Ratgeber · Agentur und IT
DSGVO-Verstoß im Kundenprojekt – wer haftet wofür
Wer im Kundenprojekt haftet, entscheidet die Rolle: Verantwortlicher nach Art. 4 Nr. 7 DSGVO ist, wer über Zwecke und Mittel bestimmt, Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO, wer nur weisungsgebunden arbeitet. Sobald eine Agentur eigene Zwecke verfolgt, wird sie nach Art. 28 Abs. 10 DSGVO selbst Verantwortlicher — mit Meldepflicht, Bußgeldrisiko und Schadenersatz.
Inhalt dieser Seite
- Die Rolle folgt der Entscheidungsmacht: Verantwortlicher nach Art. 4 Nr. 7 DSGVO ist, wer Zwecke und Mittel bestimmt.
- Ohne Vertrag nach Art. 28 Abs. 3 DSGVO ist jede Auftragsverarbeitung rechtswidrig, auch bei sauberer Technik.
- Der Verantwortliche meldet einen Vorfall binnen 72 Stunden an die Aufsichtsbehörde, Art. 33 Abs. 1 DSGVO.
- Der Bußgeldrahmen reicht nach Art. 83 Abs. 4 DSGVO bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes.
- Nach Art. 82 Abs. 2 DSGVO haftet der Auftragsverarbeiter enger als der Verantwortliche — der Ausgleich läuft über Abs. 5.
Verantwortlicher, Auftragsverarbeiter, gemeinsam Verantwortliche
Vor jeder Haftungsfrage steht eine Rollenfrage. Die DSGVO knüpft ihre Pflichten an die Rolle, und die ergibt sich aus der tatsächlichen Entscheidungsmacht, nicht aus dem Vertragstext. Wer über Zwecke und Mittel entscheidet, ist Verantwortlicher, Art. 4 Nr. 7 DSGVO. Wer Daten ausschließlich im Auftrag und nach Weisung verarbeitet, ist Auftragsverarbeiter, Art. 4 Nr. 8 DSGVO.
Diese Einordnung entscheidet, wer Betroffenenanfragen beantwortet, wer eine Datenpanne meldet und wen die Aufsichtsbehörde anschreibt.
Verantwortlicher
Entscheidet über Ob, Warum und Wie. Er braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, informiert nach Art. 13 DSGVO und trägt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.
Auftragsverarbeiter
Verarbeitet weisungsgebunden für einen anderen — Hosting, Shop-Wartung, Newsletterversand. Er braucht keine eigene Rechtsgrundlage, aber einen Vertrag nach Art. 28 Abs. 3 DSGVO.
Gemeinsam Verantwortliche
Zwei Stellen legen Zwecke und Mittel gemeinsam fest. Art. 26 Abs. 1 DSGVO verlangt dann eine Vereinbarung über die Pflichtenverteilung; ihr Wesentliches ist den Betroffenen zugänglich zu machen.
Die dritte Rolle wird am häufigsten übersehen. Sie greift dort, wo beide Seiten von einer Verarbeitung profitieren: Tracking-Pixel, gemeinsame Auswertungen, Gewinnspiele. Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte gegenüber jedem Beteiligten geltend machen.
Die Rolle folgt der Entscheidungsmacht, nicht der Vertragsüberschrift. Ein Papier mit dem Titel Auftragsverarbeitung macht aus einer eigenverantwortlichen Verarbeitung keine weisungsgebundene.
Wann die Agentur zum eigenen Verantwortlichen wird
Art. 28 Abs. 10 DSGVO wird selten gelesen und regelmäßig ausgelöst: Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst Zwecke und Mittel, gilt er insoweit als Verantwortlicher — mit vollem Pflichtenkatalog.
Eigene Tools ohne Auftrag des Kunden
Ein Analyse-Skript oder Fehler-Tracking, das die Agentur aus eigenem Antrieb einbaut, dient ihren Zwecken. Dafür ist sie Verantwortlicher, auch wenn es auf der Domain des Kunden läuft.
