Meldung einer Datenpanne im Rahmen einer Auftragsverarbeitung

Die Pflicht der Meldung nach Art. 33 Abs. 1 DS-GVO trifft nur datenschutzrechtlich „Verantwortliche“ im Sinne des Art. 4 Nr. 7 DS-GVO.

Eine Sonderregelung besteht für Auftragsverarbeiter gegenüber dem Verantwortlichen, für den sie tätig sind. Nach Art. 33 Abs. 2 DS-GVO müssen sie Datenschutzverstöße dem Verantwortlichen melden. Grund ist vor allem dass es sich dabei um Verstöße im Verantwortungsbereich des Verantwortlichen handelt, die dieser wiederum ggf. der Aufsichtsbehörde melden muss. Aus dem aktuellen Tätigkeitsbericht des LfDI (27. Tätigkeitsbericht, Ziffer 11.2) ergibt sich, dass es nicht bei allen Verantwortlichen und Auftragsverarbeitern die für das Zusammenspiel der einzelnen internen und externen Meldepflichten erforderlichen Prozesse gibt.

Eine Datenschutzverletzung bedeutet einen Sicherheitsvorfall, der zur zufälligen oder unrechtmäßigen Zerstörung, zum Verlust, einer Änderung, unbefugten Offenlegung oder einem unbefugten Zugriff auf die übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt. Auch hier hat der Auftragsverarbeiter den Auftraggeber bei Daten, die aus dessen Auftrag resultieren, zu unterstützen. Dies beinhaltet

• eine Beschreibung, wie der Datenschutzprozess des Auftragsverarbeiters an den entsprechenden Prozess des Verantwortlichen angebunden werden kann,
• die Existenz eines Prozesses, um Verstöße gegen die Weisungen des Verantwortlichen oder gegen die Vorschriften zum Schutz personenbezogener Daten zu erkennen und unverzüglich den Verantwortlichen zu informieren. Dazu gehören auch Sachverhalte, die geeignet sind, die Interessen des Verantwortlichen zu tangieren,
• die Existenz eines Prozesses, um Datenschutzverletzungen, die eine gesetzliche Meldepflicht auslösen können, zu erkennen, den Verantwortlichen unverzüglich zu informieren und Maßnahmen zur Schadensminimierung einzuleiten,
• die Existenz eines Prozesses, um eine Datenschutzverletzung zeitnah zu untersuchen und aufzuklären (vgl. GDD-Praxishilfe DS-GVO – Praxishinweise für Auftragsverarbeiter nach Art. 28 DS-GVO – ).
  

Nach Einschätzung der LDI NRW kann bei einer Datenpanne bei Auftragsverarbeitern unter den folgenden Bedingungen anstelle der Meldungen durch die einzelnen Verantwortlichen eine Sammelmeldung durch eine zentrale Stelle treten, solange die von der Sammelmeldung umfassten Verantwortlichen

1. der Aufsicht der LDI NRW unterliegen,
2. gemäß Art. 33 Abs. 2 DS-GVO über den Vorfall informiert wurden,
3. die zentrale Stelle dazu berechtigt haben, für sie die Meldung an die zuständigen Aufsichtsbehörden abzugeben,
4. bei der Risikobeurteilung beteiligt wurden und
5. bei der Auswahl und Umsetzung von Maßnahmen zur Abhilfe, Abmilderung und Vermeidung eines erneuten Auftretens der Datenpanne sowie der ggf. zu erfolgenden Benachrichtigung der betroffenen Personen einbezogen wurden – insbesondere bezüglich Maßnahmen, die im Einflussbereich der Verantwortlichen liegen.
Des weiteren muss gewährleistet sein, dass in einer solchen Sammelmeldung die nach Art. 33 Abs. 3 DS-GVO geforderten Informationen differenziert für die einzelnen Verantwortlichen als Anlage beigefügt werden.
(Foto: putilov_denis – stock.adobe.com)