Datenpanne beim Auftragsverarbeiter: Meldung, Vertrag und gemeinsamer Ablauf

Eine Datenpanne bei einem Auftragsverarbeiter muss der Verantwortliche nicht erst entdecken, bevor der Ablauf beginnt. Nach Art. 33 Abs. 2 DSGVO hat der Dienstleister die Verletzung des Schutzes personenbezogener Daten dem Verantwortlichen ohne unangemessene Verzögerung zu melden. Für Unternehmen kommt es deshalb auf einen klaren Meldeweg, verwertbare Erstinformationen und eine gemeinsame Aufklärung an.

Dieser Beitrag behandelt den Praxisfall zwischen Dienstleister und Verantwortlichem. Er zeigt, welche Angaben der Auftragsverarbeiter sofort liefern sollte, wie der Vertrag den Ablauf unterstützt und wie der Verantwortliche die eigene Meldung an die Datenschutzbehörde sowie eine Information betroffener Personen vorbereitet. Eine starre 24-Stunden-Frist für jede Datenpanne beim Dienstleister gibt es nicht. Maßgeblich ist das unverzügliche Handeln, ergänzt durch klare vertragliche Abläufe.

Die Rollen müssen am Anfang sauber getrennt werden. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und meldet eine ihm bekannt gewordene Datenpanne dem Verantwortlichen ohne unangemessene Verzögerung. Der Verantwortliche bewertet anschließend das Risiko für die Rechte und Freiheiten natürlicher Personen und entscheidet, ob eine Meldung an die zuständige Datenschutzbehörde erforderlich ist.

Art. 33 Abs. 1 DSGVO nennt für die Meldung des Verantwortlichen grundsätzlich 72 Stunden ab dem Zeitpunkt, in dem der Verantwortliche von der Verletzung Kenntnis erlangt hat. Das ist keine pauschale Frist für den Auftragsverarbeiter. Der Dienstleister darf die Information nicht bis zum Ablauf dieser 72 Stunden zurückhalten. Sein Beitrag muss dem Verantwortlichen ermöglichen, die eigene Prüfung und gegebenenfalls die Behördenmeldung rechtzeitig durchzuführen.

Eine vertragliche Regel kann konkrete interne Zeiten, Ansprechpartner und Mindestangaben festlegen. Sie ersetzt aber weder die gesetzliche Pflicht zur unverzüglichen Information noch die Risikobewertung des Verantwortlichen. Wenn eine Behörde später informiert wird, sind die Gründe für die Verspätung festzuhalten. Auch eine nicht meldepflichtige Datenpanne gehört in die Dokumentation, damit die Entscheidung nachvollziehbar bleibt.

Art. 28 Abs. 3 lit. f DSGVO verlangt, dass der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unterstützt. Für Datenpannen sollte der Vertrag deshalb nicht bei einer allgemeinen E-Mail-Adresse stehen bleiben. Er sollte festlegen, welche Stelle rund um die Uhr oder außerhalb gewöhnlicher Bürozeiten erreichbar ist, welche Ersatzkontakte gelten und wie eine Meldung bestätigt wird.

Sinnvoll sind außerdem Mindestangaben für die erste Mitteilung: Zeitpunkt der Entdeckung, Art des Vorfalls, betroffene Systeme, Datenkategorien, mögliche Personengruppen, bekannte oder geschätzte Anzahl, Ursache, bereits gesetzte Eindämmungsmaßnahmen und offene Fragen. Wenn einzelne Angaben noch nicht feststehen, sollte der Dienstleister das ausdrücklich kennzeichnen und einen Zeitpunkt für das nächste Update nennen.

Die Übersicht zu Auftragsverarbeitung und Dienstleistern hilft bei der vorgelagerten Prüfung von Rollen, Unterauftragnehmern und Kontrollrechten. Für den konkreten Vertrag kann auch der AV-Vertragscheck die offenen Punkte sichtbar machen. Eine Checkliste ersetzt nicht die Prüfung des konkreten Vertrags und der tatsächlichen Kommunikationswege.

