Dann greift die Regelung des Art. 82 III DSGVO, wie das Gericht in seinem Urteil vom 2. März 2026 (Az.: 1 U 1/24) in einem Sachverhalt entschieden hat. Das Gericht hatte zwei Vorfälle zu bewerten, die der Kläger gegen das beklagte Unternehmen, einen Anbieter von elektronischen Geldbörsen für Krypto-Währungen, zur Grundlage eines Schadenersatzanspruchs nach Art. 82 DSGVO gemacht hatte. Nach Ansicht des Gerichts hatte das beklagte Unternehmen jedoch ausreichend dargelegt und bewiesen, alle erforderliche Maßnahmen, auch die in den Art. 24 und 32 DSGVO enthaltenen vorgaben, eingehalten zu haben. Daher greife hier Art. 82 III DSGVO ein. Das Gericht sieht insbesondere die marktüblichen Sicherheitsstandards als eingehalten an sowie auch die sorgfältige Auswahl eines Vertragspartners. Das Gericht führt in den Entscheidungsgründen unter anderem aus:
„…(a) In Bezug auf Entwendung von Daten durch einen Mitarbeiter des Unternehmens … (Plattform01) ist dabei zunächst einzustellen, dass sich die Beklagte eines selbständigen Dienstleisters bedienen durfte, um ihren Onlineshop zu führen. Ob … (Plattform01) in diesem Zusammenhang als Auftragsverarbeiter der Beklagten i.S.d. Art. 4 Nr. 8 DSGVO einzustufen ist, kann dahinstehen, weil auch … (Plattform01) keinem Fahrlässigkeitsvorwurf ausgesetzt ist.
Die Beklagte selbst hat bei Auswahl und Kontrolle des Dienstleisters mit der gebotenen Sorgfalt im Sinne des Art. 32 DSGVO gehandelt, denn sie hat mit … (Plattform01) – unstreitig – den Marktführer für Online-Shop-Systeme gewählt, der sich ihr gegenüber vertraglich zur Einhaltung der DSGVO verpflichtet hat (so auch OLG München, Beschluss vom 25. März 2025 – 20 U 41/24/23 e -).
Um eine Entwendung der Daten zu verhindern, auf welche ihre Mitarbeiter im Rahmen der Ausübung der Tätigkeit im Kundensupport Zugriff haben mussten, hat … (Plattform01) die Mitarbeiter ihres Kundensupports – unstreitig – einer eingehenden Prüfung unterzogen, welche neben der Prüfung der fachlichen Qualifikation auch die Überprüfung früherer Tätigkeiten sowie eine Einsicht in das Führungszeugnis umfasste.
Diese Maßnahmen der Überprüfung von Mitarbeitern erscheinen angemessen und ausreichend, um die Daten des hier in Rede stehenden Schutzniveaus – wie sie in faktisch jedem Unternehmen, jeder Behörde oder jeder Rechtsanwaltskanzlei mit Kundenkontakt vorliegen – zu sichern. Ein „Vier-Augen-Prinzip“ oder eine Freigabe durch Vorgesetzte kann … (Plattform01) entgegen der Auffassung des Klägers nicht abverlangt werden. Bei Mitarbeitern im Support, welche bei den Anfragen von Kunden permanent auf deren – nicht besonders sensible – Daten zurückgreifen müssen, würden solche Prinzipien dazu führen, dass jede Anfrage stets von zwei Mitarbeitern durchzuführen wäre. Dies wäre ein unverhältnismäßiger Zeit- und Kostenaufwand (ebenso OLG München, Urteil vom 21. Februar 2025 – 3 U 3523/24 e, OLG München, Beschluss vom 25. März 2025 – 20 U 41/24/23 e, Kammergericht, Urteil vom 5. November 2025 – 26 I 81/23 -), der im Übrigen auch sonst in keinem Unternehmen üblich ist.
