Die Haftpflicht deiner Firma haftet in der Regel. Deine Handlung war zwar fahrlässig aber nicht vorsätzlich. Die Beweislast liegt bei deinem Kunden.

Hat deine Firma keine Haftpflicht haftet die Firma. Sie sind für deine Tätigkeiten verantwortlich.

Da selbst ein Virenscanner kein sicherer Schutz ist, wird die Firma einen Haftungsausschluss in den AGBs haben. Der Administrator kann nie zur Rechenschaft gezogen werden - vorausgesetzt man kann ihm keinen Vorsatz nachweisen. Für Nachlässigkeit oder Fahrlässigkeit haftet die Firma (oder deren Versicherung). Spam ist sowieso nicht schädlich, sondern nur nervig. Daher ist Spamschutz garnicht im Gespräch...

Die Frage ist so leicht nicht zu beantworten.
Es kommt auf die Umstände und Rahmenbedingungen an,
unter denen die Dateien verloren gingen.

ZB :
Ist in den Hostingverträgen geregelt,
ob Virenscans durchgeführt werden ?

Ist es in vergleichbaren Systemumgebungen üblich,
Scans durchzuführen ?

Gehört es zu Deinen Aufgaben, diesen Scan regelmässig zu machen ?
Wenn ja, warum wird der nicht durch n Cronjob angestossen ?
Wieso ist der Scanner nicht so konfiguriert, das er jede eingehende Datei überprüft ?

Zuallererst ist natürlich Deine Firma haftbar.

Die Frage ist also :

a) hast DU was falsch gemacht ?
b) Wenn ja, warum hast Du das falsch, bzw gar nicht gemacht ?

Sollten diese Scans zu Deinen elementaren Aufgaben gehören,
kann man kaum von fahrlässig reden, wenn Du sie NICHT machst.
Und ab da ist der Grat zwischen grob fahrlässig ( eigene Haftung zweifelhaft ) und vorsätzlich sehr schmal.