Ein KMU aus der Logistik-Branche lagert seine Lohnbuchhaltung an einen externen Dienstleister aus — ohne schriftlichen Auftragsverarbeitungsvertrag. Sechs Monate später tauchen Mitarbeiterdaten im Darknet auf. Das Ergebnis: Schadensersatzklagen nach Art. 82 DSGVO, ein laufendes Bußgeldverfahren und kein vertragliches Rückgriffsrecht gegen den Dienstleister. Was wie ein IT-Vorfall wirkte, war ein Vertragsversagen.
Outsourcing schafft Effizienz, verschiebt aber Risiken — und zwar dorthin, wo Verträge schweigen. Wer IT-Betrieb, Buchhaltung, HR-Administration oder Kundenservice an externe Dienstleister vergibt, bleibt nach DSGVO und BGB in der Pflicht. Ohne präzise Haftungs- und Datenschutz-Klauseln trägt der Auftraggeber im Schadenfall die volle Last.
Dieser Ratgeber zeigt, welche Klauseln in Outsourcing-Verträgen rechtlich belastbar sind, wo Standard-Haftungsausschlüsse von Dienstleistern ins Leere laufen und wie Datenschutz-Compliance entlang der gesamten Verarbeitungskette sichergestellt wird.
Wann ist ein Auftragsverarbeitungsvertrag Pflicht — und was muss er enthalten?
Ein Auftragsverarbeitungsvertrag (AVV) ist zwingend erforderlich, sobald ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisungen des Verantwortlichen verarbeitet. Das gilt für Cloud-Hosting, externe Lohnbüros, Marketing-Tools und IT-Wartungsverträge gleichermaßen. Art. 28 Abs. 3 DSGVO schreibt dabei zehn Pflichtinhalte vor — von der Weisungsgebundenheit über die Sub-Processor-Genehmigung bis zur Datenrückgabe nach Vertragsende.
Fehlt der AVV, ist die Datenübermittlung an den Dienstleister bereits unrechtmäßig. Das Landgericht Lübeck hat entschieden, dass das alleinige Fehlen eines AVV einen Verstoß gegen Art. 28 DSGVO darstellt — mit der Folge, dass sich der Auftraggeber nicht nach Art. 82 Abs. 3 DSGVO von der Haftung befreien kann und für Schadensersatzforderungen betroffener Personen vollumfänglich einstehen muss. Aufsichtsbehörden können nach Art. 83 Abs. 4 DSGVO Bußgelder verhängen.
Der AVV muss mindestens regeln: Gegenstand, Dauer und Zweck der Verarbeitung; die Kategorien personenbezogener Daten und betroffener Personen; die Weisungsgebundenheit des Dienstleisters; die Vertraulichkeitspflicht der eingesetzten Mitarbeiter nach Art. 28 Abs. 3 lit. b DSGVO; die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO; Bedingungen für den Einsatz von Unterauftragsverarbeitern; Unterstützungspflichten bei Betroffenenrechten und Datenpannen sowie Lösch- und Rückgabepflichten zum Vertragsende.
In der Praxis verweisen viele Dienstleister auf ihre eigenen AVV-Vorlagen. Geschäftsführer sollten diese nicht ungeprüft unterschreiben. Kritisch sind insbesondere weich formulierte TOM-Klauseln, pauschale Haftungsobergrenzen, die unter dem realen Schadensrisiko liegen, und fehlende Kontrollrechte. Der AVV-Regelungen aus Art. 28 Abs. 3 DSGVO sind zwingendes Recht — abweichende Klauseln zulasten des Verantwortlichen sind unwirksam.
Wer haftet wirklich? Das Haftungsregime zwischen Auftraggeber und Dienstleister
Nach dem Haftungsregime der DSGVO haftet der Verantwortliche nicht nur für eigene Fehler, sondern auch für Fehler seiner Auftragsverarbeiter — gegenüber betroffenen Personen gilt nach Art. 82 DSGVO eine gesamtschuldnerische Haftung. Das bedeutet: Betroffene können den vollen Schadensersatz wahlweise beim Auftraggeber oder beim Dienstleister geltend machen. Wer intern den Schaden trägt, regelt der AVV durch Regressklauseln.
Ein Haftungsausschluss zugunsten des Dienstleisters gegenüber Dritten und Behörden ist nach DSGVO nicht möglich. Im Innenverhältnis zwischen den Vertragsparteien hingegen kann und muss vertraglich geregelt werden, wer bei welchem Verschuldensbeitrag in Regress genommen werden kann. Der Auftragnehmer stellt den Auftraggeber auf erstes Anfordern von sämtlichen Ansprüchen frei, die aus der Verletzung einer dem Auftragnehmer durch die DSGVO auferlegten Pflicht entstehen — diese Freistellungsklausel gehört in jeden seriösen AVV.