Weiterverwendung von Kundendaten
Wer Bestände aus einem Projekt für eigene Benchmarks nutzt, verlässt die Weisung. Nach Art. 29 DSGVO ist genau das untersagt.
Eigene Geschäftsdaten der Agentur
Bewerbungen, Beschäftigten- und Kontaktdaten verarbeitet jede Agentur in eigener Verantwortung. Dafür gilt kein Auftragsverarbeitungsvertrag.
Unterauftrag ohne Genehmigung
Ein zusätzlicher Cloud-Dienst oder ein Freelancer mit Systemzugang ist Unterauftragsverarbeiter. Ohne Genehmigung nach Art. 28 Abs. 2 DSGVO ist der Einsatz eine Pflichtverletzung.
Besonders heikel ist Tracking. § 25 Abs. 1 TDDDG verlangt für Speichern und Auslesen von Informationen auf dem Endgerät eine Einwilligung, soweit die enge Ausnahme des Abs. 2 nicht greift. Wer den Consent-Banner konfiguriert, entscheidet über die Mittel mit. Kommen Dienstleister aus Drittländern hinzu, braucht die Übermittlung nach Art. 44 DSGVO einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder Garantien nach Art. 46 DSGVO.
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Der Vertrag über die Auftragsverarbeitung ist kein Formular zum Abhaken. Ohne ihn ist die Verarbeitung rechtswidrig, auch wenn technisch alles sauber läuft. Art. 28 Abs. 3 DSGVO verlangt Schriftform — elektronisch genügt nach Abs. 9 — und schreibt einen Mindestinhalt vor.
| Pflichtinhalt | Norm | Worauf es in der Praxis ankommt |
|---|---|---|
| Gegenstand, Dauer, Art und Zweck | Art. 28 Abs. 3 Satz 1 DSGVO | Kategorien betroffener Personen und Datenarten benennen. Sammelbegriffe tragen im Prüfungsfall nicht. |
| Verarbeitung nur auf Weisung | Art. 28 Abs. 3 Buchst. a DSGVO | Weisungswege und Ansprechpartner festhalten. Zurufe im Projektchat sind keine dokumentierte Weisung. |
| Vertraulichkeit der Beschäftigten | Art. 28 Abs. 3 Buchst. b DSGVO | Verpflichtung aller Personen mit Datenzugang, auch von Werkstudenten und Freelancern. |
| Technische und organisatorische Maßnahmen | Art. 28 Abs. 3 Buchst. c, Art. 32 DSGVO | Verschlüsselung, Zugriffskonzept, Protokollierung, Backup — als Anlage, nicht als Floskel. |
| Unterauftragsverarbeiter | Art. 28 Abs. 2 und 4 DSGVO | Liste führen, Änderungen ankündigen, Widerspruch regeln. Du haftest für ihn wie für eigenes Handeln. |
| Unterstützung und Löschung | Art. 28 Abs. 3 Buchst. e bis g DSGVO | Fristen für Betroffenenanfragen, Mitwirkung bei Meldungen, Rückgabe oder Löschung nach Projektende. |
Zwei Pflichten stehen im Zentrum vieler Streitfälle. Nach Art. 28 Abs. 3 Satz 2 DSGVO muss der Auftragsverarbeiter warnen, wenn eine Weisung gegen Datenschutzrecht verstößt; wer schweigend ausführt, kann sich später nicht auf sie berufen. Nach Art. 30 Abs. 2 DSGVO führt er zudem ein eigenes Verarbeitungsverzeichnis.
Der Vertrag wird zum Projektstart unterschrieben und nie wieder angefasst. Kommt ein neues Tool dazu, ändert sich die Verarbeitung — der Vertrag nicht. Diese Lücke ist im Prüfungsfall der erste Fund.
