Vor-Ort Kontrolle durchführen müssen. Dies ist indes unstreitig nicht geschehen. Eine Nachfrage beim Auftragsdatenverarbeiter ist nach dem eigenen Vorbringen der Beklagten nicht vor dem Jahr 2023 erfolgt. Die als Anlage B5 vorgelegte, als „Declaration of Data Destruction“ bezeichnete E-Mail vom 22.3.2023 liegt aber weit außerhalb eines für diese nach Art. 28 DSGVO erforderliche Kontrolle vertretbaren Prüfzeitraums. Ob sie eine hinreichende Bescheinigung im Sinne von Ziff. 9 Abs. 1 des Nachtrags enthält, kann schon aus diesem Grund dahinstehen. Schließlich kann auch die Kausalität dieser Kontrollpflichtenverletzung für den streitgegenständlichen Hacking-Vorfall nicht verneint werden. Ausgehend vom Regelfall des redlichen Auftragsdatenverarbeiters muss vielmehr angenommen werden, dass die Mitarbeiter der Firma O...... spätestens auf eine Nachfrage der Beklagten reagiert und die bei ihnen noch vorhandenen Daten gelöscht hätten; jedenfalls die Ankündigung einer Vorort-Kontrolle hätte dazu geführt, dass entsprechende Aktivitäten in die Wege geleitet worden wären. Zu einem Abgreifen der Daten, das nach dem Vorbringen der Beklagten erst im Jahr 2022 erfolgt ist, wäre es dann nicht gekommen. Dass der Dienstleister unter dem Eindruck des erfolgten und ihm bekannten Datenlecks und angesichts der zu erwartenden Haftungsansprüche am 22.3.2023 nachträglich eine unrichtige Löschungsbescheinigung erteilt hat, lässt keinen Rückschluss darauf zu, dass er dies auch im Jahr 2020 getan hätte. Anders wäre dies lediglich dann, wenn der Auftragsdatenverarbeiter selbst unredlich gehandelt und die Daten deshalb nicht gelöscht hätte, um sie selbst später weiter zu veräußern oder für eigenen Zwecke zu verarbeiten. Anhaltspunkte für einen solchen Verdacht sind von der hierfür beweisbelasteten Beklagten indes nicht aufgezeigt worden. Nur in einem solchen Fall käme auch ein Auftragverarbeiterexzess gem. Art. 82 Abs. 3 DSGVO in Betracht, der die Verantwortlichkeit der Beklagten entfallen ließe (vgl. zu deren Voraussetzungen i.E. unter 2. d)). Das bloß versehentliche Nichtlöschen der Daten, das noch dazu durch eine unzureichende Kontrolle seitens der Beklagten maßgeblich erleichtert wurde, hält sich jedoch noch im Rahmen des Erwartbaren und erfüllt damit die Voraussetzungen des Art. 82 Abs. 3 DSGVO nicht.

b) Angesichts des Verstoßes der Beklagten gegen ihre Kontroll- und Überwachungspflichten kommt es nicht darauf an, ob sie ihrer Pflicht zur Einhaltung aller erforderlichen technischen und organisatorischen sowie personellen Sicherheitsstandards im eigenen Hause nachgekommen ist. Gleiches gilt im Ergebnis für die Einhaltung der technischen Sicherheitsstandards im Hause des Auftragsdatenverarbeiters „O......“. Den hierauf abzielenden Behauptungen der Klägerseite war auch deshalb nicht nachzugehen, weil sie ersichtlich „ins Blaue hinein“ erfolgen. Dies gilt insbesondere für die Behauptung, der Hacking-Vorfall habe sich bereits 2019 ereignet. Hierfür ist nach den von der Beklagten vorgelegten Ermittlungsergebnissen, insbesondere den zeitnah erfolgten Meldungen an die CNIL nichts ersichtlich. Angesichts des detaillierten Vortrags der Beklagtenseite zum Zustandekommen ihrer irrtümlichen Erstmeldung, des Verweises auf die Ermittlungsergebnisse und wegen der Tatsache der Erstveröffentlichung der Daten im Jahre 2022, die eine Erbeutung der Daten bereits im Jahre 2019 als äußerst unwahrscheinlich erscheinen lassen, hätte es der Klagepartei nach den Grundsätzen der gestuften Darlegungslast oblegen, diesen Beklagtenvortrag substantiiert zu bestreiten.

