1. Home
  2. News
  3. Haftung zwischen Auftraggeber und Dienstleisters bei Verletzungen des Datenschutzes
  • Infobriefe 01/2021

Haftung zwischen Auftraggeber und Dienstleisters bei Verletzungen des Datenschutzes

Für alle datenschutzrechtlichen Belange ist grundsätzlich die Verantwortliche Stelle i.S.d. Art. 4 Nr. 7 DSGVO verantwortlich. Das bedeutet, dass die verantwortliche Stelle Maßnahmen zu treffen hat, die nach Ihrer Einschätzung für einen datenschutzkonformen Umgang notwendig sind. Werden Verarbeitungsvorgänge personenbezogener Daten ganz oder teilweise an externe Dienstleister ausgelagert, verbleibt der Auftraggeber grundsätzlich für die Verarbeitungen „seiner“ Daten verantwortlich.

Der Auftragsverarbeiter, also der externe Dienstleister, ist dabei das ausführende Organ. Er ist insofern zur Auskunft und Unterstützung verpflichtet, um dem Auftraggeber eine datenschutzkonforme Entscheidung über zu treffende Maßnahmen zu ermöglichen. Er ist zudem dazu verpflichtet, die Daten des Auftraggebers nach dessen Weisung zu behandeln und über Umstände, die sich in der Risikosphäre des Dienstleisters ereignen, zu informieren.

Grundsätzlich bedeutet dies, dass die verantwortliche Stelle einen nicht datenschutzkonformen Umgang zu vertreten hat und dementsprechend für Verstöße haftet, gleich bei wem oder wo die tatsächliche Verarbeitung stattfindet.

Dieser Grundsatz gilt allerdings nicht uneingeschränkt.

Innenverhältnis

Setzt sich der Dienstleister über Weisungen des Auftraggebers hinweg, löst dies im Innenverhältnis Haftungsansprüche gegen den Dienstleister aus.

Auch eine Verletzung der vorab aufgezeigten Pflichten des Dienstleisters begründet ggf. vertragliche Haftungsansprüche des Auftraggebers. Unterlässt es der Dienstleister beispielsweise, den Auftraggeber darauf aufmerksam zu machen, dass eine Datenverarbeitung möglicherweise gegen geltendes Datenschutzrecht verstößt, kann dies im Innenverhältnis Schadensersatzansprüche auslösen.

Bußgeld neben Anordnungen

Auch im Außenverhältnis kann der Dienstleister haftbar gemacht werden. Bezogen auf Maßnahmen der Datenschutzbehörden ist auch der Dienstleister eigenständig verpflichtet, Weisungen der Datenschutzbehörde nach Art. 58 DSGVO Folge zu leisten. Diese Anordnungen können auch gemäß Art. 58 Abs. 2 lit. i DSGVO alternativ oder parallel durch ein Bußgeld geahndet werden. Die grundsätzliche Verantwortlichkeit des Auftraggebers wird hierdurch ein Stück weit durchbrochen. Ausschlaggebend bei der Verhängung eines Bußgeldes ist nach Art. 83 Abs. 2 lit. d DSGVO der „Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters“. Um diesen Grad der Verantwortung auszutarieren, ist es dem Dienstleister angeraten, auf mögliche datenschutzrechtliche Verstöße hinzuweisen und eine ausdrückliche Weisung der verantwortlichen Stelle einholen, um nicht von der Datenschutzbehörde für den Verstoß zur Rechenschaft gezogen zu werden. Bereits die Unterlassung einer Mitteilung über mögliche datenschutzrechtliche Verstöße stellt eine nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrte Handlung dar (neben den möglichen zivilrechtlichen Ansprüchen im Innenverhältnis).

