Berliner Datenschutzbeauftragte zu Kontrollpflichten des Verantwortlichen bzgl. seiner Auftragsverarbeiter

Das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern ist immer wieder ein Thema mit dem sich Gerichte, Aufsichtsbehörden und Unternehmen auseinandersetzen. Dies war auch der Fall bei einer Verwarnung, die Anfang Mai 2026 von der Berliner Beauftragten für Datenschutz und Informationsfreiheit gegen die Berliner Verkehrsbetriebe (BVG) wegen des mangelhaften Umgangs mit einem Datenschutzvorfall verhängt wurde.

Dabei ging es neben der verspäteten Meldung eines Datenschutzvorfalls auch darum, dass die BVG die Datenlöschung bei einem Dienstleister unzureichend kontrolliert hatte. Ein ähnlicher Fall wurde schon 2024 vor dem Oberlandesgericht (OLG) Dresden verhandelt. Dort beschäftigte sich das OLG ebenfalls mit einem Cyberangriff bei einem Auftragsverarbeiter sowie einer möglichen Verletzung der Kontrollpflicht im Rahmen der Datenlöschung. Es kam zu dem Ergebnis, dass die Verantwortung für personenbezogene Daten weder automatisch mit der Auslagerung an einen Dienstleister noch mit der Beendigung des konkreten Auftrags endet. Verantwortliche bleiben verpflichtet, die Einhaltung datenschutzrechtlicher Vorgaben zu überwachen und dies zu dokumentieren.

Im vorliegenden Fall wurde die BVG Mitte April 2025 über einen erfolgreichen Hackerangriff auf die IT-Systeme des beauftragten Dienstleisters, der Richard Scholz GmbH, informiert. Im Januar 2025 hatte der Dienstleister Briefe und E-Mail im Auftrag der BVG an deren Kund:innen verschickt. Im Zuge dessen verarbeitete die Richard Scholz GmbH als Auftragsverarbeiter der BVG ca. 180.000 Datensätze von BVG-Kund:innen. Beim Hackerangriff wurden Namen, Anschriften, Vertrags- und Kundennummern sowie teilweise E-Mail-Adresse „erbeutet“.

Ende April 2025 meldete die BVG den Vorfall der Berliner Datenschutzbeauftragten und benachrichtigte alle betroffenen Kund:innen.

Die Prüfung durch die Berliner Datenschutzbeauftragte ergab, dass die BVG ihre Kontrollpflichten aus der Datenschutzgrundverordnung (DSGVO) verletzt hatte. Zum Zeitpunkt des Hackerangriffs hätten die Kund:innen-Daten nicht mehr vom Dienstleister gespeichert werden dürfen, da der Auftrag beendet und somit der Verarbeitungszweck entfallen war. Die BVG versäumte, die Löschung der Kund:innen-Daten zu kontrollieren, woraus ein Verstoß gegen Art. 5 Abs. 2 i.V.m. Abs. 1 lit. c, e und f i.Vm. Art. 32 Abs. 1 Hs. 1 DSGO resultiert.

Dazu Maike Kamp, Berliner Beauftragte für Datenschutz und Informationssicherheit: „[…] Hätte die BVG die Löschung der Daten konsequent kontrolliert, wären diese nicht von dem Datenschutzvorfall betroffen gewesen. […].“

Darüber hinaus verletzte die BVG ihre Pflicht zur unverzüglichen Meldung von Datenschutzvorfällen aus Art. 33 DSGVO.

Laut Art. 33 Abs. 1 S. 1 DSGVO muss ein Datenschutzvorfall spätestens 72 Stunden nach bekannt werden an die zuständige Aufsichtsbehörde gemeldet werden. Obwohl die BVG schon Mitte April 2025 Kenntnis vom erfolgreichen Hackerangriff auf den betroffenen Dienstleister hatte, meldete sie den Vorfall erst Ende April und somit nicht innerhalb der gesetzlich vorgeschriebenen Frist.

Schließlich stellte die Berliner Datenschutzbeauftragte fest, dass zwischen der BVG und dem Dienstleiser kein konkretes Verfahren für den Umgang mit Datenschutzvorfällen innerhalb des Auftragsverarbeitungsvertrags vereinbart wurde. Folglich lag ein zusätzlicher Verstoß gegen Art. 28 Abs. 3 S. 2 lit. f) DSGVO vor.

