Zum Inhalt der Seite springen
DruckansichtSeite drucken
Kontaktformular
Kontaktformular
Rückruf anfordern
Rückruf anfordern
Support
Support
  1. Home
  2. Unternehmen
  3. Haftung zwischen Auftraggeber und Dienstleisters bei Verletzungen des Datenschutzes

Haftung zwischen Auftraggeber und Dienstleisters bei Verletzungen des Datenschutzes

Für alle datenschutzrechtlichen Belange ist grundsätzlich die Verantwortliche Stelle i.S.d. Art. 4 Nr. 7 DSGVO verantwortlich. Das bedeutet, dass die verantwortliche Stelle Maßnahmen zu treffen hat, die nach Ihrer Einschätzung für einen datenschutzkonformen Umgang notwendig sind. Werden Verarbeitungsvorgänge personenbezogener Daten ganz oder teilweise an externe Dienstleister ausgelagert, verbleibt der Auftraggeber grundsätzlich für die Verarbeitungen „seiner“ Daten verantwortlich.

Der Auftragsverarbeiter, also der externe Dienstleister, ist dabei das ausführende Organ. Er ist insofern zur Auskunft und Unterstützung verpflichtet, um dem Auftraggeber eine datenschutzkonforme Entscheidung über zu treffende Maßnahmen zu ermöglichen. Er ist zudem dazu verpflichtet, die Daten des Auftraggebers nach dessen Weisung zu behandeln und über Umstände, die sich in der Risikosphäre des Dienstleisters ereignen, zu informieren.

Grundsätzlich bedeutet dies, dass die verantwortliche Stelle einen nicht datenschutzkonformen Umgang zu vertreten hat und dementsprechend für Verstöße haftet, gleich bei wem oder wo die tatsächliche Verarbeitung stattfindet.

Dieser Grundsatz gilt allerdings nicht uneingeschränkt.

Innenverhältnis

Setzt sich der Dienstleister über Weisungen des Auftraggebers hinweg, löst dies im Innenverhältnis Haftungsansprüche gegen den Dienstleister aus.

Auch eine Verletzung der vorab aufgezeigten Pflichten des Dienstleisters begründet ggf. vertragliche Haftungsansprüche des Auftraggebers. Unterlässt es der Dienstleister beispielsweise, den Auftraggeber darauf aufmerksam zu machen, dass eine Datenverarbeitung möglicherweise gegen geltendes Datenschutzrecht verstößt, kann dies im Innenverhältnis Schadensersatzansprüche auslösen.

Bußgeld neben Anordnungen

Auch im Außenverhältnis kann der Dienstleister haftbar gemacht werden. Bezogen auf Maßnahmen der Datenschutzbehörden ist auch der Dienstleister eigenständig verpflichtet, Weisungen der Datenschutzbehörde nach Art. 58 DSGVO Folge zu leisten. Diese Anordnungen können auch gemäß Art. 58 Abs. 2 lit. i DSGVO alternativ oder parallel durch ein Bußgeld geahndet werden. Die grundsätzliche Verantwortlichkeit des Auftraggebers wird hierdurch ein Stück weit durchbrochen. Ausschlaggebend bei der Verhängung eines Bußgeldes ist nach Art. 83 Abs. 2 lit. d DSGVO der „Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters“. Um diesen Grad der Verantwortung auszutarieren, ist es dem Dienstleister angeraten, auf mögliche datenschutzrechtliche Verstöße hinzuweisen und eine ausdrückliche Weisung der verantwortlichen Stelle einholen, um nicht von der Datenschutzbehörde für den Verstoß zur Rechenschaft gezogen zu werden. Bereits die Unterlassung einer Mitteilung über mögliche datenschutzrechtliche Verstöße stellt eine nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrte Handlung dar (neben den möglichen zivilrechtlichen Ansprüchen im Innenverhältnis).

Inanspruchnahme durch Geschädigte

Neben der Inanspruchnahme durch die Aufsichtsbehörde können durch Verstöße gegen das Datenschutzrecht auch Schadensersatz und Unterlassungsansprüche auf Seiten von Betroffenen / Geschädigten ausgelöst werden. Durch eine Haftungsanordnung in Art. 82 Abs. 4 DSGVO entsteht letzten Endes auch eine gesamtschuldnerische Haftung gegenüber Geschädigten. Dem Geschädigten ist es unbenommen, seinen Haftungsgegner selbst zu wählen. Der Geschädigte kann sowohl den Verantwortlichen als auch den Auftragsverarbeiter in Anspruch nehmen. Unabhängig von möglichen Ausgleichsmöglichkeiten im Innenverhältnis untereinander entsteht durch diese Regelung zumindest das Prozess- und Ausfallrisiko auch auf Seiten des Dienstleisters.

Weitere Haftungserweiterung bei Datentransfers in Drittländer

Durch Wegfall des Privacy Shields zur Legitimation von Datenübermittlungen in die USA ergeben sich zusätzliche Haftungsfelder zwischen Verantwortlichen und Dienstleistern. Datenübermittlungen, die bislang auf den Privacy Shield gestützt waren, sind ohne Übergangsfrist nach dem Urteil des EuGH rechtswidrig und bußgeldbewehrt und durch Geschädigte verfolgbar, sofern nicht andere Maßnahmen zur Sicherstellung des Datenschutzes durch den Verantwortlichen getroffen werden. Als alternative Möglichkeit zur Herstellung eines adäquaten Datenschutz-Niveaus im nicht-europäischen Ausland bieten sich die vorab von der Europäischen Kommission genehmigten Standard-Vertragsklauseln (SVK) an.

