Meldung einer Datenpanne im Rahmen einer Auftragsverarbeitung

Datenpanne

Die Pflicht der Meldung nach Art. 33 Abs. 1 DS-GVO trifft nur datenschutzrechtlich „Verantwortliche“ im Sinne des Art. 4 Nr. 7 DS-GVO.

Eine Sonderregelung besteht für Auftragsverarbeiter gegenüber dem Verantwortlichen, für den sie tätig sind. Nach Art. 33 Abs. 2 DS-GVO müssen sie Datenschutzverstöße dem Verantwortlichen melden. Grund ist vor allem dass es sich dabei um Verstöße im Verantwortungsbereich des Verantwortlichen handelt, die dieser wiederum ggf. der Aufsichtsbehörde melden muss. Aus dem aktuellen Tätigkeitsbericht des LfDI (27. Tätigkeitsbericht, Ziffer 11.2) ergibt sich, dass es nicht bei allen Verantwortlichen und Auftragsverarbeitern die für das Zusammenspiel der einzelnen internen und externen Meldepflichten erforderlichen Prozesse gibt.

Eine Datenschutzverletzung bedeutet einen Sicherheitsvorfall, der zur zufälligen oder unrechtmäßigen Zerstörung, zum Verlust, einer Änderung, unbefugten Offenlegung oder einem unbefugten Zugriff auf die übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt. Auch hier hat der Auftragsverarbeiter den Auftraggeber bei Daten, die aus dessen Auftrag resultieren, zu unterstützen. Dies beinhaltet

  • eine Beschreibung, wie der Datenschutzprozess des Auftragsverarbeiters an den entsprechenden Prozess des Verantwortlichen angebunden werden kann,
  • die Existenz eines Prozesses, um Verstöße gegen die Weisungen des Verantwortlichen oder gegen die Vorschriften zum Schutz personenbezogener Daten zu erkennen und unverzüglich den Verantwortlichen zu informieren. Dazu gehören auch Sachverhalte, die geeignet sind, die Interessen des Verantwortlichen zu tangieren,
  • die Existenz eines Prozesses, um Datenschutzverletzungen, die eine gesetzliche Meldepflicht auslösen können, zu erkennen, den Verantwortlichen unverzüglich zu informieren und Maßnahmen zur Schadensminimierung einzuleiten,
  • die Existenz eines Prozesses, um eine Datenschutzverletzung zeitnah zu untersuchen und aufzuklären (vgl. GDD-Praxishilfe DS-GVO – Praxishinweise für Auftragsverarbeiter nach Art. 28 DS-GVO – ).

Nach Einschätzung der LDI NRW kann bei einer Datenpanne bei Auftragsverarbeitern unter den folgenden Bedingungen anstelle der Meldungen durch die einzelnen Verantwortlichen eine Sammelmeldung durch eine zentrale Stelle treten, solange die von der Sammelmeldung umfassten Verantwortlichen

1. der Aufsicht der LDI NRW unterliegen,
2. gemäß Art. 33 Abs. 2 DS-GVO über den Vorfall informiert wurden,
3. die zentrale Stelle dazu berechtigt haben, für sie die Meldung an die zuständigen Aufsichtsbehörden abzugeben,
4. bei der Risikobeurteilung beteiligt wurden und
5. bei der Auswahl und Umsetzung von Maßnahmen zur Abhilfe, Abmilderung und Vermeidung eines erneuten Auftretens der Datenpanne sowie der ggf. zu erfolgenden Benachrichtigung der betroffenen Personen einbezogen wurden – insbesondere bezüglich Maßnahmen, die im Einflussbereich der Verantwortlichen liegen.
Des weiteren muss gewährleistet sein, dass in einer solchen Sammelmeldung die nach Art. 33 Abs. 3 DS-GVO geforderten Informationen differenziert für die einzelnen Verantwortlichen als Anlage beigefügt werden.
(Foto: putilov_denis – stock.adobe.com)

Letztes Update:03.07.22

  • Datenschutzverletzungen richtig behandeln

    Datenschutzverletzungen richtig behandeln

    Seminar

    678.60 € Mehr erfahren
  • Neue SCCerforderlich

    Frist für Umstellung auf neue Standarddatenschutzklauseln endet bald

    Der europäische Gesetzgeber hat vor dem Hintergrund der Ausweitung des internationalen Handels die Übermittlung personenbezogener Daten an Datenempfänger in Drittländern unter besondere datenschutzrechtliche Anforderungen gestellt, um Rechte und Freiheiten von Betroffenen zu schützen. Ziel ist es, das durch die Datenschutz-Grundverordnung (DS-GVO) unionsweit gewährleistete Schutzniveau für natürliche Personen nicht zu untergraben, wenn personenbezogene Daten in ein

    Mehr erfahren
  • Kündigung auf Grund der Verletzung einer „Clean-Desk-Policy“

    Die DS-GVO fordert von Verantwortlichen und Auftragsverarbeitern in Art. 32 DS-GVO ein Schutzniveau, das dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessenen ist. Dabei sollen zur Gewährleistung der Sicherheit der insbesondere die Risiken berücksichtigt werden, die aus einer Verletzung der Verfügbarkeit, Vertraulichkeit und Integrität der personenbezogenen Daten, der an deren Verarbeitung beteiligten IT-Systeme,

    Mehr erfahren
  • Identitätsdiebstahl Handesregister

    Handelsregister mit Datenschutzmängeln

    Seit dem 1. August 2022 sind über das Portal „Handelsregister.de“ sämtliche Einträge in den Handels-, Genossenschafts-, Partnerschafts- und Vereinsregistern ohne weitere Einschränkungen kostenfrei abrufbar. Das hat auf dem ersten Blick Vorteile in punkto Transparenz. Das Handelsregister handelt es sich um die zentrale Registerplattform des Bundes für Firmen in Deutschland. Der Umstand, dass die Abrufe aus

    Mehr erfahren