Nach der Meldung muss der Verantwortliche die Informationen in eine belastbare Arbeitsakte überführen. Dazu gehören der Eingang der Meldung, die erste Zeitlinie, die betroffenen Verarbeitungsvorgänge, die bekannten Datenkategorien und die Frage, ob der Vorfall noch andauert. Der Auftragsverarbeiter soll parallel die technische Eindämmung dokumentieren, etwa die Sperre eines Kontos, die Trennung eines Systems oder die Wiederherstellung aus einer gesicherten Version.

Die Aufklärung braucht klare Zuständigkeiten. Der Dienstleister liefert technische Fakten, Logs, Zugriffsereignisse, betroffene Systeme und Informationen zu Unterauftragnehmern. Der Verantwortliche führt die rechtliche Risikobewertung, stimmt die Information an die Datenschutzbehörde ab und prüft, ob betroffene Personen verständlich über ein hohes Risiko informiert werden müssen. Beide Seiten sollten dieselbe Zeitlinie verwenden, damit spätere Ergänzungen nicht zu widersprüchlichen Darstellungen führen.

Beweissicherung darf die Abhilfe nicht blockieren. Logs, Speicherabbilder und relevante Kommunikationsdaten müssen so gesichert werden, dass die Untersuchung möglich bleibt, während der Zugriff auf personenbezogene Daten begrenzt wird. Der Dienstleister sollte Änderungen an Beweismitteln, Wiederherstellungen und forensischen Maßnahmen protokollieren und dem Verantwortlichen den für die Bewertung nötigen Ausschnitt bereitstellen.

Der Verantwortliche muss prüfen, ob die Datenpanne voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Dabei zählen nicht nur die Zahl der Datensätze, sondern auch Art und Sensibilität der Daten, mögliche Identitäts- oder Vermögensschäden, Diskriminierungsrisiken, Dauer des unbefugten Zugriffs und die Frage, ob die Daten verschlüsselt oder anderweitig geschützt waren.

Ergibt die Prüfung ein meldepflichtiges Risiko, ist die Datenschutzbehörde grundsätzlich ohne unangemessene Verzögerung und, soweit möglich, binnen 72 Stunden ab Kenntnis des Verantwortlichen zu informieren. Fehlen einzelne Details, kann die Meldung in einer ersten Fassung erfolgen und später ergänzt werden. Die österreichische Datenschutzbehörde stellt dafür einen eigenen Data-Breach-Meldeweg bereit. Die Entscheidung, ob keine Meldung erforderlich ist, muss ebenfalls begründet und dokumentiert werden.

Ein hohes Risiko kann zusätzlich eine Information der betroffenen Personen nach Art. 34 DSGVO erfordern. Diese Kommunikation ist eine eigene Entscheidung und darf nicht mit der Dienstleistermeldung verwechselt werden. Der Auftragsverarbeiter kann Textbausteine, technische Ursachen und Abhilfemaßnahmen liefern. Die Verantwortung für Inhalt, Empfängerkreis und Zeitpunkt bleibt beim Verantwortlichen.

Art. 33 Abs. 5 DSGVO verlangt, dass der Verantwortliche Verletzungen des Schutzes personenbezogener Daten dokumentiert. Die Akte sollte deshalb auch dann geschlossen werden, wenn keine Meldung an die Datenschutzbehörde erfolgt. Festzuhalten sind zumindest der Sachverhalt, die Auswirkungen, die Risikobewertung, die Entscheidung, die Kommunikation und die Abhilfemaßnahmen.

Vom Auftragsverarbeiter sollten Vertrag, Erstmeldung, weitere Updates, Ursachenanalyse, technische Nachweise, Liste betroffener Verarbeitungsvorgänge und Informationen zu Unterauftragnehmern zusammengeführt werden. Prüfen Sie, ob die Angaben zum Verzeichnis der Verarbeitungstätigkeiten, zu den technischen und organisatorischen Maßnahmen sowie zu den Datenschutzinformationen passen. Abweichungen können auf eine weitergehende Anpassungspflicht hinweisen.

