Die Entscheidung im Überblick

Die Beklagte, eine in Frankreich ansässige Herstellerin elektronischer Geldbörsen für Kryptowährungen, betreibt einen Onlineshop auf Basis einer fremden E-Commerce-Plattform. Beim Verkauf erhebt sie Namen, E-Mail-Adresse, Telefonnummer und Postanschrift ihrer Kunden; gespeichert werden diese Daten in der Datenbank der Plattform, auf die deren Support-Mitarbeiter zugreifen können. Daneben unterhält die Beklagte eine Vertragsbeziehung zu einem Marketingdienstleister, dessen Datenbank sich über eine API-Schnittstelle aus dem Shop-Bestand speist; die Konfiguration dieser Schnittstelle hatte eine spezialisierte Online-Agentur unter Aufsicht eines weiteren E-Commerce-Spezialisten vorgenommen. Im Jahr 2020 gelangten Kundendaten in zwei getrennten Vorfällen an Unbefugte: Zunächst nutzte ein Support-Mitarbeiter der Plattform seinen regulären Zugang, um Datensätze von mehr als zweihundert Kunden — darunter die des Klägers — für eigene Zwecke zu exportieren und weiterzugeben. Kurz darauf griffen Angreifer über die fehlerhaft konfigurierte Schnittstelle auf den Bestand des Marketingdienstleisters zu und kopierten Kundendaten.

Der Kläger, der bereits am 23. Februar 2019 ein Hardware-Wallet erworben hatte, verlangte zuletzt 1.500 Euro nebst Zinsen sowie die Feststellung, dass die Beklagte für alle künftigen materiellen Schäden einzustehen habe. Sein tragendes Argument: Die Veröffentlichung seiner Daten sei im unmittelbaren Zusammenhang mit der Beklagten und dem von ihr vertriebenen Produkt erfolgt, weshalb seine Anlage in Kryptowährung nun öffentlich bekannt und er einem gesteigerten Risiko ausgesetzt sei. Das Landgericht Frankfurt (Oder) hatte die Klage bereits in erster Instanz abgewiesen; das Oberlandesgericht bestätigte diese Entscheidung.

Der Senat setzt an zwei Stellen an. Zum einen fehlt es am ersatzfähigen Schaden: Ein Anspruch aus Art. 82 DSGVO setzt neben dem Verstoß einen konkreten, kausal verursachten Nachteil voraus, und die bloße Sorge vor künftigem Datenmissbrauch sowie ein erhöhtes Aufkommen an Werbe-E-Mails genügen dafür nicht. Zum anderen — und darin liegt der eigentliche Ertrag der Entscheidung — greift die Entlastung nach Art. 82 Abs. 3 DSGVO. Der Senat stellt zunächst klar, dass der Verantwortliche dem Betroffenen gegenüber auch dann einzustehen hat, wenn der Verstoß beim Auftragsverarbeiter eintritt; die Verantwortlichkeit wandert nicht mit der Verarbeitung mit. Entlasten kann er sich aber, wenn er die im Verkehr erforderliche Sorgfalt im Sinne von § 276 Abs. 2 BGB angewandt hat und der Verstoß nicht Folge eines Versäumnisses angemessener Maßnahmen nach Art. 24 und 32 DSGVO ist — ein Maßstab, den zuvor bereits das OLG München mit Beschluss vom 21. Februar 2025 (3 U 3523/24 e) so formuliert hatte.