Inanspruchnahme durch Geschädigte

Neben der Inanspruchnahme durch die Aufsichtsbehörde können durch Verstöße gegen das Datenschutzrecht auch Schadensersatz und Unterlassungsansprüche auf Seiten von Betroffenen / Geschädigten ausgelöst werden. Durch eine Haftungsanordnung in Art. 82 Abs. 4 DSGVO entsteht letzten Endes auch eine gesamtschuldnerische Haftung gegenüber Geschädigten. Dem Geschädigten ist es unbenommen, seinen Haftungsgegner selbst zu wählen. Der Geschädigte kann sowohl den Verantwortlichen als auch den Auftragsverarbeiter in Anspruch nehmen. Unabhängig von möglichen Ausgleichsmöglichkeiten im Innenverhältnis untereinander entsteht durch diese Regelung zumindest das Prozess- und Ausfallrisiko auch auf Seiten des Dienstleisters.

Weitere Haftungserweiterung bei Datentransfers in Drittländer

Durch Wegfall des Privacy Shields zur Legitimation von Datenübermittlungen in die USA ergeben sich zusätzliche Haftungsfelder zwischen Verantwortlichen und Dienstleistern. Datenübermittlungen, die bislang auf den Privacy Shield gestützt waren, sind ohne Übergangsfrist nach dem Urteil des EuGH rechtswidrig und bußgeldbewehrt und durch Geschädigte verfolgbar, sofern nicht andere Maßnahmen zur Sicherstellung des Datenschutzes durch den Verantwortlichen getroffen werden. Als alternative Möglichkeit zur Herstellung eines adäquaten Datenschutz-Niveaus im nicht-europäischen Ausland bieten sich die vorab von der Europäischen Kommission genehmigten Standard-Vertragsklauseln (SVK) an.

Hierin enthalten ist in Klausel 6 (SVK bei Übermittlungen an einen Auftragsverarbeiter) eine umfassende Ausdehnung der Haftung auf Subdienstleister. Diese Haftungsübernahme durch den Subdienstleister besteht sogar verschuldensunabhängig. Einzige Voraussetzung ist der faktische Ausfall des erstrangig in Anspruch zu nehmenden Verantwortlichen.

Zusammenfassend

Nicht immer gilt der Grundsatz der Haftung der verantwortlichen Stelle. Zugunsten des Rechtsschutzes für Betroffene wurde die Haftung an vielen Stellen auch auf den Dienstleister ausgeweitet. Es liegt im Interesse aller Beteiligten, klare Verhältnisse zu schaffen. Insbesondere im Falle einer Änderung der Rechtslage sollten die Verantwortlichkeiten klar kommuniziert werden und Entscheidungen durch den Verantwortlichen herbei geführt werden, um mögliche Haftungsrisiken auf allen Seiten zu minimieren.

Nicole Krause

juristische Mitarbeiterin der GINDAT GmbH

About Cookies

This website uses cookies. Those have two functions: On the one hand they are providing basic functionality for this website. On the other hand they allow us to improve our content for you by saving and analyzing anonymized user data. You can redraw your consent to to using these cookies at any time. Find more information regarding cookies on our Data Protection Declaration and regarding us on the Imprint.
Mandatory

These cookies are needed for a smooth operation of our website.

Name Purpose Lifetime Type Provider
CookieConsent Saves your consent to using cookies. 1 year HTML Website
fe_typo_user Assigns your browser to a session on the server. session HTTP Website
PHPSESSID Temporary cookies which is required by PHP to temporarily store data. session HTTP Website
__cfduid missing translation: trackingobject.__cfduid.desc 30 missing translation: duration.days-session HTTP Cloudflare/ report-uri.com
Statistics

With the help of these statistics cookies we check how visitors interact with our website. The information is collected anonymously.

Name Purpose Lifetime Type Provider
_pk_id Used to store a few details about the user such as the unique visitor ID. 13 months HTML Matomo
_pk_ref Used to store the attribution information, the referrer initially used to visit the website. 6 months HTML Matomo
_pk_ses Short lived cookie used to temporarily store data for the visit. 30 minutes HTML Matomo
_pk_cvar Short lived cookie used to temporarily store data for the visit. 30 minutes HTML Matomo
MATOMO_SESSID Temporary cookies which is set when the Matomo Out-out is used. session HTTP Matomo
_pk_testcookie missing translation: trackingobject._pk_testcookie.desc session HTML Matomo