Gleiches gilt im Ergebnis für die Behauptung eines Datenschutzverstoßes im direkten Verantwortungsbereich der Beklagten oder bei der Übermittlung der Daten an den Auftragsdatenverarbeiter. Steht - wie hier - ein objektiver Verstoß gegen Datenschutzvorschriften fest bzw ist unstreitig, so obliegt die Beweislast für die Einhaltung der Grundsätze des Art. 32 DSGVO allerdings dem Verantwortlichen (EuGH, Urteil vom Urteil vom 14.12.2023 - C-340/21, Rz. 57). Vorliegend steht ein solcher Verstoß jedoch lediglich im Bereich der Kontrollpflichten fest; Verstöße im eigenen Bereich der Beklagten sind jedoch nicht ersichtlich und angesichts des Umstandes, dass die Daten unstreitig bei dem Auftragsdatenverarbeiter abhanden gekommen sind, auch nicht plausibel. Angesichts des Umstandes, dass die Beklagte umfangreich zu den von ihr ergriffenen Sicherheits- und Überprüfungsmaßnahmen vorgetragen und detailliert und dabei sowohl ihre IT-Infrastruktur, den von ihr benutzten Sicherheitssystemen beim IP-Transit, bei der Kommunikation als solcher, ihre Firewalls, ihre physische Zutrittskontrollen, insbesondere zu den Datenzentren dargelegt hat und auch zur Ausgestaltung ihrer Zugriffsrechte, insbesondere zu den Authentifizierungssystemen, zur Rückverfolgbarkeit, zur Isolierung der Anmeldedaten, zu Warnsystemen, und zur Bot-Analyse vorgetragen (S. 8 - 12 der Klageerwiderung) umfangreichen Sachvortrag gehalten hat, hätte es der Klagepartei nach den Grundsätzen der gestuften Darlegungslast oblegen, ihre Behauptungen zu einem vermeintlichen Datenschutzverstoß zu präzisieren.

c) Offenbleiben kann ebenfalls, ob die Beklagte ihre Benachrichtigungspflicht aus Art. 34 DSGVO gegenüber der Klagepartei, aus Art. 33 DSGVO gegenüber der Aufsichtsbehörde oder die Auskunftspflicht nach Art. 15 DSGVO verletzt hat, denn ein kausaler Schaden der Klagepartei, der auf der Verletzung von Benachrichtigungspflichten beruhen könnte, ist nicht ersichtlich (vgl. hierzu auch OLG Hamm, Urteil vom 15.08.2023 - 7 U 19/23, Rn 147 - juris). Die Klagepartei hat nicht dargelegt, welcher Schaden ihr daraus entstanden sein soll. Der Kontrollverlust und die Veröffentlichung der Daten und die nach der Behauptung der Klagepartei darauf beruhenden ungebetenen spam e-mails können nur auf dem HackingVorfall und nicht auf der Verletzung von Benachrichtigungs- und Auskunftspflichten zurückzuführen sein.

Unabhängig davon kann ein Schadensersatzanspruch nach Art. 82 DSGVO ohnehin nicht auf die Verletzung der vorgenannten Pflichten gestützt werden, da keine „Verarbeitung personenbezogener Daten“ vorliegt. Nach der Rechtsprechung des EuGH setzt der Anspruch die Verarbeitung personenbezogener Daten unter Verstoß gegen die Bestimmung der DSGVO voraus (vgl. EuGH, Urteil vom 04.05.2023 - C - 300/21, Rn 36 - juris; vgl. Moos/Schlefzig in Taeger/Gabel (Hrsg.) DSGVO, 2022, Art. 82 Rn 22). Dies belegt auch die Formulierung in Erwägungsgrund Nr. 146, wonach Schäden ersetzt werden, die „aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht“.

d) Die Beklagte kann sich nicht nach Art. 82 Absatz 3 DSGVO entlasten.

