Kontrollversagen bei Auftragsverarbeitung führt zur Verwarnung durch Aufsichtsbehörde
Auftragsverarbeitung ist kein Freifahrtschein. Wer personenbezogene Daten an Dienstleister auslagert, bleibt als Verantwortlicher in der Pflicht: für Löschkontrolle, Vertragsgestaltung und Incident-Response gleichermaßen. Ein aktueller Fall aus Berlin illustriert eindrücklich, was passiert, wenn alle drei Bereiche gleichzeitig vernachlässgt werden.
Der Vorfall
Ein von der BVG beauftragter Dienstleister, der im Januar 2025 Briefe und E-Mails im Auftrag der BVG versandt hatte, wurde am 17. April 2025 erfolgreich angegriffen. Dabei waren rund 180.000 Kundendatensätze betroffen, darunter Namen, Anschriften, Vertrags- und Kundennummern sowie teilweise E-Mail-Adressen. Bankdaten und Passwörter waren laut BVG nicht betroffen.
Mehrfaches Versagen auf Verantwortlichenseite
Die aufsichtsbehördliche Prüfung ergab drei voneinander unabhängige Verstöße:
Erstens hatte die BVG nicht kontrolliert, ob der Dienstleister die Kundendaten nach Auftragsabschluss tatsächlich gelöscht hatte, sondern sich allein auf die vertragliche Vereinbarung verlassen. Dies wurde als ein Verstoß gegen Art. 5 Abs. 2 i. V. m. Abs. 1 lit. c, e und f sowie Art. 32 Abs. 1 DS-GVO bewertet.
Zweitens überschritt die BVG die gesetzliche 72-Stunden-Meldefrist nach Art. 33 DS-GVO: Spätestens am 25. April 2025 lagen ausreichende Anhaltspunkte für einen meldepflichtigen Vorfall vor, die formelle Meldung erfolgte jedoch erst am 30. April 2025.
Drittens fehlte im Auftragsverarbeitungsvertrag ein konkretes Verfahren für den Umgang mit Datenschutzvorfällen, was einen Verstoß gegen Art. 28 Abs. 3 Satz 2 lit. f DS-GVO begründet.
Einordnung der Aufsichtsbehörde
Datenschutzbeauftragte Meike Kamp betonte, dass die Auslagerung von Datenverarbeitungen nicht zu Verzögerungen bei Untersuchungs- oder Meldeprozessen führen dürfe. Der Fall verdeutliche zudem das Risiko unnötig lang gespeicherter Daten: Eine konsequente Löschkontrolle hätte den Vorfall in diesem Ausmaß verhindert. Die BVG hat mittlerweile Maßnahmen angekündigt, um vergleichbare Vorfälle künftig zu vermeiden.
Das könnte Sie auch interessieren
-
Auskunft nach Art. 15 DS-GVO: Akteneinsicht ersetzt keine Auskunft
Ein Gericht muss einer Prozessbeteiligten auf Antrag eine vollständige Kopie ihrer personenbezogenen Daten aus den Verfahrensakten überlassen. Eine Übersicht der Verfahren und ein Verweis auf die allgemeinen Datenschutzhinweise reichen dafür nicht aus. Das hat das VG Berlin mit Urteil vom 05.08.2026 (Az. 42 K 50/25) entschieden. Sachverhalt Die Klägerin führte mehrere Verfahren vor einem Finanzgericht
Mehr erfahren -
Soziale Netzwerke: Eckpunkte für den Kinder- und Jugendmedienschutz
Das Bundeskabinett hat am 14.10.2026 Eckpunkte für einen besseren Kinder- und Jugendmedienschutz beschlossen. Vorgelegt hat sie das Bundesministerium für Bildung, Familie, Senioren, Frauen und Jugend (BMBFSFJ). Sie sollen die 56 Handlungsempfehlungen umsetzen, die die Expertenkommission „Kinder- und Jugendschutz in der digitalen Welt“ am 11.09.2026 vorgelegt hat. Mindestalter und abgestufte Nutzung Kinder unter 13 Jahren sollen
Mehr erfahren -
Bußgeld gegen IT-Dienstleister wegen fehlendem Sicherheits-Monitoring
Die schwedische Datenschutzaufsicht IMY hat gegen den IT-Dienstleister Miljödata i Karlskrona AB ein Bußgeld von 1,8 Mio. SEK (rund 160.000 Euro) verhängt. Nach einem Cyberangriff waren Daten von rund 2,2 Mio. Personen im Darknet veröffentlicht worden. Die Behörde sah einen Verstoß gegen Art. 32 Abs. 1 DS-GVO (Beschluss vom 22.09.2026, Dnr. IMY-2025-21177). Miljödata betreibt webbasierte
Mehr erfahren
