Braucht die Datenweitergabe an Auftragsverarbeiter eine eigene Rechtsgrundlage?
11.08.2026
Zusammenfassung
Der österreichische OGH hat dem EuGH zwei grundlegende Fragen zur DS-GVO vorgelegt. Braucht die Datenweitergabe an einen Auftragsverarbeiter eine eigene Rechtsgrundlage nach Art. 6 DS-GVO – oder regeln Art. 28 und Art. 44 ff. DS-GVO das abschließend? Und muss vor einer Einwilligung transparent und verständlich auf den Einsatz eines Drittland-Dienstleisters hingewiesen werden? Hintergrund ist ein Fall, in dem ein Nutzer nach einem Datenleck beim Newsletter-Dienstleister eines Hardware-Wallet-Herstellers seine Kryptowerte verlor. Je nach EuGH-Entscheidung müssten Unternehmen EU-weit ihre Auftragsverarbeitungsverträge, Verarbeitungsverzeichnisse und Einwilligungsprozesse grundlegend überarbeiten.
5 Minuten Lesezeit
Der Österreichische Oberste Gerichtshof (OGH) hat mit Beschluss vom 26. Mai 2026 (6 Ob 69/25b) zwei grundlegende Fragen zur Datenschutz-Grundverordnung dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung vorgelegt. Die Antworten des EuGH könnten die Datenschutz-Compliance für tausende Unternehmen in der EU grundlegend verändern – insbesondere im Bereich der Auftragsverarbeitung und der Drittlandübermittlung.
Der Sachverhalt: Newsletter, US-Dienstleister und Kryptowährungsdiebstahl
Ausgangspunkt ist ein auf den ersten Blick alltäglicher Vorgang: Ein Käufer einer Hardware-Wallet – einem Gerät zur sicheren Aufbewahrung von Kryptowährungen – meldete sich beim Hersteller für einen Newsletter an. Zur technischen Abwicklung setzte der Hersteller einen US-amerikanischen Dienstleister als Auftragsverarbeiter ein, sodass die E-Mail-Adresse des Nutzers auf US-Servern gespeichert wurde. Im März 2022 wurde dieser Dienstleister Opfer eines Phishing-Angriffs; die E-Mail-Adresse des Klägers wurde entwendet. Der Kläger erhielt daraufhin eine täuschend echte Phishing-Mail, gab seinen Recovery Seed ein und verlor sämtliche Kryptowerte. Er machte den Hersteller für diesen Schaden verantwortlich und rügte dabei einen Verstoß gegen die DS-GVO bei der Einbindung des US-Dienstleisters.
Die zwei Vorlagefragen an den EuGH
Der OGH hat aus diesem Sachverhalt zwei Rechtsfragen von grundsätzlicher Bedeutung abgeleitet.
Die erste und dogmatisch weitreichendere Frage lautet: Bedarf die Übermittlung personenbezogener Daten vom Verantwortlichen an einen Auftragsverarbeiter einer eigenständigen Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO? Oder wird dieser Datenfluss abschließend durch die speziellen Regelungen zur Auftragsverarbeitung (Art. 28 DS-GVO) sowie zur Drittlandübermittlung (Art. 44 ff. DS-GVO) erfasst? Die überwiegende Literaturmeinung geht bislang davon aus, dass eine gesonderte Rechtsgrundlage nicht erforderlich ist, weil der Auftragsverarbeiter kein „Dritter“ im Sinne der DS-GVO ist und die Datenweitergabe an ihn keine eigenständig rechtfertigungsbedürftige Verarbeitung darstellt. Eine klarstellende EuGH-Entscheidung fehlt jedoch – weshalb der OGH keinen sog. „Acte Clair“ erkennt.
Die zweite Frage betrifft die Anforderungen an eine wirksame Einwilligung: Muss die betroffene Person vor ihrer Einwilligung wissen, dass der Verantwortliche zur Durchführung der Datenverarbeitung einen Auftragsverarbeiter in einem Drittland einsetzen will? Im konkreten Fall enthielt die Bestätigungs-E-Mail zum Newsletter lediglich einen englischsprachigen Hinweis auf den US-Dienstleister – versteckt im Kleingedruckten der Fußzeile. Der OGH bezweifelt, ob eine solche Gestaltung den Anforderungen an eine „in informierter Weise“ erteilte Einwilligung gemäß Art. 4 Nr. 11 DS-GVO genügt.
Rechtliche Einordnung
Beide Vorlagefragen berühren Kernbereiche des europäischen Datenschutzrechts. Art. 6 DS-GVO regelt die Rechtmäßigkeit der Verarbeitung und benennt abschließend die zulässigen Rechtsgrundlagen – von der Einwilligung über die Vertragserfüllung bis hin zum berechtigten Interesse. Art. 28 DS-GVO legt die vertraglichen und organisatorischen Anforderungen an die Auftragsverarbeitung fest, während Art. 44 ff. DS-GVO die Bedingungen für Drittlandübermittlungen regeln. Die Frage, ob zwischen diesen Regelungsbereichen ein Konkurrenzverhältnis besteht oder ob Art. 6 DS-GVO stets ergänzend herangezogen werden muss, ist bislang höchstrichterlich nicht abschließend geklärt.
Praktische Bedeutung für Unternehmen
Die Tragweite einer künftigen EuGH-Entscheidung ist erheblich. Nahezu jedes Unternehmen setzt externe Dienstleister ein – sei es für Hosting, E-Mail-Marketing, CRM-Systeme oder Web-Analytics. Sollte der EuGH entscheiden, dass für jede Datenweitergabe an einen Auftragsverarbeiter eine eigenständige Rechtsgrundlage nach Art. 6 DS-GVO erforderlich ist, müssten Unternehmen ihre Verarbeitungsverzeichnisse, Datenschutzerklärungen und die zugrunde liegenden Rechtsgrundlagen umfassend überprüfen und gegebenenfalls anpassen.
Auch die zweite Vorlagefrage hat unmittelbar praktische Relevanz: Viele Unternehmen gestalten Einwilligungsprozesse so, dass Hinweise auf den Einsatz von Drittland-Dienstleistern nur im Kleingedruckten oder in verlinkten Datenschutzerklärungen zu finden sind. Verlangt der EuGH hier eine prominentere und sprachlich zugängliche Information, wäre eine Anpassung bestehender Einwilligungsformulare und Opt-in-Prozesse erforderlich.
Fazit
Der OGH-Beschluss 6 Ob 69/25b ist somit kein österreichischer Sonderfall, sondern adressiert Rechtsfragen, die für die gesamte Datenschutzpraxis in der EU von Bedeutung sind. Unternehmen sollten die weitere Entwicklung daher aufmerksam verfolgen und bereits jetzt ihre Auftragsverarbeitungsverträge, Einwilligungsprozesse und Drittlandtransfers einer kritischen Prüfung unterziehen.