Der Verantwortliche oder der Auftragsverarbeiter wird nach dem Wortlaut dieser Vorschrift von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. „Nicht verantwortlich“ bedeutet, dass den Verantwortlichen bzw. den Auftragsverarbeiter keinerlei Verschulden an dem Ereignis trifft, das den Schaden auslöste (Bergt in Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 82 Rdn. 49; im Ergebnis auch Spindler, DB 2016, 937 ff. (947) Schaffland/Wiltfang, a.a.O, Rz. 28). „In keinerlei Hinsicht“ bedeutet, dass der Verantwortliche bzw. der Auftragsverarbeiter nachweist, er habe alle Sorgfaltspflichten erfüllt und damit ihm nicht die geringste Fahrlässigkeit vorgeworfen werden kann (Becker in Plath, DSGVO/BDSG/TTDSG, 4. Aufl., Art. 82 DS-GVO Rdn. 5). Hält er alle erforderlichen technischen und organisatorischen Datensicherungsmaßnahmen ein und kommt es dennoch zu einem unbefugten Datenzugriff, kann ihm dies nicht angelastet werden (Becker in Plath, DSGVO/BDSG/TTDSG, 4. Aufl., Art. 82 DS-GVO Rdn. 5; Frenzel in Paal/Pauly, DSGVO/BDSG, 3. Aufl., Art. 82 Rdn. 15; Bergt in Kühling/Buchner, DS-GVO/BDSG, 3. Aufl., Art. 82 Rdn. 54; Schaffland/Wiltfang, a.a.O, Rz. 29). Die Haftung des Verantwortlichen für das Verhalten eines Auftragsverarbeiters erstreckt sich grundsätzlich nicht auf die Fälle, in denen der Auftragsverarbeiter personenbezogene Daten für eigene Zwecke verarbeitet hat oder diese Daten auf eine Weise verarbeitet hat, die nicht mit dem Rahmen oder den Modalitäten der Verarbeitung, wie sie vom Verantwortlichen festgelegt wurden, vereinbar ist oder auf eine Weise, bei der vernünftigerweise nicht davon ausgegangen werden kann, dass der Verantwortliche ihr zugestimmt hätte (EuGH, Urteil vom 5. Dezember 2023 – C-683/21 –, juris Rz. 85).

Vorliegend hat der Auftragsdatenverarbeiter zwar sowohl gegen allgemeine Regeln der DSGVO als auch gegen seine vertraglichen Pflichten verstoßen. Ungeachtet vertraglicher Verpflichtungen ist der Auftragsverarbeiter bereits nach der DSGVO im Rahmen der Auftragsverarbeitung grundsätzlich nicht berechtigt, die im Auftrag verarbeiteten Daten für eigene Zwecke bzw. für die Zwecke Dritter zu verarbeiten. Darüber hinaus hat der Auftragsverarbeiter die Rückgabe- und Löschpflichten nach Beendigung des Auftrags zu beachten (vgl. Plath in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Rz. 17 mwN). Vorliegend ist unstreitig, dass Datensätze der Beklagten bei der Firma O...... zum einen unzulässigerweise von der Produktiv- in eine Testumgebung überführt wurden, deren Sphäre verlassen haben und anschließend im Darknet zum Verkauf angeboten wurden, nachdem Mitarbeiter dieser Firma entgegen ihrer Zusicherung aus dem Jahre 2023 nicht alle Datensätze der Beklagten wie vertraglich vereinbart unverzüglich nach Vertragsende gelöscht hatten, sondern zumindest einer der Datensätze schließlich entweder von Hackern erbeutet, oder von Mitarbeitern unbefugt weitergegeben wurden.