Die Einschätzung der Berliner Datenschutzbeauftragten, insbesondere bzgl. des Verhältnisses zwischen Verantwortlichem und Auftragsverarbeiter schließt an die Entscheidung des OLG Dresden aus Oktober 2024 ein. Beide kommen zu dem Ergebnis, dass die Verantwortung für personenbezogene Daten weder automatisch mit der Auslagerung an einen Dienstleister noch mit der Beendigung des konkreten Auftrags endet. Verantwortliche bleiben verpflichtet, die Einhaltung datenschutzrechtlicher Vorgaben zu überwachen und dies zu dokumentieren.

Mithin sind für die Intensität der Kontrolle folgende Kriterien entscheidend: Umfang und Sensibilität der Daten, die Bedeutung der Verarbeitung, die Risiken für Betroffene und die Zuverlässigkeit des Dienstleisters. Daraus folgt: Je höher das datenschutzrechtliche Risiko, desto höher die Kontrollpflicht des Verantwortlichen.

Umsetzung in der Praxis

Wie der Fall verdeutlicht, enden die mit der Beauftragung von Auftragsverarbeitern verbundenen Pflichten nicht mit der Ausarbeitung eines Auftragsverarbeitungsvertrages. Vor einer Beauftragung sollte ein strukturierter Off-Boarding-Prozess für die von Auftragsverarbeitern verarbeiteten personenbezogenen Daten etabliert werden. Darunter fällt die Datenlöschung/-rückgabe, die Zuständigkeit für die Löschbestätigung, die Erforderlichkeit von Nachweisen und schließlich die potentielle Reaktion auf das Ausbleiben einer Löschbestätigung.

Um den Pflichten als Verantwortlicher nachzukommen, sind neben der Dokumentation von Löschbestätigungen auch Stichproben, Audit- oder Nachweiserechte sowie die Vereinbarung von Eskalationswegen probate Mittel.

Des Weiteren muss gewährleistet werden, dass eventuelle Meldungen von Auftragsverarbeitern intern schnell an die zuständigen Stellen weitergeleitet werden. Es sollte definiert werden, welche Informationen vom Auftragsverarbeiter auf welchem Weg einzuholen sind und welche technischen und organisatorischen Maßnahmen ergriffen werden müssen, um eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden zu gewährleisten. Diese Punkte sollten direkt in den Auftragsverarbeitungsvertrag einfließen, sodass geregelt ist, wie Datenschutzvorfälle zu melden sind, welche Informationen der Auftragsverarbeiter liefern muss und innerhalb welcher Frist eine solche Meldung an den Verantwortlichen zu erfolgen hat.

Die Umsetzung ist umfangreich und kann überfordernd wirken. Bei Fragen oder Unsicherheiten sollten spezialisierte Datenschutzfachleute hinzugezogen werden, um Auftraggeber vor (Mit)Haftung für unzureichende Sicherheitsmaßnahmen bei ihren Auftragsverarbeitern zu schützen.

Fazit

Die Berliner Datenschutzbeauftragte und das OLG Dresden stimmen bei ihrer Einschätzung überein, dass ein Auftragsverarbeitungsvertrag per se nicht ausreicht, um als Verantwortlicher auf der sicheren Seite zu sein. Vielmehr muss kontrolliert werden, ob die vereinbarten Löschpflichten vom Auftragsverarbeiter umgesetzt werden.

Darüber hinaus muss die Einhaltung der gesetzlichen Meldefrist gem. Art. 33 Abs. 1 S. 1 DSGVO gewährleistet werden, indem der Umgang mit Datenschutzvorfällen klar geregelt wird.

Verantwortliche sind verpflichtet, eine Nachweisdokumentation von etwaigen Löschprozessen nach Vertragsende anzufordern und innerhalb des Auftragsverarbeitungsvertrages auf klare Formulierungen zu achten.

Schließlich kann auch die Überprüfung möglicher Auftragsverarbeiter vor der Beauftragung ein präventives Mittel darstellen.

Die genannten Maßnahmen dienen dem Schutz vor Schadensersatzansprüchen, Bußgeldern oder einem Imageverlust aufgrund von Datenschutzverstößen.