Eine datenschutzrechtliche Haftung besteht für einen Auftragsverarbeiter (IT-Dienstleister) bei Befolgung rechtswidriger Anweisungen des Verantwortlichen (Kunden) nur dann, wenn der Auftragsverarbeiter (i) die Anweisung befolgt, obwohl er sie für rechtswidrig erachtet, und (ii) den Verantwortlichen nicht vor der Rechtswidrigkeit der Anweisung warnt. Den Auftragsverarbeiter trifft daher eine datenschutzrechtliche Warnpflicht bei rechtswidrigen Weisungen.