Der Tag, an dem die Uhr läuft
Meldepflicht binnen 72 Stunden und was sie auslöst
Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 4 Nr. 12 DSGVO jede Sicherheitsverletzung, die zu Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung führt. Ab Bekanntwerden bleiben dem Verantwortlichen 72 Stunden.
Art. 33 Abs. 1 DSGVO, gerechnet ab Bekanntwerden. Später ist die Verzögerung zu begründen. Die Meldung entfällt, wenn ein Risiko für Rechte und Freiheiten voraussichtlich nicht besteht.
Art. 33 Abs. 2 DSGVO. Der Auftragsverarbeiter hat keine eigene 72-Stunden-Frist, muss den Verantwortlichen aber ohne schuldhaftes Zögern informieren.
Art. 34 Abs. 1 DSGVO. Bei voraussichtlich hohem Risiko in klarer und einfacher Sprache.
Der Inhalt steht in Art. 33 Abs. 3 DSGVO: Art des Vorfalls, Kategorien und Zahl der Betroffenen, Kontaktstelle, wahrscheinliche Folgen, ergriffene Maßnahmen. Fehlen Angaben, darf nach Abs. 4 schrittweise gemeldet werden. Entscheidend für die eigene Akte ist Art. 33 Abs. 5 DSGVO: Auch nicht gemeldete Vorfälle sind samt Begründung festzuhalten. Von der Information der Betroffenen befreit Art. 34 Abs. 3 DSGVO nur bei Verschlüsselung, wirksamen Folgemaßnahmen oder unverhältnismäßigem Aufwand.
Ein Datenvorfall kostet Zeit, bevor irgendjemand haftet
Aufsichtsverfahren, Betroffenenanfragen und der Streit mit dem Kunden über den Verursacher laufen parallel — und jeder Strang bindet einen Anwalt. Beantworte kurz ein paar Fragen, dann meldet sich ein Experte mit einem Angebot für deinen Betrieb.
Bußgeldrahmen und die Bemessung nach Art. 83 DSGVO
Beim Thema Datenschutzverstoß und Bußgeld kursieren zwei Zahlen. Die DSGVO kennt zwei Stufen; für Agenturen ist meist die untere einschlägig.
Bis 10 Millionen Euro oder 2 Prozent
Erfasst sind die Pflichten aus Art. 25 bis 39 DSGVO: Technikgestaltung, Sicherheit nach Art. 32, Verarbeitungsverzeichnis, Meldepflichten, Auftragsverarbeitung. Maßgeblich ist der höhere Wert, bezogen auf den weltweiten Jahresumsatz des Vorjahres.
Bis 20 Millionen Euro oder 4 Prozent
Diese Stufe trifft Verstöße gegen die Grundsätze aus Art. 5, die Rechtmäßigkeit nach Art. 6, die Einwilligung nach Art. 7, die Betroffenenrechte der Art. 12 bis 22 und die Drittlandübermittlung. Sie greift typischerweise beim Verantwortlichen.
Die konkrete Höhe richtet sich nach dem Katalog des Art. 83 Abs. 2 DSGVO: Art, Schwere und Dauer des Verstoßes, Verschulden, Zahl der Betroffenen, Abhilfemaßnahmen, Zusammenarbeit mit der Behörde. Wer selbst meldet, dokumentiert und schnell abstellt, verhandelt über eine andere Größenordnung als ein Betrieb, bei dem die Behörde alles zusammentragen muss. Art. 83 Abs. 3 DSGVO deckelt den Gesamtbetrag auf den schwerwiegendsten Verstoß.
Neben dem Bußgeld stehen die Abhilfebefugnisse aus Art. 58 Abs. 2 DSGVO — Verwarnung, Anweisung, im Extremfall ein Verarbeitungsverbot, das ein Projekt sofort stoppt. In engen Grenzen wird es strafrechtlich: § 42 Abs. 1 BDSG stellt die gewerbsmäßige unberechtigte Übermittlung nicht allgemein zugänglicher Daten unter Strafe, Abs. 2 die Verarbeitung gegen Entgelt oder in Bereicherungsabsicht.
