Auf einen Blick: Der Österreichische Oberste Gerichtshof (OGH) hat mit Beschluss vom 26. Mai 2026 (6 Ob 69/25b) zwei grundlegende Fragen zur DSGVO dem Europäischen Gerichtshof (EuGH) zur Vorabentscheidung vorgelegt. Im Kern geht es darum: Braucht die Weitergabe von Kundendaten an einen Auftragsverarbeiter — etwa einen US-amerikanischen Newsletter-Dienst — eine eigene Rechtsgrundlage nach Art. 6 DSGVO? Und: Muss der Nutzer bei seiner Einwilligung wissen, dass seine Daten in ein Drittland übermittelt werden? Die Antworten des EuGH werden die Compliance-Anforderungen für tausende Unternehmen in der EU maßgeblich bestimmen.
Der Sachverhalt: Hardware-Wallet, Newsletter und Kryptowährungsdiebstahl
Der zugrundeliegende Fall klingt zunächst wie ein typischer Datenschutzrechtsfall, entpuppt sich aber als datenschutzrechtlicher Grundsatzfall mit enormer Tragweite. Ein Käufer einer Hardware-Wallet (einem Gerät zur sicheren Aufbewahrung von Kryptowährungen) schloss sich für den Newsletter des Herstellers an. Der Hersteller nutzte dafür einen US-amerikanischen Dienstleister als Auftragsverarbeiter — die E-Mail-Adresse des Klägers wurde auf US-Servern gespeichert.
Im März 2022 wurde dieser US-Dienstleister Opfer eines Phishing-Angriffs. Dabei wurden unter anderem die E-Mail-Adresse des Klägers erbeutet. Kurz darauf erhielt der Kläger eine täuschend echte Phishing-Mail, gab seinen Recovery Seed ein — und verlor seine gesamten Kryptowerte.
Die zentrale Rechtsfrage: Hat der Hersteller durch die Nutzung des US-Dienstleisters die DSGVO verletzt? Und haftet er deshalb für den entstandenen Kryptowährungsschaden?
Die zwei Vorlagefragen an den EuGH
Frage 1: Eigene Rechtsgrundlage für die Datenweitergabe an Auftragsverarbeiter?
Die erste und dogmatisch bedeutsamere Frage: Muss für die Übermittlung personenbezogener Daten vom Verantwortlichen an einen Auftragsverarbeiter eine eigenständige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegen — oder reichen die speziellen Regelungen für Auftragsverarbeiter (Art. 28 DSGVO) und für Drittlandübermittlungen (Art. 44 ff. DSGVO) aus?
Die Praxisrelevanz dieser Frage ist kaum zu überschätzen: Nahezu jedes Unternehmen nutzt externe Dienstleister — Hosting-Anbieter, CRM-Systeme, E-Mail-Dienste, Analytics-Tools. Müssten für jede Datenweitergabe an einen Auftragsverarbeiter zusätzlich die Voraussetzungen von Art. 6 DSGVO vorliegen, würde das die gesamte Compliance-Praxis der Auftragsverarbeitung neu aufstellen.
Die überwiegende Literaturmeinung — gestützt auf Standardkommentare wie Ehmann/Selmayr, Kühling/Buchner und Wolff/Brink — vertritt bislang, dass für die Datenweitergabe an einen Auftragsverarbeiter keine gesonderte Rechtsgrundlage nach Art. 6 DSGVO erforderlich ist. Der Auftragsverarbeiter sei kein „Dritter" im DSGVO-Sinne, die Datenübermittlung an ihn daher keine eigenständig rechtfertigungsbedürftige Verarbeitung.
Praxishinweis: Würde der EuGH eine eigenständige Art. 6-Rechtsgrundlage verlangen, müssten Unternehmen überprüfen, ob ihre bestehenden Rechtsgrundlagen (Einwilligung, berechtigtes Interesse, Vertragserfüllung) auch die Datenweitergabe an jeden einzelnen Auftragsverarbeiter explizit abdecken. Eine umfassende Überprüfung der Verarbeitungsverzeichnisse und Datenschutzerklärungen wäre unvermeidbar.
Frage 2: Muss die Einwilligung den Einsatz eines Drittlands-Auftragsverarbeiters umfassen?
Die zweite Frage ist unmittelbar auf den vorliegenden Fall zugeschnitten: Setzt eine wirksame, „in informierter Weise" erteilte Einwilligung nach Art. 4 Nr. 11 DSGVO voraus, dass die betroffene Person vor ihrer Einwilligung weiß, dass der Verantwortliche zur Durchführung der konkreten Datenverarbeitung einen Auftragsverarbeiter in einem Drittland einsetzen will?
