Datenpannen bei Auftragsverarbeitern – Pflichten des Auftragsverarbeiters und des Auftraggebers?

Mit Einführung der DS-GVO ist der Auftragsverarbeiter neben dem Verantwortlichen als Normadressat getreten. Dies gilt sowohl für die Kernnorm der Auftragsverarbeitung gem. Art. 28 DS-GVO, als auch viele weitere Normen, in denen die Verantwortlichkeit des Auftragsverarbeiters ausdrücklich genannt wird. Verschärft wird diese Situation durch die Haftungs- und Bußgeldregelungen (Artt. 82 und 83 DS-GVO) sowie ein direktes Klagerecht der betroffenen Personen gegen den Auftragsverarbeiter (vgl. GDD-Praxishilfe DS-GVO – Praxishinweise für Auftragsverarbeiter nach Art. 28 DS-GVO).
Mit Anwendung der DS-GVO werden dem Auftragsverarbeiter in zahlreichen Normen eigene Rechtspflichten auferlegt, die er als Normadressat zu erfüllen hat. Dazu gehören u.a.:
- Das Ergreifen technischer und organisatorischer Maßnahmen der Datensicherheit (Art. 32 DS-GVO)
- Die Bestellung sowie ordnungsgemäße und frühzeitige Einbindung eines Datenschutzbeauftragen, sofern erforderlich (Artt. 37 und 38 DS-GVO)
- Die Führung eines Verzeichnisses von Verarbei- tungstätigkeiten (Art. 30 Abs. 2 DS-GVO)
- Die Zusammenarbeit mit der Aufsichtsbehörde (Art. 31 DS-GVO)
- Die Einhaltungen der Bedingungen für die Verarbeitung personenbezogener Daten in Drittländern (Art. 44 ff. DS-GVO)
- die Einhaltung sämtlicher sich aus dem Auftragsarbeitsverhältnis ergebender Pflichten (Artt. 28, 29, 33 und 36 DS-GVO)
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) beschäftigt sich in ihrem 27. Tätigkeitsbericht mit einer dieser Kernregelungen, die zwischen Auftraggeber und Auftragsverarbeiter zu treffen sind: Welche Prozesse müssen ablaufen, wenn beim Auftragsverarbeiter eine sog. Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DS-GVO) im Sinne des Art. 33 DS-GVO eintritt?
Es scheint insbersondere bei KMU ( aber sicher auch bei größeren Organisationen) nicht immer klar zu sein, dass Unternehmen, die für die Datenverarbeitung ganz oder teilweise Dienstleistungsunternehmen als Auftragsverarbeiter einsetzen, unter Umständen eigene Pflichten haben können, wenn sich bei den Auftragsverarbeitern Datenpannen ereignen.
Grundsätzlich:
Auch bei der Beauftragung eines Auftragsverarbeiters im Sinne des Art. 4 Nr. 8 DS-GVO verbleiben die gesetzlichen Pflichten der DS-GVO weitgehend beim Verantwortlichen im Sinne des Art. 4 Nr. 7 DS-GVO. Dies gilt insbesondere für den Fall einer Datenpanne bei einem Auftragsverarbeiter. Dem Verantwortlichen obliegen dann weiterhin die Dokumentations-, Melde- und Benachrichtigungspflichten nach Art. 33, 34 DS-GVO hinsichtlich der im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten gemäß Art. 33 Abs. 1, Abs. 5 und Art. 34 Abs. 1 DS-GVO.
Konkret:
Gemäß Art. 28 Abs. 3 lit. f) DS-GVO muss der mit dem Auftragsverarbeiter geschlossene Vertrag zur Auftragsverarbeitung den Auftragsverarbeiter verpflichten, den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 33, 34 DS-GVO zu unterstützen. Die vom Auftragsverarbeiter zur Verfügung gestellten Informationen müssen es den Verantwortlichen erlauben
- den Vorfall und ihre Betroffenheit nachzuvollziehen,
- eine Bewertung der möglichen Folgen für die betroffenen Personen sowie des Risikos für ihre Rechte und Freiheiten vorzunehmen und die weiteren in Art. 33 Abs. 3 DS-GVO geforderten Informationen zusammenzutragen.
Sammelmeldung durch Auftragsverarbeiter:
Nach Einschätzung der LDI NRW kann bei einer Datenpanne bei Auftragsverarbeitern unter den folgenden Bedingungen anstelle der Meldungen durch die einzelnen Verantwortlichen eine Sammelmeldung durch eine zentrale Stelle treten, solange die von der Sammelmeldung umfassten Verantwortlichen
- der Aufsicht der LDI NRW unterliegen,
- gemäß Art. 33 Abs. 2 DS-GVO über den Vorfall informiert wurden,
- die zentrale Stelle dazu berechtigt haben, für sie die Meldung an die zuständigen Aufsichtsbehörden abzugeben,
- bei der Risikobeurteilung beteiligt wurden und
- bei der Auswahl und Umsetzung von Maßnahmen zur Abhilfe, Abmilderung und Vermeidung eines erneuten Auftretens der Datenpanne sowie der ggf. zu erfolgenden Benachrichtigung der betroffenen Personen einbezogen wurden – insbesondere bezüglich Maßnahmen, die im Einflussbereich der Verantwortlichen liegen.
In einer solchen Sammelmeldung müssen die nach Art. 33 Abs. 3 DS-GVO geforderten Informationen differenziert für die einzelnen Verantwortlichen als Anlage beigefügt werden.
Verantwortlichen kann empfohlen werden, ihre eigenen Databreach-Prozessbeschreibungen auf diesen Aspekt hin zu überprüfen.
(Foto: Supatman – stock.adobe.com)
Letztes Update:05.03.23
Das könnte Sie auch interessieren
-
GDD-Wissenschaftspreise für den akademischen Nachwuchs 2023
Anlässlich der 47. Datenschutzfachtagung (DAFTA) wurden die Wissenschaftspreise der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) verliehen. Jedes Jahr vergibt der wissenschaftliche Beirat der GDD unter Vorsitz von Prof. Dr. Tobias Keber den GDD-Wissenschaftspreis als Würdigung für herausragende wissenschaftliche Arbeiten. Der Preis ist auf 5.000 € dotiert und geht an Nachwuchswissenschaftler aller Disziplinen, die sich
Mehr erfahren -
KI-Verordnung: Zwischen Selbstverpflichtung und klaren Verantwortlichkeiten
Seit April 2021 wird in Brüssel ein Rechtsrahmen für KI, der Artificial Intelligence Act (AI Act), verhandelt. Dieser soll Regeln und Qualitätsvorgaben für Betreiber von KI-Systemen definieren. Der Rat hatte sich bereits am 6. Dezember 2022 auf eine Position zum AI Act geeinigt. Das Europäische Parlament folgte am 14. Juni 2023. Im Rahmen der Trilog-Verhandlungen
Mehr erfahren -
Leitfaden: Entwicklung von sicheren KI-Systemen
KI-Systeme finden vielfältige Anwendungen, darunter die Prognose von Klima- und Finanzmärkten, automatisierte medizinische Diagnosen sowie (teil-) autonome Transportmittel. Um sicherzustellen, dass diese Systeme den Anforderungen der Informationssicherheit gerecht werden, ist nicht nur eine sichere Planung und Entwicklung, sondern auch eine sichere Implementierung und Betrieb erforderlich. In Zusammenarbeit mit 23 internationalen Cybersicherheitsbehörden aus 18 Ländern hat
Mehr erfahren