Eine Ausnahme von der Verantwortlichkeit des Auftraggebers gilt beim sogenannten Aufgaben- oder Funktionsexzess des Dienstleisters: Verarbeitet der Auftragsverarbeiter Daten eigenmächtig zu eigenen Zwecken und gegen die Weisungen des Auftraggebers, wird er nach Art. 28 Abs. 10 DSGVO selbst zum Verantwortlichen. In diesem Fall entfällt die Haftung des ursprünglichen Auftraggebers — aber nur dann, wenn dieser auch seinen Kontrollpflichten ordnungsgemäß nachgekommen ist.
Ein typisches Praxis-Szenario: Ein mittelständisches Unternehmen aus dem E-Commerce-Bereich beauftragt einen externen Newsletter-Dienstleister. Der Anbieter setzt seinerseits einen Sub-Processor in den USA ein, ohne die Auftraggeber zu informieren. Nach einem Datenleck verweist der Dienstleister auf die allgemeinen Haftungsausschlüsse in seinen AGB. Das greift nicht — weder gegenüber den betroffenen Kunden noch gegenüber der Aufsichtsbehörde. Ohne eine vertraglich gesicherte Rückgriffsmöglichkeit bleibt der Auftraggeber auf dem Schaden sitzen. Präzise Sub-Processor-Klauseln und ein Widerspruchsrecht bei Wechsel des Unterauftragsverarbeiters sind daher keine Formalie, sondern Risikoschutz.
Haftungsobergrenzen im Outsourcing-Vertrag sind grundsätzlich zulässig, müssen aber das reale Schadenpotenzial abbilden. Eine Klausel, die die Haftung des Dienstleisters auf den Wert eines Monats-Auftragsvolumens begrenzt, kann bei einem Datenschutzverstoß mit DSGVO-Bußgeld und Schadensersatzklagen Dritter wirkungslos sein. Verhandeln Sie Haftungsobergrenzen, die das Bußgeldrisiko und mögliche Drittansprüche realistisch einschließen.
Praxis-Tipp
Der Auftraggeber bleibt nach Art. 28 DSGVO auch beim Outsourcing Verantwortlicher für die Datenverarbeitung — ein fehlender AVV begründet bereits für sich allein einen Verstoß und kann ein Bußgeld bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes nach sich ziehen.
Datenschutz-Pflichten nach Vertragsende: Was viele Unternehmen übersehen
Datenschutzverantwortung endet nicht mit dem letzten Vertragstag. Der BGH hat mit Urteil vom 11. November 2025, Az. VI ZR 396/24, klargestellt: Wer personenbezogene Daten an einen Auftragsverarbeiter übermittelt, bleibt Herr der Verarbeitung — diese Stellung endet nicht automatisch mit Ablauf der Vertragslaufzeit. Wer nach Vertragsende nicht aktiv prüft, ob der Dienstleister die Daten tatsächlich gelöscht hat, trägt das Haftungsrisiko weiter.
Art. 28 Abs. 3 lit. g DSGVO verpflichtet den Dienstleister, nach Vertragsende alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder zu löschen oder zurückzugeben und vorhandene Kopien zu vernichten. Diese Pflicht muss im AVV mit konkreten Fristen und Nachweispflichten unterlegt sein — eine Klausel, nach der Löschprotokolle lediglich auf Anforderung vorzulegen sind, reicht nach aktueller Rechtsprechung nicht aus.
Der BGH hat zudem klargestellt, dass der bloße Kontrollverlust über personenbezogene Daten nach Art. 82 DSGVO bereits einen ersatzfähigen Schaden darstellen kann — auch ohne nachweisbare missbräuchliche Verwendung. Kommt es zusätzlich zu einer missbräuchlichen Nutzung, etwa durch Angebot der Daten im Darknet, ist die Haftungsschwelle erst recht überschritten. Das Argument, die betroffenen Daten seien zuvor bereits anderweitig kompromittiert worden, lässt der BGH ausdrücklich nicht gelten.
Für Geschäftsführer bedeutet das: Im AVV müssen Lösch- und Rückgabepflichten mit konkreten Fristen, Formaten und Bestätigungspflichten geregelt sein. Löschbestätigungen sind aktiv anzufordern und zu dokumentieren. Wer auf eine Bestätigung wartet, die ausbleibt, und nicht nachfasst, verletzt seine Kontrollpflicht nach Art. 28 Abs. 1 DSGVO — mit der Folge, dass er sich im Streitfall nicht durch den Hinweis auf einen Aufgabenexzess des Dienstleisters entlasten kann.
Wichtig zu wissen
Nach dem BGH-Urteil vom 11. November 2025 (Az. VI ZR 396/24) endet die datenschutzrechtliche Verantwortung des Auftraggebers nicht mit dem letzten Vertragstag — wer die Datenlöschung nicht aktiv kontrolliert, haftet auch nach Vertragsende.