Wie oben ausgeführt, käme die Beklagte allerdings nur dann in den Genuss der Haftungsprivilegierung nach Art. 82 Abs. 3 DSGVO, wenn ihr selbst keinerlei Fahrlässigkeit vorzuwerfen wäre. Dies ist vorliegend angesichts des eigenen Pflichtenverstoßes der Beklagten nicht der Fall. Dem kann auch nicht das fehlende Zugriffsrecht der Beklagten nach Ablauf des Auftragsverarbeitungsverhältnisses entgegen gehalten werden; wie aufgezeigt standen hier nämlich der Beklagten die in Ziff. 9, 10 des Nachtrags geregelten nachwirkenden Kontrollmöglichkeiten offen.

LG Lübeck
Urteil vom 04.10.2024
15 O 216/23

Das LG Lübeck hat entschieded, dass das Fehlen einer Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO zwischen Auftragsverarbeiter und Unterauftragsverarbeiter einen Schadensersatzanspruch nach Art. 82 DSGVO zur Folge haben kann.

Aus den Entscheidungsgründen:
bbb. Das Gericht ist jedoch überzeugt, dass bereits die Übertragung der streitgegenständlichen Daten von der Beklagten an die O. (vgl. oben) unter Verstoß gegen Bestimmungen der DSGVO erfolgte.

Dabei ergeben sich die Anforderungen an die Übertragung von Daten auf Auftragsverarbeiter aus Art. 28 DSGVO. Hiernach setzt die Verarbeitung von Daten durch Auftragsverarbeiter (und entsprechend die Übergabe der Daten an den Auftragsverarbeiter) voraus, dass zwischen der Beklagten und dem Auftragsverarbeiter ein Vertrag oder ein anderes Rechtsinstrument gem. Art. 28 Abs. 3 DSGVO vorliegt, der die dort im Einzelnen aufgezählten Maßnahmen und Gewährleistungen vorsieht. Entsprechendes gilt für eventuelle Unterauftragsverarbeiter: diesen muss ebenfalls verbindlich durch Vertrag oder ein anderes Rechtsinstrument dieselben Datenschutzpflichten auferlegt worden sein wie dem Auftragsverarbeiter selbst, § 28 Abs. 4 DSGVO. Fehlt es an diesen Voraussetzungen, so stellt sich (entgegen der hierzu geäußerten Rechtsansicht der Beklagten im Termin zur mündlichen Verhandlung) auch die Übermittlung der Daten von dem Verantwortlichen an den Auftragsverarbeiter oder Unterauftragsverarbeiter als rechtswidrig dar (vgl. hierzu etwa BeckOK DatenschutzR/Spoerr, 49. Ed. 1.8.2024, DS-GVO Art. 28 Rn. 29-32.1 m.w.N. zur dogmatischen Herleitung; Kühling/Buchner/Hartung, 4. Aufl. 2024, DS-GVO Art. 28 Rn. 61-63: „Umgekehrt ist eine fehlende oder unvollständige Vereinbarung ein eigener Normverstoß (…)“).

Diese vorgenannten Voraussetzungen für die rechtskonforme Übermittlung geschützter Daten an Auftragsdatenverarbeiter wurden hier nicht beachtet. Dabei kann dahinstehen, ob die O. als Auftragsdatenverarbeiter oder - wie dies der Vortrag der Beklagten nahelegt - als Unterauftragsdatenverarbeiter der M. tätig wurde. Denn nach dem insoweit unstreitigen Sachverhalt liegt weder ein den Anforderungen des Art. 28 Abs. 3 DSGVO genügender Auftragsverarbeitungsvertrag zwischen der Beklagten und der O. vor - an welche aber dennoch die Daten herausgegeben wurden -, noch ein Unterauftragsverarbeitungsvertrag zwischen der O. und der M.. Auch auf entsprechenden Hinweis vom 8. Mai 2024 erfolgte hierzu kein weiterer Sachvortrag. Eine wirksame Übertragung von Datenschutzverpflichtungen auf die O. lag damit entgegen der Vorgaben der DSGVO zu keinem Zeitpunkt vor.

