Datenpannen bei Auftragsverarbeitern – Pflichten des Auftragsverarbeiters und des Auftraggebers?

Mit Einführung der DS-GVO ist der Auftragsverarbeiter neben dem Verantwortlichen als Normadressat getreten. Dies gilt sowohl für die Kernnorm der Auftragsverarbeitung gem. Art. 28 DS-GVO, als auch viele weitere Normen, in denen die Verantwortlichkeit des Auftragsverarbeiters ausdrücklich genannt wird. Verschärft wird diese Situation durch die Haftungs- und Bußgeldregelungen (Artt. 82 und 83 DS-GVO) sowie ein direktes Klagerecht der betroffenen Personen gegen den Auftragsverarbeiter (vgl. GDD-Praxishilfe DS-GVO – Praxishinweise für Auftragsverarbeiter nach Art. 28 DS-GVO).

Mit Anwendung der DS-GVO werden dem Auftragsverarbeiter in zahlreichen Normen eigene Rechtspflichten auferlegt, die er als Normadressat zu erfüllen hat. Dazu gehören u.a.:

• Das Ergreifen technischer und organisatorischer Maßnahmen der Datensicherheit (Art. 32 DS-GVO)
• Die Bestellung sowie ordnungsgemäße und frühzeitige Einbindung eines Datenschutzbeauftragen, sofern erforderlich (Artt. 37 und 38 DS-GVO)
• Die Führung eines Verzeichnisses von Verarbei- tungstätigkeiten (Art. 30 Abs. 2 DS-GVO)
• Die Zusammenarbeit mit der Aufsichtsbehörde (Art. 31 DS-GVO)
• Die Einhaltungen der Bedingungen für die Verarbeitung personenbezogener Daten in Drittländern (Art. 44 ff. DS-GVO)
• die Einhaltung sämtlicher sich aus dem Auftragsarbeitsverhältnis ergebender Pflichten (Artt. 28, 29, 33 und 36 DS-GVO)

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) beschäftigt sich in ihrem 27. Tätigkeitsbericht mit einer dieser Kernregelungen, die zwischen Auftraggeber und Auftragsverarbeiter zu treffen sind: Welche Prozesse müssen ablaufen, wenn beim Auftragsverarbeiter eine sog. Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DS-GVO) im Sinne des Art. 33 DS-GVO eintritt?

Es scheint insbersondere bei KMU ( aber sicher auch bei größeren Organisationen) nicht immer klar zu sein, dass Unternehmen, die für die Datenverarbeitung ganz oder teilweise Dienstleistungsunternehmen als Auftragsverarbeiter einsetzen, unter Umständen eigene Pflichten haben können, wenn sich bei den Auftragsverarbeitern Datenpannen ereignen.

Grundsätzlich:
Auch bei der Beauftragung eines Auftragsverarbeiters im Sinne des Art. 4 Nr. 8 DS-GVO verbleiben die gesetzlichen Pflichten der DS-GVO weitgehend beim Verantwortlichen im Sinne des Art. 4 Nr. 7 DS-GVO. Dies gilt insbesondere für den Fall einer Datenpanne bei einem Auftragsverarbeiter. Dem Verantwortlichen obliegen dann weiterhin die Dokumentations-, Melde- und Benachrichtigungspflichten nach Art. 33, 34 DS-GVO hinsichtlich der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten gemäß Art. 33 Abs. 1, Abs. 5 und Art. 34 Abs. 1 DS-GVO.

Konkret:
Gemäß Art. 28 Abs. 3 lit. f) DS-GVO muss der mit dem Auftragsverarbeiter geschlossene Vertrag zur Auftragsverarbeitung den Auftragsverarbeiter verpflichten, den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 33, 34 DS-GVO zu unterstützen. Die vom Auftragsverarbeiter zur Verfügung gestellten Informationen müssen es den Verantwortlichen erlauben

• den Vorfall und ihre Betroffenheit nachzuvollziehen,
• eine Bewertung der möglichen Folgen für die betroffenen Personen sowie des Risikos für ihre Rechte und Freiheiten vorzunehmen  und die weiteren in Art. 33 Abs. 3 DS-GVO geforderten Informationen zusammenzutragen.

Sammelmeldung durch Auftragsverarbeiter:
Nach Einschätzung der LDI NRW kann bei einer Datenpanne bei Auftragsverarbeitern unter den folgenden Bedingungen anstelle der Meldungen durch die einzelnen Verantwortlichen eine Sammelmeldung durch eine zentrale Stelle treten, solange die von der Sammelmeldung umfassten Verantwortlichen

• der Aufsicht der LDI NRW unterliegen,
• gemäß Art. 33 Abs. 2 DS-GVO über den Vorfall informiert wurden,
• die zentrale Stelle dazu berechtigt haben, für sie die Meldung an die zuständigen Aufsichtsbehörden abzugeben,
• bei der Risikobeurteilung beteiligt wurden und
• bei der Auswahl und Umsetzung von Maßnahmen zur Abhilfe, Abmilderung und Vermeidung eines erneuten Auftretens der Datenpanne sowie der ggf. zu erfolgenden Benachrichtigung der betroffenen Personen einbezogen wurden – insbesondere bezüglich Maßnahmen, die im Einflussbereich der Verantwortlichen liegen.

In einer solchen Sammelmeldung müssen die nach Art. 33 Abs. 3 DS-GVO geforderten Informationen differenziert für die einzelnen Verantwortlichen als Anlage beigefügt werden.

Verantwortlichen kann empfohlen werden, ihre eigenen Databreach-Prozessbeschreibungen auf diesen Aspekt hin zu überprüfen.

(Foto: Supatman – stock.adobe.com)