Braucht die Weitergabe an einen Auftragsverarbeiter eine eigene Rechtsgrundlage?
Der österreichische Oberste Gerichtshof hat diese Frage am 26.05.2026 dem EuGH vorgelegt. Eine Antwort dauert erfahrungsgemäß ein bis zwei Jahre. Die Frage selbst betrifft aber jeden, der ein Werkzeug mit einem Auftragsverarbeiter im Ausland einsetzt, und lohnt sich deshalb schon jetzt zu kennen.
Der Fall dahinter
Ein Käufer einer Hardware-Wallet für Kryptowerte hatte 2020 den Newsletter des Herstellers abonniert. Die Newsletter-Verwaltung lief über einen Auftragsverarbeiter in den USA. 2022 wurde dieser Dienst Ziel eines Phishing-Angriffs, und der Käufer verlor seine Kryptowerte. Er verklagte den Hersteller mit dem Argument, die Übermittlung seiner E-Mail-Adresse in ein Drittland sei ohne wirksame Einwilligung erfolgt.
Der OGH (Geschäftszahl 6 Ob 69/25b) hat das Verfahren daraufhin ausgesetzt und legt dem EuGH zwei Fragen zur Vorabentscheidung vor.
Die zwei Fragen an den EuGH
- Braucht die Weitergabe von Daten an einen Auftragsverarbeiter eine eigene Rechtsgrundlage nach Art. 6 DSGVO, oder reichen die Regeln zur Auftragsverarbeitung und zur Drittlandübermittlung nach Art. 28 und Art. 44 ff. für sich allein aus?
- Falls die erste Frage verneint wird: Muss eine informierte Einwilligung ausdrücklich nennen, dass ein Auftragsverarbeiter außerhalb der EU eingesetzt wird?
Warum das über den Einzelfall hinausgeht
In der Praxis reicht bisher ein Auftragsverarbeitungsvertrag nach Art. 28, sobald ein Dienstleister weisungsgebunden verarbeitet. Der AVV-Artikel dieser Seite beschreibt genau diese Abgrenzung. Der OGH stellt jetzt infrage, ob das bei jeder Verarbeitung wirklich genügt oder ob die Weitergabe selbst zusätzlich eine eigene Grundlage braucht. Fällt die Antwort so aus, würde eine Einwilligung, die nur den Newsletter selbst nennt, nicht mehr reichen, sobald der Versand über einen Anbieter im Drittland läuft.
Für die Werkzeugwahl heißt das im Vorgriff wenig. Ein Dienst mit europäischem Sitz und europäischer Verarbeitung bleibt von der Frage unberührt, wie auch immer der EuGH am Ende entscheidet. Bei US-Diensten kommt eine mögliche zweite Unsicherheit zur ersten hinzu, dem ohnehin wackligen Data Privacy Framework aus dem Artikel über US-Cloud-Dienste.
Was jetzt zu tun ist
Nichts Akutes. Der EuGH braucht laut OGH erfahrungsgemäß ein bis zwei Jahre für eine Antwort, ein Verhandlungstermin steht noch nicht fest. Sinnvoll ist trotzdem, in der eigenen Datenschutzerklärung schon jetzt zu nennen, welcher Auftragsverarbeiter eingesetzt wird und in welchem Land er sitzt. Das macht die eigene Einwilligung robuster, unabhängig davon, wie der EuGH am Ende entscheidet.
Zum Verzeichnis, 78 europäische Alternativen
Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen zum Stand September 2026 wieder und ersetzt keine Prüfung deines Einzelfalls. Bei konkreten Fragen wende dich an einen Rechtsanwalt oder Datenschutzbeauftragten.