Auftragsende: Warum ein AVV allein Sie nicht schützt

Ihr Dienstleister schreibt Ihnen zum Auftragsende eine Mail: Morgen löschen wir alles. Sie haken das ab. Der Vertrag ist beendet, der AVV lag vor, das Thema ist durch. Drei Jahre später stehen die Daten Ihrer Kunden im Darknet zum Verkauf. Und die Frage, die dann gestellt wird, lautet nicht, was der Dienstleister falsch gemacht hat. Sie lautet: Was haben Sie getan, um sicherzugehen? Genau darüber hat der Bundesgerichtshof am 11. November 2025 entschieden.

Was der BGH entschieden hat, und was ausdrücklich nicht

Zuerst die Ehrlichkeit, weil hier gerade viel Halbes durch die Netzwerke läuft. Das Urteil trägt das Aktenzeichen VI ZR 396/24, es stammt vom 11. November 2025, die Vorinstanzen waren das Oberlandesgericht Dresden und das Landgericht Dresden. Der BGH hat der Beklagten aber nichts auferlegt. Er hat auf die Revision des Klägers das Berufungsurteil teilweise aufgehoben und die Sache an das Oberlandesgericht zurückverwiesen. Es gibt kein Endurteil und keine zugesprochene Summe.

Wer schreibt, ein Unternehmen sei verurteilt worden, hat das Urteil nicht gelesen. Was Sie mitnehmen können, sind die beiden amtlichen Leitsätze, und die sind stark genug. Sie legen den Maßstab fest, an dem das Oberlandesgericht den Fall jetzt neu bewerten muss, und an dem sich jeder Verantwortliche messen lassen muss.

Der Verantwortliche darf sich allerdings grundsätzlich nicht damit begnügen, mit dem Auftragsverarbeiter einen Vertrag abzuschließen, in dem diesem die vertragliche Verpflichtung zur Löschung der Daten und zum Nachweis der Löschung bei Auftragsbeendigung auferlegt wird.

Das ist der Satz. Er steht in den Entscheidungsgründen und er räumt mit einem Irrtum auf, dem ich in Gesprächen ständig begegne: Der AVV liegt vor, also ist das Thema erledigt. Ist es nicht. Der Vertrag ist die Pflicht. Die Kontrolle ist auch die Pflicht.

Der Fall in fünf Zeilen

Das Gericht anonymisiert die Beteiligten selbst, und ich mache es genauso. Es geht um einen Online-Musikstreamingdienst mit Sitz in Frankreich und um dessen externen Auftragsverarbeiter.

• 1. Dezember 2019: Der Auftrag endet.
• 30. November 2019: Der Auftragsverarbeiter mailt, er werde am Folgetag die Webseite und alle Daten auf der Webseite löschen.
• November 2022: Datensätze von Nutzern des Dienstes tauchen im Darknet auf, Stand 2019.
• 22. Februar 2023: Der Auftragsverarbeiter bestätigt erstmals, dass tatsächlich gelöscht worden sei.
• Der Grund für die Lücke: Mitarbeiter des Dienstleisters hatten die Daten nicht gelöscht, sondern von der Produktiv- in eine Testumgebung überführt.

Warum die Ankündigung nicht reichte

Hier wird es für die Praxis interessant, und hier steckt die Lehre für jeden Betrieb. Angekündigt war die Löschung der Webseite und aller Daten auf der Webseite. Geschuldet war etwas anderes, nämlich die vollständige Löschung auch aller Datenkopien. Die Kopie lag nicht auf der Webseite. Sie lag in einer Testumgebung, und genau die hat drei Jahre später den Schaden erzeugt.

Das kenne ich aus jeder Werkstatt und jedem Serverraum. Der Hauptbestand wird sauber abgeräumt, und dann liegt irgendwo noch die Kopie: im Testsystem, im Backup, in der Exportdatei auf einem Laufwerk, im Postfach des Projektleiters. Wer nur fragt, ob gelöscht wurde, bekommt ein Ja. Wer fragt, was gelöscht wurde und wo überall es lag, bekommt eine Liste.

Dazu kommt ein zweiter Punkt, der mir noch besser gefällt, weil er messbar ist. Vertraglich war eine schriftliche Bestätigung der vollständigen Löschung geschuldet, mit einer Frist von 21 Tagen. Die kam nicht. Nachgefragt wurde erst 2023, mehr als drei Jahre nach Auftragsende und erst nachdem der Hacking-Vorfall bekannt geworden war. Der BGH nennt das ersichtlich verspätet. Es gab also einen Termin, es gab ein Versäumnis, und beides steht in Ihrem eigenen Vertrag.

Art. 28 nennt den Prüfer beim Namen

Der Senat stützt sich auf Art. 28 Abs. 3 Satz 2 der Datenschutz-Grundverordnung, Buchstabe g und Buchstabe h. Buchstabe g regelt die Löschung oder Rückgabe nach Abschluss der Verarbeitung. Buchstabe h ist der, den kaum jemand zitiert: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung und ermöglicht Überprüfungen seitens des Verantwortlichen oder eines von diesem beauftragten Prüfers, und trägt dazu bei.