Dem kann die Beklagte auch nicht entgegenhalten, dass es „marktüblich und nicht zu beanstanden“ sei, „dass Verträge innerhalb eines Konzerns von der Muttergesellschaft (auch mit Wirkung für verbundene Unternehmen) abgeschlossen werden“. Dies überzeugt die Kammer nicht. Nach deutschem und europäischen Gesellschaftsrecht handelt es sich auch bei konzernverbundenen Gesellschaften grundsätzlich um rechtlich selbständige Rechtspersönlichkeiten. Eine automatische Verpflichtung der Konzerntochter durch einen Vertrag der Konzernmutter findet nicht statt, so dass auch vertragliche Datenschutzpflichten der Konzernmutter nicht ohne weiteres zugleich sämtliche Töchter verpflichten. Entsprechend nimmt es nicht Wunder, dass auch in der einschlägigen datenschutzrechtlichen Literatur betont wird, dass es sich bei konzernverbundenen Gesellschaften um getrennte Organisationen handelt und auch datenschutzrechtlich eine Privilegierung von Konzernen nicht stattfindet (vgl. Nickel: Alternativen der konzerninternen Auftragsverarbeitung, ZD 2021, 140).

ccc. Des Weiteren muss sich die Beklagte auch die bei O. selbst unstreitig geschehenen Verstöße gegen die DSGVO zurechnen lassen.

(1) Die Verarbeitung der Daten bei der O. erfolgte unter Außerachtlassung des nach der DSGVO erforderlichen Schutzniveaus, welches - im Wege der Vertragsgestaltung nach Art. 28 Abs. 3 und 4 - sicherzustellen die Beklagte verpflichtet war. Da die Beklagte es unterlassen hat, die entsprechenden Verträge zu schließen bzw. deren Abschluss durch die M. zu gewährleisten, sieht die Kammer insoweit die Beklagte zumindest in der sekundären Darlegungslast, dass dennoch und entgegen des entsprechenden Anscheins bei der O. durchgängig ein den Vorgaben der DSGVO hinreichendes Schutzniveau aufrechterhalten wurde. Dieser sekundären Darlegungslast ist die Beklagte schon deshalb nicht nachgekommen, da sie selbst vorträgt, dass Mitarbeiter der O. die streitgegenständlichen Daten weisungswidrig aus der hierfür vorgesehenen Produktivumgebung („production environment") entnommen und in eine vom Dienstleister außerhalb der Vertragsbeziehung mit der Beklagten betriebene Nicht-Produktivumgebung („non-production environment“) überführt hätten. Vortrag der Beklagten, dass in dieser vertragswidrigen Produktivumgebung dennoch alle maßgeblichen und erforderlichen Schutzvorkehrungen gewahrt wurden, findet sich nicht. Vielmehr geht auch die Beklagte davon aus, dass gerade diese Verschiebung der Daten in einen nicht hinreichend gesicherten Bereich ursächlich für den Datenschutzvorfall war.