Diesen Nachweis sah der Senat als geführt an. Die Beklagte hatte mit einem Marktführer der E-Commerce-Branche kontrahiert, diesen vertraglich auf die Einhaltung der DSGVO verpflichtet, und der Dienstleister seinerseits prüfte bei der Einstellung von Support-Personal Qualifikation, Führungszeugnis und Tätigkeitshistorie. Dass ein derart ausgewählter Mitarbeiter seinen Zugang gleichwohl kriminell missbraucht, ist nach Auffassung des Gerichts durch Schutzmaßnahmen nicht vollständig zu verhindern — ein Mitarbeiterexzess also, der bei im Übrigen angemessenen Maßnahmen die Haftung des Verantwortlichen nicht auslöst. Ausdrücklich zurückgewiesen hat der Senat die Forderung des Klägers nach einem Vier-Augen-Prinzip: Es lasse sich, so das Urteil in der Wiedergabe der Kanzlei Dr. Bahr, „für Support-Mitarbeiter, die bei Anfragen ständig auf nicht sensible Kundendaten zugreifen müssen”, weder ein Vier-Augen-Prinzip noch eine Freigabe durch Vorgesetzte verlangen. Der Aufwand stünde außer Verhältnis zum Schutzzweck, zumal es hier um gewöhnliche Kontaktdaten und nicht um besondere Kategorien personenbezogener Daten ging.

Hintergrund und Einordnung

Die Entscheidung verschiebt keine Zuständigkeit, sondern konkretisiert einen Maßstab, der in der Praxis regelmäßig unterschätzt wird. Art. 82 Abs. 3 DSGVO ist keine Generalentlastung; er greift nur, wenn der Verantwortliche seine Sorgfalt tatsächlich belegen kann. Genau deshalb ist die Entscheidung weniger eine Entwarnung als eine Aufforderung zur Dokumentation: Was die Beklagte hier rettete, war nicht die Abwesenheit eines Vorfalls, sondern der Nachweis, dass Auswahl, vertragliche Bindung und Kontrolle des Dienstleisters vor dem Vorfall stattgefunden hatten. Wer dieselbe Argumentation führen will, braucht Auswahlkriterien, einen Auftragsverarbeitungsvertrag mit belastbaren Pflichten, ein Berechtigungskonzept nach dem Need-to-know-Prinzip, Zugriffsprotokollierung, Mandantentrennung, dokumentierte Vertraulichkeitsverpflichtungen und Schulungsnachweise. Ohne diese Belege bleibt vom Urteil nichts übrig.

Bemerkenswert ist zudem die zweistufige Prüfung der technischen und organisatorischen Maßnahmen, die der Senat anlegt: Zunächst wird das Risiko der konkreten Verarbeitung ermittelt, erst danach die Angemessenheit der Maßnahmen unter Berücksichtigung des Stands der Technik und der Implementierungskosten bewertet. Ein Datenabfluss belegt für sich genommen also nicht, dass die Maßnahmen ungeeignet waren — eine Klarstellung, die der in Schadensersatzprozessen verbreiteten Argumentation „es ist etwas passiert, also war der Schutz unzureichend” entgegentritt. Die Kehrseite: Je sensibler die Daten, desto weiter verschiebt sich die Angemessenheitsgrenze. Die Ablehnung des Vier-Augen-Prinzips trägt ausdrücklich nur für „nicht sensible” Kontaktdaten; bei Gesundheits-, Finanz- oder Beschäftigtendaten wäre dieselbe Abwägung anders zu führen.

Für die Praxis ergibt sich daraus eine unbequeme Doppelbotschaft. Unternehmen, die ihre Dienstleisterkette sauber dokumentiert haben, stehen in Haftungsprozessen deutlich besser da, als die Diskussion um die Verschuldensunabhängigkeit des Art. 82 DSGVO oft nahelegt. Betroffene wiederum werden mit dem Nachweis eines konkreten Schadens weiterhin ernsthaft belastet — die Linie, dass Sorge und Werbe-E-Mails nicht genügen, setzt sich hier fort. Ob der Bundesgerichtshof diesen Entlastungsmaßstab in dieser Strenge bestätigt, ist offen; die Parallelentscheidung des OLG München deutet aber auf eine sich verfestigende obergerichtliche Linie hin.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://gerichtsentscheidungen.brandenburg.de/gerichtsentscheidung/28781