Unternehmen haften nicht automatisch für Datenlecks, wenn sie geeignete Schutzmaßnahmen getroffen haben und die Datenpannen auf das Handeln Dritter zurückzuführen sind (OLG Brandenburg, Urt. v. 02.03.2026 - Az.: 1 U 1/24).
Im vorliegenden Fall hatte der Kläger im Jahr 2019 eine Hardware-Wallet im Onlineshop der Beklagten erworben und dabei Name, Adresse, private E-Mail-Adresse und Handynummer angegeben. Im Jahr 2020 kam es zu zwei Vorfällen, bei denen Unbefugte Zugang zu Kundendaten erlangten. Zunächst griff ein Supportmitarbeiter des Shop-Dienstleisters auf Datensätze zu und gab diese weiter. Kurz darauf nutzten Hacker eine fehlerhafte Schnittstellenkonfiguration zwischen einem Marketingdienst und einem Datenbankdienst, um Kundendaten zu kopieren.
Der Kläger machte daraufhin einen Schadensersatz gemäß Art. 82 DSGVO geltend. Das LG Frankfurt (Oder) wies die Klage ab. Das OLG Brandenburg bestätigte diese Entscheidung.
Das Gericht stellte zunächst klar, dass ein Schadensersatzanspruch einen Datenschutzverstoß, einen konkreten Schaden und einen ursächlichen Zusammenhang zwischen beiden voraussetze. Der Kläger habe jedoch keinen messbaren Nachteil nachgewiesen. Seine Sorge vor Datenmissbrauch sowie das erhöhte Aufkommen an Werbe-E-Mails seien hierfür nicht ausreichend.
Nach Auffassung des Gerichts könne sich die Beklagte zudem von der Haftung befreien, da die Datenpannen auf das Handeln Dritter zurückzuführen seien: Auf einen Supportmitarbeiter des Plattformanbieters sowie auf Hacker, die eine externe Schnittstelle ausgenutzt hätten.
Die Beklagte habe geeignete technische und organisatorische Schutzmaßnahmen eingesetzt und sorgfältig ausgewählte, am Markt anerkannte Dienstleister beauftragt.
Eine Pflicht, jeden Mitarbeiterzugriff im Support nach dem Vier-Augen-Prinzip zu genehmigen, bestehe nicht, da dies den Betrieb unangemessen beeinträchtigen würde. Zudem handele es sich bei den betroffenen Informationen nicht um hochsensible Daten wie Kontodaten oder Gesundheitsangaben, sondern um typische Kontaktdaten, die im Geschäftsverkehr üblicherweise weitergegeben würden. Ein Auswahl- oder Überwachungsverschulden der Beklagten gegenüber der beauftragten Agentur oder dem Datenbankdienst habe der Kläger nicht beweisen können:
“Diese Maßnahmen der Überprüfung von Mitarbeitern erscheinen angemessen und ausreichend, um die Daten des hier in Rede stehenden Schutzniveaus – wie sie in faktisch jedem Unternehmen, jeder Behörde oder jeder Rechtsanwaltskanzlei mit Kundenkontakt vorliegen – zu sichern. Ein „Vier-Augen-Prinzip“ oder eine Freigabe durch Vorgesetzte kann( …) entgegen der Auffassung des Klägers nicht abverlangt werden.”
Bei Mitarbeitern im Support, welche bei den Anfragen von Kunden permanent auf deren - nicht besonders sensible - Daten zurückgreifen müssen, würden solche Prinzipien dazu führen, dass jede Anfrage stets von zwei Mitarbeitern durchzuführen wäre. Dies wäre ein unverhältnismäßiger Zeit- und Kostenaufwand (...), der im Übrigen auch sonst in keinem Unternehmen üblich ist."