OLG Brandenburg, Urteil v. 02.03.2026, Az. 1 U 1/24
Kurzzusammenfassung
Ein Unternehmen haftet nicht automatisch nach Art. 82 DSGVO, wenn Kundendaten durch einen Mitarbeiter eines eingesetzten Dienstleisters entwendet oder infolge einer fehlerhaft konfigurierten Schnittstelle von Hackern abgegriffen werden. Das OLG Brandenburg bestätigt zwar, dass bereits der unbefugte Zugriff bzw. die unbefugte Offenlegung personenbezogener Daten einen Verstoß gegen die DSGVO darstellen kann. Für einen Schadensersatzanspruch nach Art. 82 DSGVO kommt es aber zusätzlich darauf an, ob sich der Verantwortliche nach Art. 82 Abs. 3 DSGVO entlasten kann. Hierzu muss er nachweisen, dass er in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist. Im entschiedenen Fall gelang diese Entlastung. Das Unternehmen hatte nach Auffassung des Gerichts seine Dienstleister sorgfältig ausgewählt und im Hinblick auf das konkrete Risiko ausreichende technische und organisatorische Maßnahmen getroffen. Besonders praxisrelevant ist zudem die Differenzierung zwischen einem Auftragsverarbeiter und einem lediglich mit technischen Arbeiten beauftragten Dienstleister.
Worum ging es?
Die beklagte französische Anbieterin vertrieb Hardware-Wallets für Kryptowährungen über einen Onlineshop. Die technische Infrastruktur des Shops wurde von einem externen E-Commerce-Dienstleister bereitgestellt. Kundendaten wurden dort gespeichert und waren für Supportmitarbeiter zugänglich. Zusätzlich bestand eine Verbindung zu einer Marketingplattform. Der Datentransfer zwischen den Systemen erfolgte über eine API-Schnittstelle, deren Konfiguration wiederum eine spezialisierte Online-Agentur übernommen hatte. Im Jahr 2020 kam es zu zwei Sicherheitsvorfällen. In einem Fall missbrauchte ein Supportmitarbeiter des E-Commerce-Dienstleisters seine Zugriffsberechtigung und exportierte Kundendaten. Im zweiten Fall nutzten Hacker eine fehlerhafte Konfiguration der API-Schnittstelle aus. Die hierbei erlangten Daten wurden anschließend im Internet veröffentlicht. Betroffen waren auch Name und Kontaktdaten des Klägers. Der Kläger verlangte zuletzt 1.500 Euro Schadensersatz sowie die Feststellung, dass die Beklagte für künftige materielle Schäden einzustehen habe. Das Landgericht Frankfurt (Oder) wies die Klage ab. Auch die Berufung vor dem OLG Brandenburg blieb ohne Erfolg.
Entscheidungsgründe
Zunächst stellt das OLG klar, dass eine Datenschutzverletzung vorlag. Für einen Verstoß im Sinne von Art. 82 Abs. 1 DSGVO genügt insoweit die unbefugte Offenlegung personenbezogener Daten oder der unbefugte Zugang zu diesen. Dies war sowohl beim Datenmissbrauch durch den Supportmitarbeiter als auch beim Hackerangriff über die API-Schnittstelle der Fall.
Entscheidend war jedoch Art. 82 Abs. 3 DSGVO. Danach kann sich der Verantwortliche von der Haftung befreien, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist. Das OLG orientiert die Prüfung dabei insbesondere an Art. 24 und Art. 32 DSGVO. Die technischen und organisatorischen Maßnahmen müssen anhand der konkreten Risiken der Verarbeitung beurteilt werden. Zu berücksichtigen sind unter anderem Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Dass es tatsächlich zu einem unbefugten Zugriff gekommen ist, beweist für sich genommen noch nicht, dass die Sicherheitsmaßnahmen unzureichend waren.
