Der Kunde geht insolvent, der Dienstleister bleibt allein mit den Daten – und wird Verantwortlicher

Was geschehen ist

Am 24. März 2020 wird eine norwegische Handelskette insolvent. Die ehemaligen Beschäftigten beantragen beim Insolvenzverwalter die Deckung der Löhne für die geleisteten Tage und benötigen dafür ihre Stundenzettel: Arbeitszeiten, Schichten, Anwesenheiten. Diese Daten liegen jedoch im System eines externen Dienstleisters, der sie im Auftrag des Unternehmens verarbeitete. Der Verwalter hat keinen Systemzugang. Am 18. Juni stellt ein ehemaliger Beschäftigter einen Auskunftsantrag zu seinen eigenen Daten; insgesamt gehen achtzig ein. Am 23. Juni antwortet der Dienstleister schriftlich, er habe keine eigenständige Verfügungsbefugnis und dürfe niemandem Daten offenlegen, „nicht einmal den betroffenen Personen selbst".

Eine Verarbeitung ohne Verantwortlichen gibt es nicht

Art. 28 Abs. 10 bestimmt, dass ein Auftragsverarbeiter, der Zwecke und Mittel festlegt, für diese Verarbeitung Verantwortlicher wird. Nach der Insolvenz war der Dienstleister der Einzige mit Zugang zu den Systemen, entschied, ob und an wen Daten herausgegeben wurden, legte die Speicherdauer fest und bearbeitete Betroffenenanfragen eigenständig. Das sind Entscheidungen über die wesentlichen Mittel der Verarbeitung, und die stehen dem Verantwortlichen zu. Die Verordnung kennt keinen Auftragsverarbeiter ohne Verantwortlichen: Für jede Verarbeitung muss jemand einstehen.

Die Rechnung setzt keine Rechte aus

Der Dienstleister hatte vom Verwalter verlangt, offene Forderungen zu begleichen, bevor er die Stundenzettel herausgebe, und bot „Rohdaten" nur im Rahmen eines neuen kostenpflichtigen Auftrags an. Die Behörde hat beides getrennt: Ob dem Dienstleister eine Vergütung zusteht, ist eine vertragliche Frage, die die DSGVO nicht regelt, während die Auskunft binnen eines Monats zu erteilen ist (Art. 12 Abs. 3) und im Grundsatz unentgeltlich (Art. 12 Abs. 5). Eine offene Rechnung gegenüber einem insolventen Kunden ist keine Rechtsgrundlage, um jemandem die eigenen Daten zu verweigern.

• Was mit den Daten geschieht, wenn der Verantwortliche insolvent wird oder wegfällt. Die Standardklausel „nach Vertragsende zurückgeben oder löschen" genügt nicht, wenn Beschäftigte diese Daten für eine Forderung brauchen: Es muss geregelt sein, wer in der Zwischenzeit Auskunftsanträge beantwortet.
• Ist Ihr Mandant selbst Dienstleister, prüfen Sie, ob er den Moment erkennt, in dem ihm niemand mehr Weisungen erteilt. Ab dann bestimmt er entweder den Nachfolger – in der Regel den Insolvenzverwalter – oder er erkennt an, dass er selbst Verantwortlicher ist.
• Kein Auskunftsantrag darf von einer Zahlung abhängig gemacht werden. Daran ist der Dienstleister gescheitert, und es ist zugleich der Punkt, der sich am leichtesten in eine interne Verfahrensanweisung schreiben lässt.

Das Bußgeld, und warum es niedriger ausfällt als erwartet

Zweihundertfünfzigtausend norwegische Kronen, rund fünfundzwanzigtausend Euro. Im Anhörungsschreiben vom April 2025 hatte die Behörde noch siebenhundertfünfzigtausend angekündigt und den Betrag dann wegen der Verfahrensdauer reduziert: Die Beschwerde war am 30. Juni 2020 eingegangen, das erste Auskunftsersuchen an das Unternehmen ging am 15. Oktober 2024 hinaus. Der Fall wurde als grenzüberschreitend behandelt, mit Schweden, Dänemark und Spanien unter den betroffenen Aufsichtsbehörden.