Lesen Sie den Halbsatz noch einmal. Ein von diesem beauftragter Prüfer. Das ist keine Erfindung einer Beratungsbranche, das steht seit 2018 im Verordnungstext. Es ist die Beschreibung eines Zweitparteien-Audits, und es ist der Grund, warum ich dieses Format überhaupt anbiete. Der Anspruch, den Dienstleister zu prüfen, ist bereits da. Er wird nur selten genutzt.

Wer nach ISO 27001 arbeitet, hat das Verfahren schon

Das Urteil klingt nach Datenschutzrecht, aber es beschreibt eine Managementaufgabe, für die es längst eine Norm gibt. ISO/IEC 27001 führt die Lieferantenbeziehungen als eigenen Block: Informationssicherheit in Lieferantenbeziehungen, die Regelung innerhalb der Vereinbarungen, die Steuerung der gesamten Kette einschließlich der Unterauftragnehmer und die laufende Überwachung und Überprüfung der Dienstleistungen. Dazu kommt die Rückgabe von Werten beim Ende eines Vertragsverhältnisses.

Wer diese Maßnahmen ernsthaft umgesetzt hat, hat genau das Verfahren, das der BGH einfordert. Es hat nur einen anderen Namen. In der Norm heißt es Überwachung und Überprüfung von Lieferantendienstleistungen, im Urteil heißt es das nach den Umständen des Einzelfalls Erforderliche. Gemeint ist dasselbe: Sie schauen nach, und Sie halten fest, dass Sie nachgeschaut haben.

Der praktische Nutzen liegt in der Reihenfolge. Ein Managementsystem behandelt das Vertragsende als Prozessschritt mit Verantwortlichem und Termin, nicht als Erinnerung. Genau daran ist der Fall gescheitert: Es gab eine Frist, aber niemanden, dem sie gehörte.

Und jetzt KI: dieselbe Pflicht, nur leichter zu übersehen

Ich habe dieses Urteil auf drei KI-Projekte gelegt, mit denen ich in den letzten Monaten zu tun hatte. In allen dreien ist die Lage identisch, nur unübersichtlicher.

• HR-KI im Bewerbungsprozess: Lebensläufe gehen an einen Dienst, der sie vorsortiert. Bei Vertragsende reicht es nicht, den Zugang abzuschalten. Auch die hochgeladenen Dokumente, die daraus gebildeten Merkmale und die Protokolle müssen weg.
• Vision-Prüfung in der Fertigung: Bilder von der Linie trainieren ein Modell. Nach dem Auftrag liegen die Bilder im Trainingsdatensatz des Anbieters, oft in mehreren Versionen. Das eigentliche Modell ist dabei nicht einmal das Problem, die Rohbilder sind es.
• ERP-KI im Auftragswesen: Kundendaten laufen als Prompt an ein Sprachmodell. Was danach in Logs, Zwischenspeichern und einer Vektordatenbank liegt, weiß niemand aus dem Vertrag heraus. Man muss danach fragen.

Bei klassischer Auftragsverarbeitung gibt es einen Datenbestand und ein Backup. Bei KI-Diensten gibt es Eingaben, Ausgaben, Protokolle, Einbettungen, Zwischenstände und je nach Modell auch noch Feinabstimmungsdaten. Wer hier fragt, ob gelöscht wurde, ohne zu sagen was, bekommt eine Antwort, die für ein Gericht nichts wert ist.

Was ich am Auftragsende schwarz auf weiß sehen will

Das ist keine Rechtsberatung, sondern die Liste, mit der ich in ein Lieferantenaudit gehe. Sie ist kurz genug, dass man sie umsetzt.

• Eine Löschbestätigung mit Datum, Unterschrift und benannter Rolle. Nicht eine Ankündigung, sondern eine Bestätigung über etwas, das geschehen ist.
• Eine Aufzählung, was gelöscht wurde: Produktivbestand, Testumgebungen, Backups, Exporte, Protokolle. Wer nur den Produktivbestand nennt, sagt Ihnen damit etwas über den Rest.
• Die Frist aus Ihrem eigenen Vertrag im Kalender, nicht im Kopf. Kommt nichts, wird nachgefasst, und das wird notiert.
• Bei Unterauftragnehmern dieselbe Kette. Die Testumgebung, die Ihnen den Schaden macht, muss nicht beim direkten Vertragspartner stehen.
• Bei KI-Diensten zusätzlich: Prompts und Ausgaben, Protokolle, Einbettungen und Vektorspeicher, Feinabstimmungsdaten, ausdrücklich benannt.
• Ein Vermerk, was Sie geprüft haben und wann. Der Nachweis Ihrer eigenen Sorgfalt entsteht nur, wenn Sie ihn führen.

Der teuerste Satz in diesem Fall ist nicht juristisch. Er lautet: Wir haben uns darauf verlassen. Verlassen ist keine Maßnahme. Ein Anruf im Dezember 2019 hätte gereicht.

Zum Schluss die Einordnung, die dazugehört: Ich bin Auditor, kein Anwalt. Dieser Text ordnet ein Urteil ein und ersetzt keine Rechtsberatung. Und weil das Verfahren zurückverwiesen ist, steht das letzte Wort in diesem konkreten Fall noch aus. Der Maßstab steht trotzdem, und er gilt ab sofort für jeden, der Daten aus der Hand gibt.