Neues BGH-Urteil verschärft die Anforderungen an Verantwortliche nach der DSGVO
Viele Unternehmen verlassen sich darauf, dass ihre Auftragsverarbeiter personenbezogene Daten nach Vertragsende ordnungsgemäß löschen. Schließlich enthalten Auftragsverarbeitungsverträge regelmäßig entsprechende Verpflichtungen.
Mit Urteil vom 11. November 2025 (Az. VI ZR 396/24) hat der Bundesgerichtshof jedoch klargestellt, dass dies allein nicht genügt. Verantwortliche Unternehmen müssen aktiv dafür sorgen, dass personenbezogene Daten nach Beendigung einer Auftragsverarbeitung tatsächlich gelöscht oder zurückgegeben werden. Andernfalls drohen Schadensersatzansprüche nach Art. 82 DSGVO.
Die Entscheidung dürfte erhebliche Auswirkungen auf das Datenschutzmanagement vieler Unternehmen haben.
Worum ging es im Verfahren?
Geklagt hatte ein Nutzer eines Musikstreaming-Dienstes gegen den Betreiber der Plattform.
Der Anbieter hatte einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt. Das Auftragsverarbeitungsverhältnis endete Ende 2019. Der Dienstleister kündigte per E-Mail an, die gespeicherten Daten am Folgetag zu löschen.
Eine tatsächliche Bestätigung der vollständigen Löschung erfolgte jedoch nicht.
Erst Jahre später wurde bekannt, dass personenbezogene Daten von Nutzern im Darknet zum Verkauf angeboten wurden. Die Datensätze stammten aus dem Jahr 2019 und waren entgegen der vertraglichen Vereinbarung nicht gelöscht worden. Stattdessen befanden sie sich weiterhin in einer Testumgebung des ehemaligen Auftragsverarbeiters. Dort wurden sie entweder durch Hacker erbeutet oder von Mitarbeitern unbefugt weitergegeben.
Der betroffene Nutzer verlangte daraufhin unter anderem immateriellen Schadensersatz nach Art. 82 DSGVO.
Der BGH: Die Verantwortung endet nicht mit dem Vertrag
Die zentrale Aussage des Urteils betrifft die Pflichten des Verantwortlichen nach Beendigung einer Auftragsverarbeitung.
Der BGH stellt klar, dass ein Verantwortlicher auch nach Vertragsende weiterhin für den Schutz personenbezogener Daten verantwortlich bleibt. Es reicht nicht aus, lediglich vertragliche Löschpflichten zu vereinbaren. Vielmehr muss der Verantwortliche aktiv dazu beitragen, dass die Löschung oder Rückgabe der Daten tatsächlich erfolgt.
Nach Auffassung des Gerichts ergibt sich diese Pflicht insbesondere aus:
- dem Grundsatz der Datenminimierung,
- dem Grundsatz der Speicherbegrenzung,
- der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO,
- sowie den Anforderungen an technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
Löschklauseln allein reichen nicht aus
Besonders praxisrelevant ist die Aussage des BGH, dass sich Unternehmen nicht darauf beschränken dürfen, entsprechende Regelungen in den Auftragsverarbeitungsvertrag aufzunehmen.
Das Gericht betont ausdrücklich, dass Verantwortliche nach Ende des Vertragsverhältnisses prüfen müssen, ob die vereinbarte Löschung tatsächlich durchgeführt wurde.
Im konkreten Fall hätte das Unternehmen die vertraglich geschuldete Löschbestätigung einfordern müssen. Die bloße Ankündigung einer Löschung genügte nicht.
Die Nachfrage erst mehrere Jahre später bewertete der BGH als eindeutig verspätet.
Für die Praxis bedeutet dies:
Wer Auftragsverarbeiter einsetzt, sollte den Löschprozess dokumentieren und sich die tatsächliche Durchführung nachweisen lassen.