Schadenersatz nach Art. 82 DSGVO und der immaterielle Schaden
Neben der Aufsichtsbehörde steht die betroffene Person. Art. 82 Abs. 1 DSGVO gibt jedem, dem durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist, einen Ersatzanspruch — auch wenn keine Behörde je tätig wird. Bei großen Datensätzen kommt er in Serie.
Die Verteilung im Außenverhältnis regelt Art. 82 Abs. 2 DSGVO. Der Verantwortliche haftet für jeden Schaden aus einer nicht verordnungskonformen Verarbeitung. Der Auftragsverarbeiter haftet enger: nur bei Verletzung der speziell für ihn geltenden Pflichten oder bei Missachtung rechtmäßiger Weisungen. Deshalb ist die saubere Rollenzuordnung bares Geld wert.
- Exkulpation möglich. Nach Art. 82 Abs. 3 DSGVO wird frei, wer nachweist, für den schadensbegründenden Umstand in keinerlei Hinsicht verantwortlich zu sein. Die Beweislast trägt der Anspruchsgegner.
- Gesamtschuldnerische Haftung. Sind mehrere beteiligt, haftet nach Art. 82 Abs. 4 DSGVO jeder auf den vollen Schaden.
- Immaterieller Schaden zählt. Der Kontrollverlust über eigene Daten kann ein ersatzfähiger Nachteil sein. Der bloße Verstoß ohne spürbare Folge genügt nach der Rechtsprechung des Europäischen Gerichtshofs aber nicht.
- Kein Strafcharakter. Der Ersatz gleicht den Schaden aus, er schreckt nicht ab. Die Beträge sind im Einzelfall meist niedrig — bei Massenverfahren summiert sich das trotzdem.
Für Verarbeitungen nach Teil 3 des Bundesdatenschutzgesetzes tritt § 83 BDSG daneben und sieht in Abs. 2 eine Entschädigung in Geld vor; für Agenturprojekte bleibt Art. 82 DSGVO maßgeblich. Ein zweiter Weg führt über das Wettbewerbsrecht: Ob Mitbewerber eine DSGVO-Abmahnung nach § 3a UWG aussprechen können, hängt an der verletzten Norm. Zum Ablauf siehe Abmahnung wegen Urheberrechtsverletzung.
Regress zwischen Agentur und Kunde – was der Vertrag regeln muss
Zahlt einer von beiden, beginnt die zweite Auseinandersetzung. Art. 82 Abs. 5 DSGVO gibt dem, der den vollen Schaden ersetzt hat, einen Rückgriff gegen die übrigen Beteiligten in Höhe ihres Verantwortungsanteils. Wie der bemessen wird, sagt die Verordnung nicht — das entscheidet ein Zivilgericht anhand der Dokumentation.
Weisungen schriftlich festhalten
Jede datenschutzrelevante Vorgabe des Kunden gehört in Textform. Ohne Beleg lässt sich nicht zeigen, dass die Agentur nur ausgeführt hat — und Art. 82 Abs. 2 DSGVO hängt genau daran.
Bedenken dokumentieren
Der Hinweis nach Art. 28 Abs. 3 Satz 2 DSGVO wirkt nur, wenn er nachweisbar ist. Eine kurze, datierte E-Mail verschiebt die Verantwortungsanteile spürbar.
Haftungsverteilung vertraglich vorzeichnen
Im Außenverhältnis lässt sich die Haftung nicht abbedingen. Im Innenverhältnis sind Freistellung, Haftungshöchstbeträge und die Verteilung von Bußgeldern zulässig, soweit sie der AGB-Kontrolle nach §§ 305 ff. BGB standhalten.
Verjährung im Blick behalten
Für den Rückgriff gilt die Regelverjährung von drei Jahren nach § 195 BGB, beginnend mit dem Schluss des Jahres nach § 199 Abs. 1 BGB.
