Datenweitergabe an Dienstleister – BGH konkretisiert Löschungspflichten bei Auftragsverarbeitern

Was tun, wenn der Dienstleister am Ende des Vertrags Daten nicht löscht – und diese später im Darknet auftauchen?

Mit Urteil vom 11.11.2025 (Az. VI ZR 396/24) hat der Bundesgerichtshof (BGH) ein Thema aufgegriffen, das in vielen Unternehmen unterschätzt wird: die Pflichten des Verantwortlichen beim Ende einer Auftragsverarbeitung nach Art. 28 DSGVO. Die Richter haben klargestellt: Wer personenbezogene Daten an einen Dienstleister übermittelt, bleibt auch nach Vertragsende in der Verantwortung – und haftet für Folgen unzureichender Löschung.

Hintergrund: Kundendaten im Darknet – Jahre nach Vertragsende

Was war passiert? Ein französischer Musikstreaming-Dienst (bekannt als Deezer) hatte im Jahr 2019 einen Vertrag mit einem externen IT-Dienstleister beendet. Dieser versprach per E-Mail die Löschung aller Daten – doch eine ausdrückliche Bestätigung blieb aus. Jahre später tauchten genau diese Daten im Darknet auf: Namen, E-Mail-Adressen und weitere Basisdaten von Nutzern, darunter auch vom Kläger. Die Daten waren offenbar nicht gelöscht, sondern in eine Testumgebung verschoben worden – von dort wurden sie entweder gehackt oder unbefugt weitergegeben.

Kern des Urteils: DSGVO-Verstoß durch fehlende Kontrolle

Der BGH urteilte eindeutig:
Allein die Ankündigung einer Löschung reicht nicht aus. Der Verantwortliche – hier der Streaminganbieter – hätte die tatsächliche Löschung nachprüfbar bestätigen lassen müssen. Dass dies nicht geschah, war ein klarer Verstoß gegen die datenschutzrechtliche Rechenschaftspflicht und den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Und:

„Der Verantwortliche bleibt Herr der Daten – auch nach Vertragsende.“

Haftung trotz Fremdverschulden

Spannend für Unternehmen: Der BGH lehnte es ab, die Verantwortung allein auf den Dienstleister zu schieben. Selbst wenn der Auftragsverarbeiter (hier: der IT-Dienstleister) gegen den Vertrag verstoße oder gehackt werde, haftet das Unternehmen, wenn es seinen Kontrollpflichten nicht ausreichend nachkommt.

Die Richter stellten klar:

• Eine vertraglich vereinbarte Löschungspflicht genügt nicht.

• Der Verantwortliche muss konkret prüfen, ob der Dienstleister seiner Pflicht zur Löschung auch nachweislich nachgekommen ist.

• Erfolgt diese Prüfung nicht rechtzeitig, liegt ein eigener Verstoß gegen die DSGVO vor.

Schadensersatz bei Kontrollverlust – jetzt mit niedriger Schwelle

Der BGH schloss sich zudem der Linie des Europäischen Gerichtshofs (EuGH) an:
Schon der Kontrollverlust über personenbezogene Daten kann einen immateriellen Schaden darstellen, der nach Art. 82 DSGVO ersatzpflichtig ist – auch ohne nachweisbaren Missbrauch.

Im konkreten Fall kam es sogar zu einem missbräuchlichen Angebot der Daten im Darknet, was den Schadensersatzanspruch zusätzlich stützte. Der BGH kritisierte die Vorinstanz, die den Schaden mit dem Hinweis auf „normale Alltagssorgen“ verneinen wollte. Das sei mit der DSGVO nicht vereinbar.

Praxisfolgen: Diese fünf Punkte sollten Unternehmen jetzt beachten

1. Löschung aktiv nachhalten:
   Holen Sie sich bei Vertragsende eine schriftliche Bestätigung der vollständigen Datenlöschung – inklusive Kopien und Backups.

2. Vertragliche Pflichten sind nicht genug:
   Auch mit guten AV-Verträgen bleibt eine aktive Kontrolle erforderlich.

3. Dokumentation sichern:
   Speichern Sie alle Nachweise zur Datenlöschung und Kommunikation mit dem Dienstleister revisionssicher.

4. IT- und Datenschutzabteilungen sensibilisieren:
   Die DSGVO verlangt ein konkretes Risikobewusstsein, insbesondere beim Wechsel oder der Abberufung von Dienstleistern.

5. Haftung minimieren:
   Wer Auftragsverarbeiter ohne Kontrolle gewähren lässt, riskiert Schadensersatzklagen – auch Jahre nach dem Vorfall.

 

Fazit: DSGVO endet nicht mit dem Vertrag

Die Entscheidung zeigt eindrucksvoll: Unternehmen haften nicht nur für eigene Datenpannen, sondern auch für die fehlende Kontrolle Dritter. Die DSGVO verlangt mehr als Vertrauen – sie fordert verantwortliches Handeln und konkrete Nachweise.

Das Urteil des BGH stärkt die Rechte der Betroffenen – und mahnt Verantwortliche zur datenschutzrechtlichen Sorgfalt bis zum letzten Schritt.