Hierin enthalten ist in Klausel 6 (SVK bei Übermittlungen an einen Auftragsverarbeiter) eine umfassende Ausdehnung der Haftung auf Subdienstleister. Diese Haftungsübernahme durch den Subdienstleister besteht sogar verschuldensunabhängig. Einzige Voraussetzung ist der faktische Ausfall des erstrangig in Anspruch zu nehmenden Verantwortlichen.

Zusammenfassend

Nicht immer gilt der Grundsatz der Haftung der verantwortlichen Stelle. Zugunsten des Rechtsschutzes für Betroffene wurde die Haftung an vielen Stellen auch auf den Dienstleister ausgeweitet. Es liegt im Interesse aller Beteiligten, klare Verhältnisse zu schaffen. Insbesondere im Falle einer Änderung der Rechtslage sollten die Verantwortlichkeiten klar kommuniziert werden und Entscheidungen durch den Verantwortlichen herbei geführt werden, um mögliche Haftungsrisiken auf allen Seiten zu minimieren.

Nicole Krause

juristische Mitarbeiterin der GINDAT GmbH

Weitere Datenschutz-News

Für alle datenschutzrechtlichen Belange ist grundsätzlich die Verantwortliche Stelle i.S.d. Art. 4 Nr. 7 DSGVO verantwortlich. Das bedeutet, dass die...

Weiterlesen

Bezüglich der Vorratsdatenspeicherung orientiert sich die Bundesregierung nicht am Urteil des Europäischen Gerichtshofes (EuGH) und wird von Professor...

Weiterlesen

Die AfD stellte eine Anfrage in Bezug auf einen Beschluss des Bundesverfassungsgerichtes zum Thema Bestandsdatenauskunft. Hierbei wurde aufgeführt,...

Weiterlesen

rgi-Sitemap

Hinweis zu Cookies

Unsere Website verwendet Cookies. Einige davon sind technisch notwendig für die Funktionalität unserer Website und daher nicht zustimmungspflichtig. Darüber hinaus setzen wir Cookies, mit denen wir Statistiken über die Nutzung unserer Website führen. Hierzu werden anonymisierte Daten von Besuchern gesammelt und ausgewertet. Eine Weitergabe von Daten an Dritte findet ausdrücklich nicht statt.

Ihr Einverständnis in die Verwendung der Cookies können Sie jederzeit widerrufen. In unserer Datenschutzerklärung finden Sie weitere Informationen zu Cookies und Datenverarbeitung auf dieser Website. Beachten Sie auch unser Impressum.

Technisch notwendig

Diese Cookies sind für die einwandfreie Funktion der Website erforderlich und können daher nicht abgewählt werden. Sie zählen nicht zu den zustimmungspflichtigen Cookies nach der DSGVO.

NameZweckAblaufTypAnbieter
CookieConsent Speichert Ihre Einwilligung zur Verwendung von Cookies. 1 Jahr HTML Website
fe_typo_user Dieser Cookie wird gesetzt, wenn Sie sich im rgi-Kundenbereich anmelden. Er wird zudem durch einige Webformulare gesetzt, um Sessiondaten zu speichern. Session HTTP Website
PHPSESSID Kurzzeitiger Cookie, der von PHP zum zwischenzeitlichen Speichern von Daten benötigt wird. Session HTTP Website
__cfduid Wir verwenden eine "Content Security Policy", um die Sicherheit unserer Website zu verbessern. Bei potenziellen Verstößen gegen diese Policy wird ein anonymer Bericht an den Webservice report-uri.com gesendet. Dieser Webservice lässt über seinen Anbieter Cloudflare diesen Cookie setzen, um vertrauenswürdigen Web-Traffic zu identifizieren. Der Cookie wird nur kurzzeitig im Falle einer Bericht-Übermittlung auf der aktuellen Webseite gesetzt. 30 Tage/ Session HTTP Cloudflare/ report-uri.com
Statistiken

Mit Hilfe dieser Statistik-Cookies prüfen wir, wie Besucher mit unserer Website interagieren. Die Informationen werden anonymisiert gesammelt.

NameZweckAblaufTypAnbieter
_pk_id Wird verwendet, um ein paar Details über den Benutzer wie die eindeutige Besucher-ID zu speichern. 13 Monate HTML Matomo
_pk_ref Wird verwendet, um die Informationen der Herkunftswebsite des Benutzers zu speichern. 6 Monate HTML Matomo
_pk_ses Kurzzeitiger Cookie, um vorübergehende Daten des Besuchs zu speichern. 30 Minuten HTML Matomo
_pk_cvar Kurzzeitiger Cookie, um vorübergehende Daten des Besuchs zu speichern. 30 Minuten HTML Matomo
MATOMO_SESSID Kurzzeitiger Cookie, der bei Verwendung des Matomo Opt-Out gesetzt wird. Session HTTP Matomo
_pk_testcookie Kurzzeitiger Cookie der prüft, ob der Browser Cookies akzeptiert. Session HTML Matomo
_ga Wird verwendet, um Benutzer zu unterscheiden. 2 Jahre HTML Google
_gid Wird verwendet, um Benutzer zu unterscheiden. 1 Tag HTML Google
_gat Kurzzeitiges Cookie, der zum Drosseln der Anfragerate verwendet wird. 1 Minute HTML Google