Verantwortliche müssen Datenlöschung bei Auftragsverarbeitern aktiv überwachen

In einem von unserer Kanzlei geführten Verfahren hat das Oberlandesgericht (OLG) Celle die Deezer S.A. in einem Fall zum Deezer-Datenleck u. a. zur Zahlung von immateriellem Schadensersatz und außergerichtlichen Rechtsanwaltskosten sowie zum Ersatz künftiger Schäden aus dem Datenvorfall verurteilt (Urteil vom 05.05.2026, Az. 13 U 60/25). Das Urteil präzisiert wichtige Maßstäbe für die Haftung von Unternehmen bei Datenschutzvorfällen im Verhältnis zu ihren Auftragsverarbeitern und reiht sich in die jüngste Rechtsprechung des Bundesgerichtshofs ein.

Der Sachverhalt zum Fall

Unser Mandant ist Deezer-Kunde und hat Ansprüche auf Schadensersatz, Feststellung und Unterlassung wegen DSGVO-Verstößen geltend gemacht. Hintergrund ist ein Datenschutzvorfall bei dem Audio-Streaming-Dienst Deezer. Im November 2022 tauchten umfangreiche Kundendaten im Darknet zum Verkauf auf, darunter Namen, E-Mail-Adressen, Geburtsdaten, Geschlecht, Sprache, Land, Nutzernamen und User-IDs. Die Daten stammten allerdings nicht aus den Systemen von Deezer selbst, sondern aus den Systemen des Dienstleisters Mobius Solutions Ltd., der bis zum 30. November 2020 als Auftragsverarbeiter für Deezer tätig war. Dieser ist kommerziell unter dem Namen „Optimove” tätig und hatte bis zum 30. November 2020 als Auftragsverarbeiter für Deezer Kundenverwaltungsdienste erbracht.

Optimove hatte Deezer am Tag der Vertragsbeendigung lediglich per E-Mail mitgeteilt, dass am Folgetag die „Site” und alle darauf befindlichen Daten gelöscht würden. Deezer forderte keine schriftliche Bestätigung über die vollständige Löschung sämtlicher Datenkopien ein, wie es der Auftragsverarbeitungsvertrag innerhalb von 21 Tagen vorsah. Tatsächlich hatten drei Mitarbeiter von Optimove die Daten zuvor in eine vertraglich nicht vorgesehene Nicht-Produktivumgebung verschoben. Aus dieser Umgebung wurden die Daten im Zuge des späteren Cyberangriffs erlangt.

Die Entscheidung des OLG Celle

Das Landgericht Hildesheim hatte die Klage in erster Instanz abgewiesen. Das OLG Celle hob das Urteil nun teilweise auf und sprach unserem Mandanten zu:

• 100 Euro immateriellen Schadensersatz nebst Zinsen
• 220,27 Euro Erstattung vorgerichtlicher Rechtsanwaltskosten nebst Zinsen
• Feststellung der Ersatzpflicht für alle künftigen materiellen Schäden aus dem Datenvorfall
• Unterlassungsanspruch gegen die zukünftige Überlassung personenbezogener Daten an Auftragsverarbeiter ohne Sicherstellung der Löschung nach Vertragsende

Die zentrale rechtliche Aussage: : Verantwortliche müssen Datenlöschung bei Auftragsverarbeitern aktiv überwachen

Unter Bezugnahme auf die jüngste BGH-Rechtsprechung (Urteil vom 11. November 2025 – VI ZR 394/24) bekräftigt das OLG: Wer die Datenverarbeitung auf einen Auftragsverarbeiter überträgt, kann sich seinen DSGVO-Pflichten nicht entziehen. Aus dem Grundsatz der Datenminimierung, der Speicherbegrenzung und der Pflicht zur Gewährleistung angemessener Datensicherheit folgt demnach eine aktive Überwachungspflicht bei Vertragsende.

Es genügt nicht, mit dem Auftragsverarbeiter eine vertragliche Löschungspflicht zu vereinbaren. Der Verantwortliche muss vielmehr aktiv sicherstellen, dass die Löschung tatsächlich erfolgt. Bleibt eine vertraglich vorgesehene schriftliche Löschungsbestätigung – wie hier – aus, muss der Verantwortliche diese unverzüglich einfordern. Die erst zweieinhalb Jahre später, im Februar 2023, gestellte Nachfrage von Deezer war ersichtlich verspätet.

Bedeutung für betroffene Verbraucher

Das Urteil schafft in einem praktisch wichtigen Punkt Klarheit: Unternehmen können sich nicht hinter ihren Auftragsverarbeitern verstecken. Wer Kundendaten an Dienstleister weitergibt, muss bei Vertragsende deren ordnungsgemäße Löschung aktiv kontrollieren und sich dies schriftlich bestätigen lassen.

Der zugesprochene Schadensersatz von 100 Euro erscheint zwar moderat, entspricht jedoch der Linie der höchstrichterlichen Rechtsprechung in vergleichbaren Fällen. Von wesentlich größerer Bedeutung sind jedoch die Feststellung der Haftung dem Grunde nach für künftige Schäden sowie der Unterlassungsanspruch. Diese können bei künftigen Missbrauchsfällen eine erhebliche praktische Wirkung entfalten.

Wir prüfen Ihre rechtlichen Möglichkeiten

Wenn Sie Kunde von Deezer waren oder Hinweise auf eine Betroffenheit durch das Datenleck haben, prüfen wir gerne Ihre Ansprüche. Unsere Kanzlei berät und vertritt Verbraucher:innen seit über 30 Jahren bundesweit. Als eine der größten Kanzleien für Anleger- und Verbraucherschutz verfügen wir über umfassende Erfahrung im außergerichtlichen und gerichtlichen Vorgehen.

Jetzt unverbindliche und kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711-9308110 oder schreiben Sie uns Ihre Fragen über unser Kontaktformular.