Auftragsverarbeiter bleiben der „verlängerte Arm“ des Unternehmens
Der BGH betont erneut einen Grundsatz der DSGVO:
Der Verantwortliche bleibt auch dann „Herr der Verarbeitung“, wenn die Datenverarbeitung an einen externen Dienstleister ausgelagert wird. Der Auftragsverarbeiter handelt lediglich als verlängerter Arm des Verantwortlichen.
Die datenschutzrechtliche Verantwortung verschwindet daher nicht durch Outsourcing.
Unternehmen können sich insbesondere nicht darauf berufen, dass ein Dienstleister eigenmächtig oder vertragswidrig gehandelt habe, wenn sie selbst ihre Kontrollpflichten verletzt haben.
Daten im Darknet: Bereits der Kontrollverlust kann ein Schaden sein
Neben den Pflichten des Verantwortlichen enthält das Urteil auch wichtige Aussagen zum Schadensersatz nach Art. 82 DSGVO.
Der BGH knüpft dabei an die Rechtsprechung des Europäischen Gerichtshofs an und stellt klar:
Bereits der Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden darstellen.
Im vorliegenden Fall kam hinzu, dass die Daten tatsächlich im Darknet veröffentlicht und dort zum Verkauf angeboten wurden.
Nach Auffassung des Gerichts liegt spätestens darin eine missbräuchliche Verwendung personenbezogener Daten und damit ein ersatzfähiger immaterieller Schaden.
Sorgen vor Missbrauch können Schadensersatz begründen
Besonders bemerkenswert ist eine weitere Aussage des BGH.
Die Befürchtung eines Betroffenen, seine Daten könnten nach einer Veröffentlichung im Darknet für Spam, Phishing oder Identitätsdiebstahl missbraucht werden, kann selbst einen immateriellen Schaden darstellen. Voraussetzung ist, dass diese Sorge nachvollziehbar und objektiv begründet ist.
Das Gericht macht deutlich, dass die Anforderungen an den Nachweis solcher Befürchtungen nicht überspannt werden dürfen.
Insbesondere dürfe nicht verlangt werden, dass Betroffene bereits konkrete finanzielle Schäden nachweisen können.
Welche Folgen hat das Urteil für Unternehmen?
Die Entscheidung dürfte für viele Unternehmen Anlass sein, bestehende Prozesse im Umgang mit Auftragsverarbeitern zu überprüfen.
Besondere Aufmerksamkeit verdienen künftig:
- Dokumentation von Löschprozessen
- Nachweise über die tatsächliche Datenlöschung
- Kontrollmechanismen bei Vertragsende
- Exit-Prozesse für Cloud-Anbieter
- Regelmäßige Audits von Auftragsverarbeitern
- Überprüfung bestehender Auftragsverarbeitungsverträge
Unternehmen sollten sicherstellen, dass sie jederzeit nachweisen können, welche Maßnahmen sie zur Kontrolle der Datenlöschung getroffen haben.
Fazit
Mit seinem Urteil vom 11. November 2025 stärkt der Bundesgerichtshof die Rechenschaftspflichten von Verantwortlichen deutlich. Wer personenbezogene Daten an einen Auftragsverarbeiter übermittelt, bleibt auch nach Vertragsende verantwortlich und muss aktiv kontrollieren, dass Daten tatsächlich gelöscht oder zurückgegeben werden.
Gleichzeitig bestätigt der BGH die zunehmend betroffenenfreundliche Rechtsprechung zum immateriellen Schadensersatz nach Art. 82 DSGVO. Bereits der Verlust der Kontrolle über personenbezogene Daten sowie nachvollziehbare Sorgen vor einem Missbrauch können einen ersatzfähigen Schaden darstellen.
Unternehmen sollten daher ihre Prozesse zur Auswahl, Überwachung und Beendigung von Auftragsverhältnissen kritisch überprüfen. Wir unterstützen Sie gern bei der rechtssicheren Gestaltung von Auftragsverarbeitungsverträgen, Löschkonzepten, Kontrollprozessen und Datenschutz-Management-Systemen.