Rückdatierter Auftragsverarbeitungsvertrag heilt keinen Verstoß

Die spanische Datenschutzbehörde AEPD hat gegen Vodafone España Bußgelder von insgesamt 400.000 Euro verhängt. Anlass war ein Ransomware-Angriff bei einem Callcenter-Dienstleister. Die Behörde beanstandete zwei Punkte: Der Auftragsverarbeitungsvertrag wurde erst nach dem Angriff unterschrieben, und die Sicherheitsmaßnahmen beim Dienstleister reichten nicht aus.

Sachverhalt

Am 6. und 7. November 2023 drangen Angreifer über einen VPN-Zugang in die Systeme eines Callcenters ein, das für Vodafone Telefonverkauf und begleiteten Onlineverkauf übernahm. Dafür nutzten sie ein Benutzerkonto ohne besondere Rechte. Im System verschafften sie sich weitergehende Rechte, schalteten den Virenschutz aus und verschlüsselten unter anderem einen Server mit Gesprächsaufzeichnungen und einen Dateiserver. Betroffen waren 98.509 Kunden und Interessenten. Bei 2.150 von ihnen ging es neben Name und Mobilnummer auch um Ausweisnummer, Anschrift und Bankverbindung. Der Dienst war vom 6. bis 23. November 2023 nicht verfügbar. Die Daten ließen sich aus Backups wiederherstellen. Dass Daten abgeflossen sind, ließ sich nicht nachweisen, aber auch nicht ausschließen.

Vertrag nachträglich unterschrieben

Im Vertrag mit dem Dienstleister stand als Beginn der 1. April 2023. Unterschrieben wurde er aber erst am 17. und 18. Januar 2024. Vodafone argumentierte, nach Zivilrecht komme ein Vertrag schon durch übereinstimmende Erklärungen der Parteien zustande. Die AEPD folgte dem nicht. Art. 28 Abs. 3 DS-GVO verlange einen schriftlichen Vertrag ab Beginn der Verarbeitung. Dabei stützte sie sich auf die EDSA-Leitlinien 07/2020 (Rn. 101, 103). Ein später vereinbarter Rückwirkungszeitpunkt ändere nichts daran, dass es bis zur Unterschrift keine wirksame Vereinbarung gab. Sonst ließe sich jede Lücke im Nachhinein schließen. Auch eine Prüfung des Dienstleisters im September 2023 ersetze den Vertrag nicht. Bußgeld: 100.000 Euro.

MFA fehlte, Backups entlasten nicht

Weitere 300.000 Euro setzte die AEPD wegen Verstoßes gegen Art. 32 DS-GVO fest. Beim VPN gab es keine Zwei-Faktor-Authentifizierung, die die Behörde als grundlegende Maßnahme einstuft. Außerdem fehlte auf mehreren Rechnern ein Virenschutz, und interne Firewalls und Switches wurden nicht überwacht. Dass Backups vorhanden waren, verhindere nur einen dauerhaften Verlust, nicht den zeitweisen Ausfall. Dass kein Datenabfluss nachgewiesen ist, wirke sich ebenfalls nicht mildernd aus. Vodafone haftet als Verantwortlicher für die Versäumnisse des Dienstleisters. Mildernd berücksichtigt hat die AEPD, dass Vodafone und der Dienstleister nach dem Angriff sofort Maßnahmen ergriffen haben.

Praxishinweis

• AVV-Bestand prüfen: Gibt es für jeden Dienstleister und jeden Unterauftragsverarbeiter einen Vertrag, der vor Beginn der Verarbeitung unterschrieben wurde? Fehlende Verträge sofort abschließen, aber nicht zurückdatieren.
• Zugang an den Vertrag koppeln: Ohne unterschriebenen AVV keine Daten und kein Systemzugang.
• Mindeststandards festschreiben und prüfen: Zwei-Faktor-Authentifizierung für alle Fernzugänge, Virenschutz auf allen Systemen und Überwachung der Netzwerkkomponenten. Eine Prüfung beim Dienstleister ersetzt die laufende Kontrolle nicht.
• Verfügbarkeit ernst nehmen: Auch ein Ausfall mit vollständiger Wiederherstellung ist eine Datenpanne und muss bewertet werden.

(Foto: Atindra Sarkar – stock.adobe.com)