Datenleck beim Musik-Streaming: Was tun, wenn meine Daten im Darknet landen?

Wer Musik über einen Streaming-Dienst hört, vertraut diesem sensible Daten an. Doch was passiert, wenn diese Daten in falsche Hände geraten? Viele Unternehmen vertrauen auf spezia­li­sierte Auftrags­da­ten­ver­ar­beiter, um ihre Daten effizient zu verwalten. Doch was passiert mit den Daten nach Vertragsende? Ein Urteil des OLG Dresden vom 15. Oktober 2024 (AZ: 4 U 940/24) zeigt, welche Rechte Nutzer haben, deren Daten nach einem Hacker­angriff im Darknet gelandet sind.

Das Gericht verpflichtete den Streaming­dienst, die Löschung der Kundendaten bei externen Dienst­leistern genau zu überwachen. Andernfalls drohen Schaden­er­satz­an­sprüche der Nutzer, so das Rechts­portal anwalt­auskunft.de. Dafür muss allerdings ein möglicher Schaden nachge­wiesen werden.

Kontroll­pflichten eines Musik-Streaming-Dienstes

Ein Nutzer eines Musikstrea­ming­dienstes klagte gegen das Unternehmen, weil seine Daten im Darknet zum Verkauf angeboten wurden. Die Daten stammten aus einem Hacker­angriff auf einen externen Dienst­leister, der die Daten trotz Vertragsende nicht gelöscht hatte. Der Nutzer war der Ansicht, dass der Streaming-Dienst die Löschung seiner Daten nicht ausreichend kontrolliert habe und verlangte Schaden­ersatz.

Gericht konkre­tisiert Prüfpflichten nach DSGVO

Das OLG Dresden entschied, dass Unternehmen auch nach Vertragsende dafür verant­wortlich sind, dass externe Dienst­leister die Daten ihrer Kunden löschen. Eine bloße Mitteilung des Dienst­leisters reicht nicht aus. Das Unternehmen muss die Löschung aktiv prüfen und sich bestätigen lassen. Im konkreten Fall hätte sich der Musikstreaming-Dienst die Löschung schriftlich bestätigen lassen müssen.

Erhält der Nutzer Schadens­ersatz?

Obwohl das Gericht einen Fehler des Streaming-Dienstes feststellte, erhielt der Nutzer keinen Schadens­ersatz. Er konnte nicht nachweisen, dass ihm durch den Datenverlust ein konkreter Schaden entstanden war. Die Befürchtung eines möglichen Missbrauchs der Daten reichte nicht aus.

Was bedeutet das Urteil für die Nutzerinnen und Nutzer?

Das Urteil des OLG Dresden stärkt den Datenschutz im Bereich der Auftrags­da­ten­ver­ar­beitung. Es zeigt, dass Unternehmen auch dann für die Sicherheit von Kundendaten verant­wortlich sind, wenn diese von externen Dienst­leistern verarbeitet werden.

Handlungs­emp­feh­lungen für Unternehmen

Das Urteil hat weitrei­chende Folgen für die Praxis. Unternehmen sollten folgende Maßnahmen ergreifen

• Klare Vertragsgestaltung: Auftragsverarbeitungsverträge müssen detaillierte Regelungen zur Datenlöschung enthalten.
• Nachvollziehbare Kontrolle: Verantwortliche sollten Dokumentationspflichten ernst nehmen und Nachweise über die Löschung von Daten zeitnah einfordern.
• Risikomanagement: Je sensibler die Daten, desto umfassender müssen die Kontrollmaßnahmen sein.

Quelle: www.anwalt­auskunft.de