Im konkreten Fall war in der Bestätigungs-E-Mail zum Newsletter im Kleingedruckten auf Englisch darauf hingewiesen worden, dass ein US-amerikanischer Dienstleister genutzt wird. Der Kläger hatte diesen Hinweis nicht gelesen und war sich nicht bewusst, dass seine Daten auf US-Servern verarbeitet werden würden.
Achtung für die Praxis: Der OGH weist explizit darauf hin, dass Kleingedrucktes auf Englisch in der Fußzeile einer Bestätigungs-E-Mail nach dem bisherigen Verständnis möglicherweise nicht ausreicht, um eine wirksame, informierte Einwilligung zu begründen — insbesondere wenn die Nutzer in der Landessprache kommuniziert haben. Für alle Unternehmen, die Newsletter-Dienste oder ähnliche Drittland-Services nutzen, besteht dringender Handlungsbedarf bei der Gestaltung ihrer Einwilligungsprozesse.
Warum kein „Acte Clair"?
Der OGH begründet seine Vorlage damit, dass zur Frage 1 kein „Acte Clair" vorliege — also keine derart eindeutige Rechtslage, dass eine eigene EuGH-Entscheidung entbehrlich wäre. Zwar spreche die überwiegende Literaturmeinung für eine Lösung ohne gesonderte Art. 6-Rechtsgrundlage, doch fehlt bislang eine klarstellende EuGH-Entscheidung.
Zur Frage 2 verweist der OGH auf die EDSA-Leitlinien 05/2020 zur Einwilligung, die für eine wirksame Einwilligung zwar gewisse Mindestinformationen verlangen, aber nicht ausdrücklich fordern, dass der Betroffene über den Einsatz eines Drittlands-Auftragsverarbeiters informiert wird. Auch hier fehlt EuGH-Rechtsprechung.
Bedeutung für die Praxis in Deutschland und der EU
Die Entscheidung des EuGH — deren Termin noch nicht feststeht, aber erfahrungsgemäß 1–2 Jahre in Anspruch nehmen wird — wird erhebliche Auswirkungen haben:
- Für Unternehmen mit US-SaaS-Tools: Newsletter-Dienste (Mailchimp, Brevo, HubSpot), CRM-Systeme, Analytics und viele weitere Tools werden regelmäßig durch US-Unternehmen als Auftragsverarbeiter bereitgestellt. Je nach EuGH-Antwort könnten bestehende Einwilligungen neu gestaltet werden müssen.
- Für die Gestaltung von Datenschutzerklärungen: Wenn eine wirksame Einwilligung die konkrete Nennung von Drittlands-Auftragsverarbeitern erfordert, müssen Datenschutzerklärungen und Einwilligungsformulare entsprechend angepasst werden.
- Für Verarbeitungsverzeichnisse: Unternehmen sollten bereits jetzt die Rechtsgrundlagen für die Datenweitergabe an alle Auftragsverarbeiter dokumentieren — um bei jeder möglichen EuGH-Entscheidung vorbereitet zu sein.
- Für laufende Datenschutzverfahren: Verfahren, in denen die Rechtmäßigkeit von Auftragsverarbeitungskonstellationen strittig ist, könnten durch die EuGH-Entscheidung maßgeblich beeinflusst werden.
Was sollten Unternehmen jetzt tun?
Auch wenn die EuGH-Entscheidung noch aussteht, empfiehlt sich bereits jetzt eine vorausschauende Prüfung:
- Überprüfung aller Auftragsverarbeitungsverträge auf DSGVO-Konformität, insbesondere bei Drittlandbezug
- Prüfung der Einwilligungsprozesse: Werden Nutzer klar und verständlich (in ihrer Sprache) über den Einsatz von Drittlands-Auftragsverarbeitern informiert?
- Dokumentation der Rechtsgrundlagen für jede Datenweitergabe an Auftragsverarbeiter im Verarbeitungsverzeichnis
- Alternativenprüfung: Gibt es EU-ansässige Alternativen zu US-Diensten, die die Problematik von vornherein vermeiden?
Fazit: Der OGH-Beschluss 6 Ob 69/25b ist kein österreichischer Sonderweg, sondern ein Signal an die gesamte europäische Datenschutzpraxis. Die Fragen, die der EuGH beantworten wird, betreffen jeden, der externe Dienstleister — und sei es nur einen Newsletter-Dienst — mit Kundendaten betraut. Jetzt ist der richtige Zeitpunkt, die eigene Datenschutz-Compliance auf den Prüfstand zu stellen. Wir stehen Ihnen dabei gerne zur Seite.
Ist Ihre Auftragsverarbeitung DSGVO-sicher?
Wir prüfen Ihre Auftragsverarbeitungsverträge, Einwilligungsprozesse und Drittlandtransfers auf aktuellem Rechtsniveau — und bereiten Sie auf mögliche EuGH-Entscheidungen vor.