Dabei gilt es auch zu berücksichtigen, dass ein das kriminelle Verhalten eines Mitarbeiters ausschließender Schutz durch den Arbeitgeber schlechterdings nicht möglich ist. Der Fall des sog. Mitarbeiterexzesses, bei dem ein Mitarbeiter Daten für eigenen Zwecke missbraucht oder entwendet, führt deshalb – wenn die Mitarbeiter wie hier sorgfältig ausgewählt sind – nicht zur Haftung des nach der DSGVO Verantwortlichen oder seines Auftragsdatenverarbeiters. Anerkannt ist vielmehr, dass der Mitarbeiter durch diese Form der Datenverarbeitung selbst zum Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO wird und in der Folge unmittelbar gegenüber den von seinem Verstoß Betroffenen haftet (so etwa in einem Bußgeldverfahren gegen einen Polizisten, bei dienstlich nicht veranlasster Datenabfrage OLG Stuttgart, Beschluss vom 25. Februar 2025 – 2 ORbs 16 Ss 336/24 –, juris; Becker in: Plath, DSGVO/BDSG/TTDSG, 4. Auflage 2023, Art. 82 EUV 2016/679, Rn. 15, juris).
(b) Hinsichtlich des zweiten Vorfalls, bei dem unbekannte Hacker eine fehlerhafte Konfiguration des API-Schlüssels für einen Angriff auf die Kundendaten der Beklagten nutzten, gilt es hinsichtlich der verschiedenen Beteiligten zu unterscheiden.
Die Beklagte muss sich insoweit zunächst nicht ein etwaiges Verschulden der … (Agency01) bzw. ihrer Mitarbeiter bei der Konfiguration der Schnittstelle zurechnen lassen. Nach überwiegender Auffassung haftet ein Verantwortlicher im Sinne des Art. 82 DSGVO zwar auch für Fehler von Auftragsverarbeitern. Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Diese Voraussetzungen erfüllt … (Agency01) nicht. Der Kläger hat zwar vorgetragen, der Einbau der API-Schnittstelle habe … (Agency01) einen Vollzugriff auf die Kundendatenbank sowie die darin befindlichen personenbezogenen Daten ermöglicht, so dass … (Agency01) in die gesamte Kundendatenbank der Beklagten habe einsehen können. Die Beklagte ist diesem Vortrag jedoch substantiiert entgegengetreten und hat ihrerseits vorgebracht, dass im Zeitpunkt der Implementierungsarbeiten durch … (Agency01) keine echten Kundendaten in der Datenbank enthalten gewesen sein. Hierzu hat sich der Kläger nicht weiter erklärt. Soweit er ausgeführt hat, … (Agency01) sei mit den Daten jedenfalls im Rahmen späterer Beauftragung in Berührung gekommen, macht sie dies nicht rückwirkend zur Auftragsverarbeiterin (Kammergericht, Urteil vom 20. November 2025 – 26 U 81/23 -).
Eine Verantwortlichkeit der Beklagten aus anderen Gründen ist nicht erkennbar. Sie durfte sich ohne Verstoß gegen die DSGVO auch fremder Hilfe zur Programmierung der API-Schnittstelle bedienen. Ein Verschulden käme insoweit nur in Betracht, wenn sie … (Agency01) unsorgfältig ausgesucht hätte. Davon ist vorliegend nicht auszugehen. Nach dem jedenfalls nicht in beachtlicher Weise bestrittenen Vortrag der Beklagten handelt es sich bei … (Agency01) um ein Unternehmen, das von… (Plattform01) als sog. „Plus-Partner“ empfohlen wurde. Dieses Etikett erhielten Unternehmen, die besondere Erfahrung mit der … (Plattform01)-Plattform und dem E-Commerce-Bereich hatten und von… (Plattform01), dem Marktführer für Online-Shops, empfohlen wurden. Die Beklagte durfte hiernach darauf vertrauen, mit … (Agency01) ein kompetentes und zuverlässiges Unternehmen beauftragt zu haben. Sie brauchte auch keinerlei nähere Erkundigungen über … (Agency01) einzuholen. Konkrete Anhaltspunkte, die Anlass zu Zweifeln hätten geben müssen, sind nicht vorgetragen und auch sonst nicht ersichtlich. Eine Nachforschungspflicht bzgl. der Zertifizierung nach Sicherheitsstandards traf sie daher nicht.
Ob die Beklagte die von ihr behaupteten Penetrationstests – d.h. Tests zur Prüfung der Sicherheit von Systembestandteilen mit Mitteln und Methoden, die ein Hacker anwenden würde, um unautorisiert in das System einzudringen – durchgeführt hat und ob diese und das von ihr ins Leben gerufene … (Programm01)-Programm – ein Belohnungssystem zum Auffinden von etwaigen Sicherheitslücken – geeignet waren, den Fehler an der API-Schnittstelle aufzufinden, kann hiernach offenbleiben (so auch Kammergericht, Urteil vom 20. November 2025 – 26 U 81/23 -)…“
