Datenweitergabe an Auftragsverarbeiter: zwei Fragen für den EuGH.
Mit Beschluss vom 26. Mai 2026 (6 Ob 69/25b) legt der OGH dem EuGH zwei Grundsatzfragen zur Auftragsverarbeitung vor: Braucht die Weitergabe von Daten an einen Auftragsverarbeiter eine eigene Rechtsgrundlage nach Art. 6 DSGVO — und muss eine informierte Einwilligung den Einsatz eines Dienstleisters im Drittland umfassen? Die Antworten betreffen praktisch jedes Unternehmen mit externen Diensten, und in besonderem Maß Netzbetreiber mit ihren Smart-Meter-Datenflüssen.
Ein Newsletter, ein Phishing-Angriff, ein Grundsatzfall.
Der Käufer einer Hardware-Wallet abonnierte den Newsletter des Herstellers. Der Hersteller ließ den Versand von einem US-Dienstleister als Auftragsverarbeiter abwickeln; die E-Mail-Adresse lag auf US-Servern. Im März 2022 wurde der Dienstleister Ziel eines Phishing-Angriffs, die Adresse wurde erbeutet. Kurz darauf erhielt der Kläger eine täuschend echte Phishing-Mail, gab seinen Recovery Seed ein und verlor seine Kryptowerte.
Aus dem Einzelfall wird eine Grundsatzfrage: Hat der Hersteller durch den Einsatz des US-Dienstleisters die DSGVO verletzt, und haftet er deshalb für den Vermögensschaden?
Erste Vorlagefrage: eigene Rechtsgrundlage für die Weitergabe?
Dogmatisch ist die erste Frage die gewichtigere: Muss die Übermittlung personenbezogener Daten vom Verantwortlichen an einen Auftragsverarbeiter eigenständig nach Art. 6 Abs. 1 DSGVO gerechtfertigt sein, oder tragen die Sonderregeln der Art. 28 und Art. 44 ff. DSGVO allein? Die überwiegende Literatur verneint eine eigene Rechtsgrundlage — der Auftragsverarbeiter sei kein „Dritter" im Sinne der Verordnung.
Verlangt der EuGH sie doch, steht die Compliance-Praxis der Auftragsverarbeitung neu auf: Jede Weitergabe an jeden Dienstleister — Hosting, CRM, Newsletter, Analytics — müsste von der bestehenden Rechtsgrundlage ausdrücklich mitgetragen sein.
Zweite Vorlagefrage: muss die Einwilligung das Drittland umfassen?
Nach Art. 4 Nr. 11 DSGVO muss eine Einwilligung „in informierter Weise" erteilt werden. Im Anlassfall stand der Hinweis auf den US-Dienstleister im englischen Kleingedruckten einer Bestätigungs-E-Mail; der Kläger hatte ihn nicht gelesen. Der OGH deutet an, dass das nach bisherigem Verständnis kaum genügt, zumal die Kommunikation in der Landessprache lief.
Warum der OGH vorlegt.
Zu beiden Fragen fehlt eine klärende Entscheidung des EuGH. Die Literaturlinie zur ersten Frage ist gefestigt, aber unbestätigt — ein Acte clair liegt nicht vor. Zur zweiten Frage verlangen die EDSA-Leitlinien 05/2020 zwar Mindestinformationen für eine wirksame Einwilligung, nennen den Drittlands-Auftragsverarbeiter aber nicht ausdrücklich. Bis zur Entscheidung — erfahrungsgemäß ein bis zwei Jahre — bleibt die Rechtslage offen; die Exponierung der laufenden Verarbeitungen nicht.
Was das für Netzbetreiber bedeutet.
Netzbetreiber verarbeiten mit Smart-Meter-Verbrauchsdaten personenbezogene Daten in der Fläche, und kaum einer tut das ohne Auftragsverarbeiter: Messdatenmanagement, Abrechnungs-Dienstleister, Cloud- und IT-Betrieb, Kundenkommunikation. Verlangt der EuGH für jede dieser Weitergaben eine eigene Rechtsgrundlage nach Art. 6, ist das für einen Netzbetreiber kein Einzelfall-, sondern ein Bestandsthema: Millionen Zählpunkte, dieselbe Dienstleisterkette, dieselbe Dokumentationslücke.
Anders als im Anlassfall stützen Netzbetreiber ihre Verarbeitung meist nicht auf Einwilligung, sondern auf gesetzliche Grundlagen (ElWG, rechtliche Verpflichtung, öffentliches Interesse). Das entschärft die zweite Vorlagefrage — nicht aber die erste: Die Rechtsgrundlagen-Dokumentation je Weitergabe im Verarbeitungsverzeichnis und die Drittlandprüfung der Dienstleisterkette treffen Netzbetreiber in vollem Umfang. Wer die Smart-Meter-Datenflüsse jetzt sauber kartiert, muss bei jeder denkbaren EuGH-Antwort nur nachjustieren statt neu bauen.
Die vorausschauende Prüfung.
Wer vorbereitet sein will, prüft jetzt: die AVV-Bestände auf Drittlandbezug, die Einwilligungsprozesse auf klare, landessprachliche Information über Drittlands-Dienstleister, die Dokumentation der Rechtsgrundlage für jede Weitergabe im Verarbeitungsverzeichnis — und ob EU-Alternativen die Frage von vornherein vermeiden. Skribe führt solche AVV- und Datenfluss-Prüfungen als Serie, nicht als Einzelfall, für Unternehmen wie für Netzbetreiber.