Nach der akuten Phase folgt die Verbesserung. Unternehmen sollten prüfen, ob Meldezeiten, Eskalationsstufen, Protokollierung, Backup-Strategien oder Berechtigungskonzepte geändert werden müssen. Die Checkliste zur Dokumentation einer Datenpanne strukturiert die wichtigsten Punkte. Der Datenpannen-Erstcheck dient als Einstieg, ersetzt aber nicht die individuelle Bewertung.

Die Meldung geht an die falsche Stelle: Ein allgemeines Ticketsystem wird zwar verwendet, aber Datenschutzbeauftragte, Notfallkontakt oder Vertretung erhalten keine Information. Der Vertrag sollte den Weg und eine Bestätigung vorgeben.

Der Dienstleister wartet auf die vollständige Analyse: Art. 33 Abs. 2 DSGVO verlangt keine fertige Ursachenanalyse, bevor die erste Information erfolgt. Bekannte Fakten und offene Punkte müssen getrennt mitgeteilt werden.

Die 72 Stunden werden beim Dienstleister gestartet: Für die Behördenmeldung zählt grundsätzlich die Kenntnis des Verantwortlichen. Daraus folgt aber kein Freibrief für verspätete Dienstleistermeldungen. Der Verantwortliche braucht die Informationen so rasch, dass er seine eigene Pflicht erfüllen kann.

Die Risikoprüfung wird ausgelagert: Der Auftragsverarbeiter kann technische Informationen und eine erste Einschätzung liefern. Die rechtliche Entscheidung über Behördenmeldung und Betroffeneninformation bleibt beim Verantwortlichen.

Nur die Behörde wird betrachtet: Vertragspartner, betroffene Personen, Versicherer, weitere Auftragsverarbeiter und interne Entscheidungsträger können eigene Kommunikations- und Nachweisanforderungen auslösen.

Nach der Schließung verschwindet die Akte: Ohne Dokumentation der Entscheidung und Abhilfe kann das Unternehmen später weder Rechenschaft ablegen noch systematisch aus dem Vorfall lernen.

1. Eingang sichern: Zeitpunkt, Meldekanal, meldende Person und erste Fakten werden unverändert dokumentiert.

2. Eindämmung bestätigen: Der Auftragsverarbeiter beschreibt, welche Konten, Systeme oder Schnittstellen gesichert wurden und ob der Zugriff noch möglich ist.

3. Datenfluss einordnen: Verantwortlicher und Dienstleister klären betroffene Verarbeitung, Datenkategorien, Personengruppen, Zeitraum und Unterauftragnehmer.

4. Risiko bewerten: Der Verantwortliche beurteilt Risiko und gegebenenfalls hohes Risiko; fehlende Fakten werden mit Verantwortlichkeit und Zeitpunkt nachgefordert.

5. Kommunikation steuern: Behördenmeldung, Information betroffener Personen und interne Kommunikation werden aufeinander abgestimmt. Eine erste Behördenmeldung kann ergänzt werden.

6. Akte schließen und verbessern: Entscheidung, Nachweise, Ursachenanalyse, Abhilfe und Änderungen an Vertrag oder Technik werden zusammengeführt.

Wir prüfen mit Ihnen den konkreten Meldeweg, den Auftragsverarbeitervertrag, die vorhandenen Erstinformationen und die gemeinsame Dokumentation. Dabei klären wir, welche Angaben für die Risikobewertung fehlen, wie eine Behördenmeldung vorbereitet wird und welche Verbesserungen im Vertrag oder in den Sicherheitsmaßnahmen sinnvoll sind. Kontaktieren Sie uns mit dem Vertrag, der Dienstleistermeldung und der bisherigen Zeitlinie.