Mitarbeiterexzess beim Dienstleister
Beim ersten Vorfall hatte ein Mitarbeiter des E-Commerce-Dienstleisters seine legitime Zugriffsberechtigung für eigene Zwecke missbraucht. Die Beklagte durfte sich nach Auffassung des Gerichts grundsätzlich eines selbstständigen Dienstleisters für ihren Onlineshop bedienen. Bei der Auswahl hatte sie mit einem Marktführer für Online-Shop-Systeme zusammengearbeitet, der sich zudem vertraglich zur Einhaltung der DSGVO verpflichtet hatte. Die Supportmitarbeiter des Dienstleisters wurden unter anderem hinsichtlich ihrer Qualifikation, früherer Tätigkeiten und ihres Führungszeugnisses überprüft. Weitergehende Maßnahmen verlangte das Gericht nicht. Insbesondere hielt es ein durchgängiges Vier-Augen-Prinzip oder eine Freigabe jedes Datenzugriffs durch Vorgesetzte im Kundensupport für unverhältnismäßig.
Bemerkenswert ist die Aussage zum sogenannten Mitarbeiterexzess: Missbraucht ein sorgfältig ausgewählter Mitarbeiter seine Berechtigungen für eigene Zwecke, lässt sich ein solches kriminelles Verhalten nach Auffassung des OLG nicht vollständig verhindern. In einer solchen Situation kann der Mitarbeiter vielmehr selbst zum datenschutzrechtlich Verantwortlichen werden.
Fehlerhafte API-Schnittstelle
Auch hinsichtlich des Hackerangriffs über die fehlerhaft konfigurierte API-Schnittstelle verneinte das Gericht eine Haftung. Hier kommt eine für die Praxis wichtige Abgrenzung ins Spiel: Das Unternehmen, das die Schnittstelle eingerichtet hatte, war nach den Feststellungen des OLG kein Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Während der Implementierungsarbeiten befanden sich nach dem maßgeblichen Vortrag keine echten Kundendaten in der Datenbank. Allein die technische Tätigkeit machte die Agentur daher nicht zum Auftragsverarbeiter. Ein etwaiges Verschulden dieser Agentur musste sich die Beklagte deshalb nicht als Verschulden eines Auftragsverarbeiters zurechnen lassen. Auch ein eigenes Auswahlverschulden sah das OLG nicht. Die Agentur war von dem eingesetzten E-Commerce-Anbieter als besonders erfahrener Partner empfohlen worden. Ohne konkrete Anhaltspunkte für Zweifel an ihrer Zuverlässigkeit musste die Beklagte nach Auffassung des Gerichts keine weiteren Erkundigungen einholen und insbesondere nicht zusätzlich untersuchen, ob die Agentur nach bestimmten Sicherheitsstandards zertifiziert war. Ob zusätzliche Penetrationstests oder ein Bug-Bounty-Programm geeignet gewesen wären, den Fehler der API-Schnittstelle zu erkennen, ließ das Gericht deshalb offen.
Anmerkungen zum Urteil
Das Urteil ist für Unternehmen vor allem deshalb interessant, weil es einer häufig anzutreffenden Gleichsetzung von Datenpanne und Haftung eine Absage erteilt. Ein erfolgreicher Cyberangriff oder Datenmissbrauch beweist nicht automatisch, dass die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO unzureichend waren. Das OLG folgt damit ausdrücklich der Rechtsprechung des EuGH, wonach der Verantwortliche die Möglichkeit haben muss nachzuweisen, dass seine Maßnahmen trotz des eingetretenen Vorfalls angemessen waren.
Für Unternehmen besonders bedeutsam ist außerdem die sehr differenzierte Betrachtung externer Dienstleister. Nicht jedes Unternehmen, das an einem IT-System arbeitet und theoretisch Zugriffsmöglichkeiten auf Daten haben könnte, ist allein deshalb Auftragsverarbeiter. Entscheidend ist die konkrete Tätigkeit und insbesondere, ob tatsächlich personenbezogene Daten im Auftrag verarbeitet werden.
