Datenrettung extern beauftragen: welche Pflichten nach der DSGVO im Unternehmen bleiben

Die Auftragsverarbeitung beginnt vor dem Versand

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, verlangt Artikel 28 DSGVO eine vertragliche Grundlage. Geregelt werden darin Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Weisungsbindung, die Vertraulichkeit der eingesetzten Personen sowie die technischen und organisatorischen Maßnahmen. Für den Alltag heißt das: vor der Übergabe eines Datenträgers sollte geklärt sein, ob eine bestehende Vereinbarung den konkreten Auftrag überhaupt abdeckt.

Zwei Punkte geraten dabei häufig aus dem Blick. Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen. Und ebenso gehört zur Vorbereitung die Frage, an welchem Ort die Bearbeitung stattfindet und ob dabei personenbezogene Daten in ein Drittland gehen.

Arbeitskopien entstehen außerhalb des Unternehmens

In der professionellen Datenrettung wird in der Regel nicht direkt auf dem beschädigten Original gearbeitet. Soweit technisch möglich, überführen die Techniker die noch lesbaren Bereiche zunächst schonend in sektorbasierte Abbilder, denn bei physisch geschädigten Laufwerken kann jeder zusätzliche Lesezugriff den Zustand weiter verschlechtern.

Datenschutzrechtlich hängt viel an diesem Arbeitsschritt: Während der Bearbeitung liegen zusätzliche Kopien des Datenbestands außerhalb des Unternehmens. Wie lange die Abbilder aufbewahrt werden und wer darauf zugreifen kann, sollte deshalb Teil der Beauftragung sein und nicht erst zum Thema werden, wenn die Daten längst zurück sind.

Nach dem Auftrag: Löschung oder Rückgabe

Ist die Wiederherstellung abgeschlossen, entscheidet der Verantwortliche, ob die personenbezogenen Daten gelöscht oder zurückgegeben werden. Vorhandene Kopien werden nach Artikel 28 Absatz 3 DSGVO grundsätzlich gelöscht, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Wer trifft diese Wahl im eigenen Haus, und wer bestätigt anschließend die Löschung? Beides lässt sich vorab festlegen.

Ein Fall aus der Laborpraxis

Wie konkret das werden kann, zeigt ein Auftrag aus dem Labor von DATA REVERSE®. Auf der externen Festplatte der Friseurmeisterin Christin Bader lagen Telefonnummern und Adressen ihrer Kundinnen und Kunden, dazu die individuellen Farbrezepturen. Ein einzelnes Gerät enthielt damit den kompletten personenbezogenen Kundenbestand eines Betriebs, und zwar in einer Branche, in der Datenschutz selten als eigenes Thema mitläuft. Den Fall schildert sie in einer Videoreferenz selbst.

Wenn eine Schutzverletzung auftritt, zählt der Meldeweg

Wird einem Auftragsverarbeiter während der Bearbeitung eine Verletzung des Schutzes personenbezogener Daten bekannt, muss er den Verantwortlichen unverzüglich informieren. Für das Unternehmen kann anschließend die Meldepflicht gegenüber der zuständigen Aufsichtsbehörde greifen, wobei Artikel 33 DSGVO eine Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vorsieht. Diese Frist wird knapp, wenn erst im Ernstfall geklärt wird, wer die Information des Dienstleisters entgegennimmt.

Berufsgeheimnisträger: die Genehmigung allein genügt nicht

Arztpraxen, Kanzleien und Steuerbüros stehen zusätzlich in der Pflicht aus § 203 StGB. Sonstige mitwirkende Personen dürfen eingebunden werden, soweit das für deren Tätigkeit erforderlich ist, allerdings muss der Berufsgeheimnisträger dafür Sorge tragen, dass diese Personen zur Geheimhaltung verpflichtet sind. Wer einen Praxis- oder Kanzleiserver in ein Labor gibt, holt sich damit eine solche mitwirkende Person ins Verfahren. Je nach Berufsgruppe kommen berufsrechtliche Anforderungen hinzu, etwa an die sorgfältige Auswahl des Dienstleisters.

Vor der Übergabe zu klären

* Deckt die vorhandene Vereinbarung zur Auftragsverarbeitung den konkreten Auftrag ab? * Wer genehmigt Unterauftragnehmer, und an welchem Ort wird bearbeitet? * Bis wann werden die Arbeitskopien gelöscht, und wer bestätigt das? * Ist die Verarbeitungstätigkeit im Verzeichnis nach Artikel 30 DSGVO dokumentiert? * Wer im Unternehmen nimmt eine Meldung des Dienstleisters entgegen?

Bei der Auswahl eines Dienstleisters kann ein zertifiziertes Informationssicherheits-Managementsystem als Anhaltspunkt dienen. DATA REVERSE® ist nach ISO 9001 und ISO/IEC 27001 zertifiziert. Welche Vereinbarungen der einzelne Auftrag verlangt, bleibt davon unberührt und gehört in jedem Fall geprüft.

(Ende)

Aussender: DATA REVERSE® Datenrettung Ansprechpartner: Christine Schröder Tel.: +49 341 392 817 89 E-Mail: presse@datareverse.de Website: www.datareverse-datenrettung.de