Die Klausel, die Agenturen am häufigsten fehlt
Viele Verträge regeln Sachschäden ausführlich und schweigen zu Bußgeldern und Betroffenenansprüchen. Dann greift die gesetzliche Verteilung nach Verantwortungsanteil, nicht nach Größe der Beteiligten. Wer Systeme betreut, Zugänge verwaltet und Consent-Lösungen einbaut, trägt faktisch viel. Wie sich Leistung, Mitwirkung und Haftung trennen lassen, zeigt der Freelancer-Vertrag mit klaren Klauseln.
Was das für den Rechtsschutz deines Betriebs bedeutet
Ein Datenschutzvorfall erzeugt drei Konflikte, die rechtlich getrennt gehören: das Verfahren der Aufsichtsbehörde bis zum Bußgeldbescheid, Ansprüche Betroffener nach Art. 82 DSGVO und den Regressstreit mit dem Kunden.
Der dritte Strang ist ein klassischer Vertragsstreit und liegt beim Vertragsrechtsschutz. Für das Bußgeldverfahren kommt es auf den gewerblichen Ordnungswidrigkeiten- und erweiterten Strafrechtsschutz an; verhängte Bußgelder selbst trägt keine Rechtsschutzversicherung, wohl aber die Verteidigung dagegen. Ansprüche Dritter auf Schadenersatz sind dagegen typischerweise eine Frage der Haftpflicht — die Abgrenzung erklärt Firmenrechtsschutz und Betriebshaftpflicht.
- Ordnungswidrigkeitenverfahren eingeschlossen. Prüfen, ob das Verfahren gegen den Betrieb und gegen die Geschäftsführung erfasst ist. Bei Vorsatzvorwürfen entfällt der Schutz rückwirkend, wenn der Vorwurf sich bestätigt.
- Verwaltungsrechtsschutz mitgedacht. Anordnungen nach Art. 58 Abs. 2 DSGVO sind Verwaltungsakte; der Rechtsweg führt zum Verwaltungsgericht.
- Wartezeit beachten. Je nach Anbieter drei bis sechs Monate. Ein bereits laufendes Aufsichtsverfahren lässt sich nicht nachträglich versichern — Details unter Wartezeit im Firmenrechtsschutz.
Was ein solches Verfahren kostet, hängt am Gegenstandswert und folgt den Tabellen von RVG und GKG; die Rechnung dazu steht unter Firmenrechtsschutz Kosten. Welche Bausteine für Agenturen, Studios und IT-Dienstleister zusammenpassen, ist gebündelt unter Rechtsschutz für Agentur und IT beschrieben.
Häufige Fragen zum DSGVO-Verstoß im Kundenprojekt
Ist meine Agentur Verantwortlicher oder Auftragsverarbeiter?
Brauche ich als Agentur einen Auftragsverarbeitungsvertrag?
Wann muss ein Datenschutzvorfall gemeldet werden?
Wie hoch kann ein Bußgeld wegen eines Datenschutzverstoßes ausfallen?
Haftet der Auftragsverarbeiter genauso wie der Verantwortliche?
Gibt es Schadenersatz auch ohne finanziellen Schaden?
Darf ich als Agentur ohne Zustimmung des Kunden Subunternehmer einsetzen?
Zahlt eine Rechtsschutzversicherung bei einem DSGVO-Verfahren?
Datenschutzstreit zwischen Agentur und Kunde entsteht selten aus bösem Willen, sondern aus einer nie aktualisierten Rollenverteilung. Wer Weisungen und Bedenken dokumentiert, steht im Regressverfahren deutlich besser da.
Datenschutzverfahren treffen zuerst die Kasse
Aufsichtsverfahren, Betroffenenansprüche und Regressstreit laufen oft gleichzeitig. Beantworte kurz ein paar Fragen, dann meldet sich ein Experte mit einem Angebot für deinen Betrieb.