Die spanische Datenschutzaufsichtsbehörde AEPD hat mit Datum vom 17. August 2021 eine Busse von EUR 100‘000 gegen einen IT-Dienstleister verhängt, der es entgegen der Bestimmung der Auftragsverarbeitungsvereinbarung unterlassen hatte, dem Verantwortlichen die Auftragsdaten herauszugeben oder den vom Auftragsbearbeiter betriebenen Server zugänglich zu machen. Der Auftragsbearbeiter hatte eingewendet, er habe offene Forderungen gegen den Verantwortlichen. Offenbar war dem Verantwortlichen dadurch hoher Schaden entstanden.
Der Entscheid illustriert, dass der Auftragsbearbeiter zwar durchaus Möglichkeiten hat, Forderungen gegen den Verantwortlichen durchzusetzen. Die Rechte der Betroffenen gehen aber vor. Deshalb sollte ein Auftragsbearbeiter auch kein Leistungsverweigerungsrecht haben, was die Bearbeitung der Auftragsdaten betrifft, was eine Auftragsbearbeitungsvereinbarung festhalten kann und je nachdem auch sollte.