(2) Diese Verstöße muss sich die Beklagte - entgegen der vorläufigen Einschätzung der Kammer in der Verhandlung am 22. Februar 2024 (vgl. hierzu auch den nachfolgenden Hinweis vom 8. Mai 2024) - zurechnen lassen. Der Begriff der Beteiligung an einer rechtswidrigen Datenverarbeitung nach der DSGVO geht insoweit deutlich weiter als von der Kammer zunächst angenommen. In der einschlägigen Literatur ist insoweit weitgehend Konsens, dass eine Beteiligung im Sinne der Verordnung nicht zwingend voraussetzt, dass der Verantwortliche selbst an dem letztlich schadensauslösenden Vorgang direkt mitgewirkt hat. Vielmehr genügt es grundsätzlich, wenn er im Sinne einer conditio sine qua non an der Vorgangsreihe beteiligt war, die letztlich die schädigende Handlung ermöglicht hat (Kühling/Buchner/Bergt, 4. Aufl. 2024, DS-GVO Art. 82 Rn. 22; Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 13, 14; Paal, MMR 2020, 14, 15; Spindler/Schuster/Spindler/Horváth, 4. Aufl. 2019, DS-GVO Art. 82 Rn. 9, 10; i.d.S. wohl auch: BeckOK DatenschutzR/Quaas, 47. Ed. 1.2.2024, DS-GVO Art. 82 Rn. 39-43). Hieraus folgt, dass selbst ein Verantwortlicher, der rechtmäßig Daten an einen Dritten weitergibt, an der weiteren, auch weisungswidrigen Verarbeitung dieser Daten durch den Dritten weiterhin „beteiligt“ im Sinne der Verordnung ist (Paal/Pauly/Frenzel, 3. Aufl. 2021, DS-GVO Art. 82 Rn. 13, 14). Vor diesem Hintergrund liegt hier eine Beteiligung der Beklagten im Rechtssinne an der Datenverarbeitung durch Mitarbeiter von O. vor. Denn die Beklagte hat jedenfalls durch die (zudem rechtswidrige) Herausgabe der Daten an O. eine conditio sine qua non für diese nachfolgende Verarbeitung gesetzt. Durch diese weite Zurechnung wird auch nicht die Haftung der Verantwortlichen überzogen. Eine Begrenzung der Haftung findet vielmehr nach der Konzeption des Art. 82 DSGVO nicht über den weiteren Begriff der „Beteiligung“, sondern über die Exkulpationsmöglichkeit des Art. 82 Abs. 3 DSGVO statt.

dd. Soweit nach den obigen Ausführungen haftungsbegründende und der Beklagten zuzurechnende Verletzungen der DSGVO vorliegen, sind diese auch von der Beklagten zu vertreten.

Dabei kann für das vorliegende Verfahren dahinstehen, ob Art. 82 DSGVO eine verschuldensunabhängige Haftung begründet (BAG, EuGH-Vorlage vom 26. August 2021 - 8 AZR 253/20 (A) -, juris Rn. 40), eine Gefährdungshaftung mit der bloßen Möglichkeit der rechtsvernichtenden Einwendung fehlenden Verschuldens (vgl. hierzu etwa BeckOK DatenschutzR/Quaas DS-GVO Art. 82 Rn. 17-22) oder ob mit der wohl h.M. angenommen werden kann, Art. 82 Abs. 3 DSGVO enthalte ein Verschuldenserfordernis im Sinne der gängigen deutschen Terminologie mit einer entsprechenden Vermutung zu Lasten des Normverletzers und einer bei dem Verpflichteten liegenden Beweislast, dass weder Vorsatz noch Fahrlässigkeit vorlag (vgl. etwa BeckOK DatenschutzR/Quaas DS-GVO Art. 82 Rn. 17-22; Ehmann/Selmayr/Nemitz, 2. Aufl. 2018, DS-GVO Art. 82 Rn. 14, 15; so wohl auch: Hans-Jürgen Schaffland; Gabriele Holthaus in: Schaffland/Wiltfang, Datenschutz-Grundverordnung (DS-GVO)/Bundesdatenschutzgesetz (BDSG), Artikel 82 Haftung und Recht auf Schadenersatz; EuArbRK/Franzen, 4. Aufl. 2022, EU (VO) 2016/679 Art. 82 Rn. 17, 18; Gola/Heckmann/Gola/Piltz, 3. Aufl. 2022, DS-GVO Art. 82 Rn. 24-26).

Den Volltext der Entscheidung finden Sie hier: