Der Sachverständige –
Auftragsverarbeiter, nicht Verantwortlicher

Kurzfassung:
1. Kritik an der Entscheidung vom Oberlandesgericht Stuttgart (OLG Stuttgart) Az. 4 U 342/25), wonach gerichtliche Sachverständige eigenständige Verantwortliche im Sinne der DSGVO seien und Prozessparteien nach Art. 15 DSGVO umfassend Auskunft sowie Kopien erteilen müssen. 

2. Kritik an den „Mindestanforderungen an die Qualität von Sachverständigengutachten im Kindschaftsrecht“ (3. Auflage) Hrsg. BMJ und BRAK, die ebenso darauf abstellen, dass der Sachverständige Verantwortlicher sei.

Verfasser: Daniel Grumpelt, Präsident des. Artikel 80 e.V. — Datenschutz-Watchdog im Familienrecht · Herausgeber-Audit · Rechtsprechung/Normen zuletzt ergänzt und verifiziert 18.07.2026:

Hier zum Download als pdf

Die datenschutzrechtliche Rechtsstellung des gerichtlich beauftragten Sachverständigen: Auftragsverarbeiter, nicht Verantwortlicher.

Wer beauftragt wird, handelt im Auftrag — das Wort sagt es bereits deutlich genug: Auftragsverarbeiter, nicht Verantwortlicher. Dieser Audit zeigt, warum diese eine Verwechslung das gesamte Gebäude der „Mindestanforderungen“ trägt — und warum sie unionsrechtlich unhaltbar ist. Auch das OLG Stuttgart hat sich bei seiner Entscheidung nicht mit der einschlägigen Rechtsprechung des EuGH noch mit den Leitlinien des EDSA beschäftigt.

Die Prüfung der Rechtmäßigkeit z.B. eines familienpsychologischen Gutachtens beginnt mit dem eröffneten Anwendungsbereich der DS-GVO. In jedem Gutachten werden personenbezogene Daten — regelmäßig sogar besondere Kategorien i.S.d. Art. 9 Abs. 1 DS-GVO (Gesundheit, Sexualleben) — verarbeitet. Sodann ist die datenschutzrechtliche Rechtsstellung zu bestimmen: Verantwortlicher, gemeinsam Verantwortlicher (Art. 4 Nr. 7, Art. 26) oder Auftragsverarbeiter (Art. 4 Nr. 8 DS-GVO)? Sie entscheidet über Rechtsgrundlage, Rechte und Pflichten, Betroffenenrechte, Haftung (Art. 28 Abs. 10) und Strafbarkeit (§§ 203, 353d StGB, § 42 BDSG).

Die geprüfte These aus der Entscheidung des OLG Stuttgart Az. 4 U 342/25 Rn. 59

„Über die Zwecke entscheidet zwar im Wesentlichen das Gericht, das den Beweisbeschluss erlässt. Über die Mittel der Verarbeitung entscheidet aber in der Regel allein der gerichtliche Sachverständige. Sachverständige sind hinsichtlich der Art und Weise, wie das beabsichtigte Ergebnis erreicht werden soll, selbst entscheidungsbefugt. Sie handeln nicht als funktionaler Teil des Gerichts, sondern eigenverantwortlich. Primär die Sachverständigen legen die Mittel der Datenverarbeitung fest. Sie entscheiden, welche Daten sie für die Ausarbeitung des Gutachtens benötigen. Für Gerichte ist es in aller Regel auch irrelevant, welche technischen Mittel dabei zum Einsatz kommen. Zudem fehlt es regelmäßig an einer Überwachungs- und Kontrollmöglichkeit des Gerichts hinsichtlich der Datenverarbeitungsmodalitäten. Dass das Gericht gem. § 404a Abs. 1 ZPO die Tätigkeit des Sachverständigen zu leiten hat und ihm für Art und Umfang seiner Tätigkeit Weisungen erteilen kann, betrifft vor allem, was Sachverständige erforschen sollen, nicht wie sie es erforschen sollen (Erkelenz/Leopold, NZS 2019, 926; Engel in Anmerkungen zu OLG Düsseldorf, ZEuP 2023, 230 [245]; Zimmermann in MüKo/ZPO, 7. Aufl. 2025, § 404a, Rn. 3).“

Die geprüfte These aus den „Mindestanforderungen an die Qualität von Sachverständigengutachten im Kindschaftsrecht“ 3. Auflage (Anhang VII, Rn. 89, S. 34)

„4. Verantwortlichkeit … Eigenständige Verantwortliche sind damit nicht nur das Gericht, sondern auch Sachverständige, da sie im Rahmen der Gutachtenerstattung selbstständig über Art, Weise und Umfang der erforderlichen Daten im Rahmen des Beweisbeschlusses entscheiden.“

Quelle: Mindestanforderungen (3. Aufl.), Anhang VII, Rn. 89, S. 34. — An dieser einen Behauptung hängt die Richtigkeit aller datenschutzrechtlichen Ausführungen der Broschüre. Sie ist unzutreffend.

I. Der Maßstab: Wer über Zwecke und Mittel entscheidet

Maßgeblich sind die Legaldefinitionen (Art. 4 Nr. 7, Nr. 8 DS-GVO), die EDSA-Leitlinien 07/2020 (Version 2.0, 07.07.2021) und die parallele Auslegung des EuGH. Verantwortlicher ist, wer über Zwecke und Mittel entscheidet — zwei kumulativ verknüpfte Merkmale (Leitlinie 07/2020, S. 16 Rn. 35):

• EuGH, Urt. v. 13.05.2014, C-131/12 (Google Spain), Rn. 33 ff. — Verantwortlicher ist, wer über Zwecke und Mittel entscheidet; weiter Begriff für wirksamen Schutz.
• EuGH, Urt. v. 05.06.2018, C-210/16 (Wirtschaftsakademie), Rn. 28 ff. — gemeinsame Verantwortlichkeit setzt Mitwirkung an der Bestimmung von Zwecken und Mitteln voraus; Datenzugriff nicht erforderlich.
• EuGH, Urt. v. 10.07.2018, C-25/17 (Zeugen Jehovas), Rn. 65 ff. — Verantwortlicher ist, wer aus Eigeninteresse auf Zwecke und Mittel Einfluss nimmt.
• EuGH, Urt. v. 29.07.2019, C-40/17 (Fashion ID; noch zur RL 95/46, Konzept fortgeltend unter Art. 26 DS-GVO) — (gemeinsame) Verantwortlichkeit besteht nur für die Phase, für die ein Akteur Zwecke und Mittel mitbestimmt (dort Erhebung/Übermittlung), nicht für spätere Verarbeitungen.

Die wesentlichen Mittel (Art der Verarbeitung, Datenkategorien, Kategorien Betroffener, Anknüpfungstatsachen, Dauer) sind dem Verantwortlichen vorbehalten; nur nicht wesentliche Mittel darf der Auftragsverarbeiter wählen (Leitlinie 07/2020, S. 17 Rn. 38 f.). Der Verantwortliche trägt die Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 DS-GVO). Auftragsverarbeiter ist, wer im Auftrag und nach dokumentierten Weisungen verarbeitet, die Zwecke nicht selbst bestimmt (Art. 4 Nr. 8, Art. 28; Leitlinie S. 30 Rn. 80 f.) und eine getrennte Stelle ist (S. 30 Rn. 76).

II. Das Gericht ist der Verantwortliche

Der Zweck — Beantwortung der Beweisfragen — wird allein vom Gericht festgelegt; der Sachverständige übernimmt ihn. Die wesentlichen Mittel bestimmt das Gericht im Beweisbeschluss:

• Datenkategorien / Anknüpfungstatsachen: § 359 Abs. 1 Nr. 1, § 404a Abs. 3 ZPO (Richtervorbehalt);
• betroffene Personen: durch Streitgegenstand und Beweisbeschluss bestimmt;
• Empfänger: § 407a Abs. 5, § 299 ZPO, § 13 FamFG;
• Dauer / Aufbewahrung: § 411 Abs. 1 ZPO; Art. 28 Abs. 3 lit. g DS-GVO.

III. Der Sachverständige – Auftragsverarbeiter

a) Weisungsgebundenheit: § 404a Abs. 1, 2 ZPO; Beauftragung durch Beweisbeschluss (§ 404 ZPO) — das normative Rechtsinstrument i.S.d. Art. 28 Abs. 3 DS-GVO. b) Keine eigenen Zwecke: keine eigenen Rechte an den Daten (Kriterium „Eigeninteresse“, EuGH C-25/17). c) Spielraum nur bei nicht wesentlichen Mitteln: Fachautonomie bei der Methodik = nicht wesentliche Mittel (Leitlinie S. 17 Rn. 38 f.) — wie bei jedem Auftragsverarbeiter. d) Herausgabe-/Löschpflicht: § 407a Abs. 5 ZPO; Art. 28 Abs. 3 lit. g DS-GVO — der Sachverständige erhält nie Herrschaft über die Daten.

Ausschluss gemeinsamer/getrennter Verantwortlichkeit: Mitspracherecht oder Expertise begründen keine Entscheidungsmacht über Zwecke und wesentliche Mittel (Maßstab C-210/16). Die Leitungsmacht des Gerichts (§ 404a Abs. 1–3 ZPO) ist mit einem eigenständig Verantwortlichen unvereinbar. Die „funktionale Trennung“ (Erkelenz/Leopold, NZS 2019, 926) verkennt die binäre Systematik der DS-GVO. Auch die Phasenbetrachtung des EuGH (Fashion ID, C-40/17) hilft der Broschüre nicht: Sie ordnet Verantwortlichkeit je Verarbeitungsphase nach der Mitbestimmung von Zwecken und Mitteln zu — nicht nach fachlichen Bereichen. Für keine Phase bestimmt der Sachverständige die Zwecke; er ist damit nicht einmal (Mit-)Verantwortlicher eines Abschnitts.

Ergebnis: Der gerichtlich bestellte Sachverständige ist — nach der unionsrechtlich vorgezeichneten Auslegung — Auftragsverarbeiter gemäß Art. 4 Nr. 8 DS-GVO.

IV. Entkräftung der Gegenargumente

1. „EDSA-Leitlinien sind nicht verbindlich.“ Zutreffend — sie sind maßgebliches Auslegungsmaterial. Entscheidend ist, dass der EuGH dieselben Kriterien anlegt (C-131/12, C-210/16, C-25/17). Das Ergebnis folgt aus der Legaldefinition in der Auslegung des Gerichtshofs.

2. „Der Sachverständige ist unabhängig.“ Unabhängigkeit ändert nichts an der Weisungsgebundenheit (§ 404a ZPO). Maßgeblich ist die Entscheidungsmacht über Zwecke und wesentliche Mittel — sie fehlt.

3. „Dann gibt es keine Kontrolle.“ Falsch. Art. 55 Abs. 3 DS-GVO nimmt Gerichte nur von der Aufsicht aus, soweit sie justiziell tätig werden (EuGH, Urt. v. 24.03.2022, C-245/20). Die materiellen Pflichten bleiben; der Rechtsbehelf nach Art. 79 DS-GVO bleibt eröffnet. Der Sachverständige als Auftragsverarbeiter ist ohnehin nicht privilegiert.

V. Art. 9 DS-GVO: kein eigener Erlaubnistatbestand des Sachverständigen

Besondere Kategorien (Art. 9 Abs. 1) sind grundsätzlich verboten; erlaubt nur über Art. 9 Abs. 2 — stets beim Verantwortlichen:

• Art. 9 Abs. 2 lit. f: Alt. 1 (Rechtsansprüche) betrifft die Parteien; Alt. 2 (Gerichte in justizieller Tätigkeit) betrifft das Gericht — der Sachverständige wird durch den Auftrag nicht zum Gericht.
• Art. 9 Abs. 2 lit. g: verlangt eine spezialgesetzliche Grundlage mit Garantien. Für die zwangsweise Exploration fehlt sie nach dem BVerfG (Beschl. v. 20.05.2003 – 1 BvR 2222/01; 02.04.2009 – 1 BvR 683/09).

Folge: Der Sachverständige hat keinen eigenen Erlaubnistatbestand — als Auftragsverarbeiter braucht er ihn nicht; die Rechtsgrundlage zu sichern ist Sache des Gerichts. Gleiches gilt für Art. 6: lit. c trifft den Verantwortlichen; lit. e setzt nach Art. 6 Abs. 3 eine mitgliedstaatliche Grundlage voraus, an der es hier fehlt.

VI. Folgen und strafrechtliche Dimension (konkret)

Die falsche Etikettierung verschleiert nicht nur die Haftungskette (Art. 28 Abs. 10) und weist die Verantwortlichkeit für die Betroffenenrechte (Art. 12–23) der falschen Stelle zu.

Wer den Sachverständigen datenschutzrechtlich als eigenverantwortlich über Zwecke und wesentliche Mittel entscheidenden Verantwortlichen einordnet, entzieht dieser strafrechtlichen Privilegierung ihre Grundlage: Die Weitergabe der Akte durch den Richter wäre dann keine Offenbarung an eine in die eigene Aufgabe eingebundene Person mehr, sondern an einen unabhängigen Dritten mit eigenen Zwecken – eine nach § 203 Abs. 2 Nr. 1 StGB unbefugte Offenbarung. Dass dies bei bundesweit geschätzt weit über hunderttausend familiengerichtlichen Gutachtenaufträgen jährlich niemand ernsthaft annimmt, bestätigt im Wege der reductio ad absurdum, dass die Prämisse nicht zutrifft.

Gerade die korrekte Rollenverteilung hält die folgenden Tatbestände fern; wer der Broschüre folgt, öffnet sie:

• § 42 Abs. 2 BDSG (bis 2 Jahre): unberechtigte Verarbeitung (Nr. 1) oder Erschleichen (Nr. 2) nicht allgemein zugänglicher Daten gegen Entgelt oder in Bereicherungs-/Schädigungsabsicht. § 42 Abs. 1 (bis 3 Jahre): gewerbsmäßige Übermittlung in großer Zahl. Verfolgung nur auf Antrag (Abs. 3). Die Schwelle „ohne Berechtigung“ wird bei weisungswidriger/grundlagenloser Verarbeitung überschritten.
• § 203 Abs. 1 Nr. 2 StGB (bis 1 Jahr): Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlussprüfung sind Geheimnisträger — der familienpsychologische Sachverständige regelmäßig. Unbefugte Offenbarung anvertrauter Geheimnisse ist strafbar.
• § 353d Nr. 3 StGB: verbotene wörtliche öffentliche Mitteilung amtlicher Verfahrensdokumente vor Verfahrensabschluss.

Kurz: Die Broschüre erregt den Irrtum über die Voraussetzungen der Rechtmäßigkeit. Folgt man ihr, führt der Weg planbar in Haftung (Art. 82 DS-GVO) und in die genannten Straftatbestände — weil die Verarbeitung dann unberechtigt erfolgt.

VII. Fazit (zugespitzt)

Eine Verantwortlichkeit des Sachverständigen käme erst in Betracht, wenn er den Beweisbeschluss selbst erließe, die Beweisfragen selbst bestimmte, die Anknüpfungstatsachen selbst festlegte und sich selbst beauftragte. Solange das Gericht dies tut, bleibt er Auftragsverarbeiter. Die „Mindestanforderungen“ bauen auf dem Gegenteil — und damit auf Sand.

Quellen (verifiziert 18.07.2026)

Art. 4 Nr. 7/8, Art. 5, 6, 9, 24, 26, 28, 79, 82 DS-GVO · EDSA-Leitlinien 07/2020 (V2.0, 07.07.2021) · EuGH C-131/12 (Google Spain, 13.05.2014); C-210/16(Wirtschaftsakademie, 05.06.2018); C-25/17 (Zeugen Jehovas, 10.07.2018); C-40/17 (Fashion ID, 29.07.2019, zur RL 95/46); C-245/20 (justizielle Tätigkeit, 24.03.2022) · §§ 359, 404, 404a, 407a, 411, 299 ZPO; § 13 FamFG · § 42 Abs. 1–3 BDSG; § 203 Abs. 1 Nr. 2, § 353d Nr. 3 StGB · BVerfG 1 BvR 2222/01 (20.05.2003), 1 BvR 683/09 (02.04.2009) · Erkelenz/Leopold, NZS 2019, 926 (Gegenauffassung, abgelehnt).

Quelle & Originalfassung: Dies ist eine Kurzfassung. Die wissenschaftliche Fassung wird einem Fachverlag zur Veröffentlichung angeboten.

Artikel 80 e.V. — stets aktuelle Fassung: artikel-80.eu. Weiterverbreitung mit Quellenangabe erwünscht.

© 2026 Artikel 80 e.V. Dieser Beitrag gibt die begründete Rechtsauffassung des Vereins wieder und ersetzt keine Rechtsberatung im Einzelfall.

Mehr zum Thema:

Beitrag: Gutachten anfechten: warum die Datenbasis der stärkere Hebel ist → Denn Sie wissen überhaupt nicht was sie tun.

Beitrag: Gutachten-methodenkritik-vs-datenschutz