Interessant ist außerdem die Bewertung der Auswahlpflichten. Das Urteil spricht dagegen, von Unternehmen eine praktisch grenzenlose Überprüfung ihrer IT-Dienstleister zu verlangen. Wer einen am Markt etablierten und fachlich ausgewiesenen Dienstleister auswählt, darf dessen Qualifikation grundsätzlich berücksichtigen. Zusätzliche Nachforschungen werden jedenfalls ohne konkrete Anhaltspunkte für Sicherheitsdefizite nicht grenzenlos verlangt. Dies darf allerdings nicht als Freibrief für ein bloßes Vertrauen auf den guten Namen eines Dienstleisters verstanden werden. Das OLG entscheidet ausdrücklich anhand der Umstände des konkreten Falls. Die Anforderungen an Art. 32 DSGVO sind risikobasiert. Bei sensibleren Daten oder einer Verarbeitung mit höherem Schadenspotenzial kann daher ein wesentlich höheres Schutzniveau erforderlich sein. Das OLG hat keine Revision zugelassen, es sah weder eine grundsätzliche Bedeutung noch einen Bedarf zur Fortbildung des Rechts oder zur Sicherung einer einheitlichen Rechtsprechung.
Gibt es hier Handlungsbedarf?
Für Unternehmen, die IT-, Cloud-, E-Commerce-, Marketing- oder sonstige externe Dienstleister einsetzen, lassen sich aus der Entscheidung einige praktische Punkte ableiten:
- Rollen der Dienstleister prüfen: Es sollte dokumentiert werden, ob ein Dienstleister Auftragsverarbeiter nach Art. 28 DSGVO, eigener Verantwortlicher oder lediglich technischer Dienstleister ohne Verarbeitung personenbezogener Daten ist.
- Dienstleisterauswahl dokumentieren: Fachliche Qualifikation, Marktstellung, Referenzen, Zertifizierungen und sonstige Auswahlkriterien sollten nachvollziehbar festgehalten werden.
- Technische und organisatorische Maßnahmen risikobasiert festlegen: Art und Sensibilität der Daten sowie die konkreten Angriffsmöglichkeiten sind bei der Festlegung des Sicherheitsniveaus zu berücksichtigen.
- Berechtigungskonzepte überprüfen: Gerade Support-, Administrations- und sonstige privilegierte Zugänge sollten auf ihre Erforderlichkeit und Absicherung geprüft werden.
- Schnittstellen gesondert betrachten: APIs stellen häufig einen eigenen Angriffsvektor dar. Verantwortlichkeiten für Einrichtung, Konfiguration, Änderungen und Sicherheitsprüfungen sollten eindeutig festgelegt werden.
- Auftragsverarbeiter nicht nur vertraglich einbinden: Soweit Art. 28 DSGVO einschlägig ist, sollten Auswahl und laufende Kontrolle des Auftragsverarbeiters nachvollziehbar organisiert werden.
- Nachweise aufbewahren: Das Urteil zeigt die Bedeutung der Exkulpation nach Art. 82 Abs. 3 DSGVO. Unternehmen sollten deshalb nicht nur angemessene Maßnahmen treffen, sondern auch in der Lage sein, diese später nachzuweisen.
- Prozess für Datenschutzvorfälle vorhalten: Trotz angemessener Sicherheitsmaßnahmen können Datenpannen auftreten. Melde-, Eskalations- und Dokumentationsprozesse nach Art. 33 und 34 DSGVO sollten daher bereits vor einem Vorfall feststehen.
Gerade der letzte Punkt ist wichtig: Das OLG-Urteil zeigt, dass eine gute und dokumentierte Datenschutzorganisation nicht zwingend jeden Sicherheitsvorfall verhindern kann. Sie kann aber entscheidend dafür sein, ob ein Unternehmen anschließend für dessen Folgen haftet.
Unsere Kanzlei steht Ihnen gerne bei Fragen zur datenschutzrechtlichen Einbindung und Kontrolle von IT-Dienstleistern, zur Gestaltung von Auftragsverarbeitungsverträgen sowie zur Prüfung und Dokumentation technischer und organisatorischer Maßnahmen zur Verfügung.
Ebenfalls für diese Fragen könnte interessant sein:
Warum Unternehmen ihre Auftragsverarbeiter regelmäßig auditieren sollten – Der Beitrag behandelt unmittelbar die Auswahl- und Kontrollpflichten beim Einsatz externer Auftragsverarbeiter nach Art. 28 DSGVO und ergänzt damit die Aussagen des OLG Brandenburg zur Dienstleisterkontrolle.
Formular zur Erfassung und Bewertung von Datenpannen – Eine praktische Arbeitshilfe zur internen Erfassung, Risikobewertung und Dokumentation von Datenschutzvorfällen nach Art. 33 und 34 DSGVO.
