mein Lieferant meldet einen Datenschutzverstoß, muss ich das selbst auch melden

Ein Datenschutzvorfall bei deinem Anbieter kann auch deine Meldepflicht betreffen

Ja, das ist möglich, auch wenn der Anbieter den Vorfall bereits selbst gemeldet hat. Ein Anbieter, der Kundendaten für dich verarbeitet — eine Buchhaltungssoftware, ein E-Mail-Marketing-Tool, ein Hosting-Unternehmen — ist in der Sprache der DSGVO in der Regel ein Auftragsverarbeiter, und du selbst bleibst der Verantwortliche. Die Meldepflicht gegenüber der Aufsichtsbehörde und den betroffenen Personen liegt beim Verantwortlichen, nicht beim Auftragsverarbeiter. Der Anbieter, der dies seiner eigenen Aufsichtsbehörde meldet, erfüllt damit nicht automatisch deine Verpflichtung.

Was der Anbieter gemäß der Auftragsverarbeitungsvereinbarung allerdings tun muss, ist, den Vorfall ohne unnötige Verzögerung an dich zu melden, sobald er davon erfährt. Von diesem Zeitpunkt an beginnst du zu beurteilen, ob es sich um eine Verletzung im Sinne von was ist eine Datenpanne genau?, und ob diese meldepflichtig ist gegenüber der Autoriteit Persoonsgegevens und gegebenenfalls gegenüber den betroffenen Personen. Dass ein Anbieter den Vorfall seiner eigenen Aufsichtsbehörde gemeldet hat — manchmal in einem anderen Land — ändert nichts an dieser eigenen Bewertung, die du als Verantwortlicher vornimmst.

Wo dies aus Artikel 28 und Artikel 33 der DSGVO folgt

Artikel 28 der DSGVO regelt die Beziehung zwischen dem Verantwortlichen und dem Auftragsverarbeiter, und die entsprechende Auftragsverarbeitungsvereinbarung legt fest, dass der Auftragsverarbeiter eine Verletzung dem Verantwortlichen melden muss; Artikel 33 der DSGVO legt die Meldepflicht gegenüber der Aufsichtsbehörde beim Verantwortlichen fest, mit den Fristen und Kriterien, die die Autoriteit Persoonsgegevens und die EDPB in ihren Leitlinien weiter ausarbeiten. Diese Aufteilung gilt in jedem Mitgliedstaat gleich, nur unterscheidet sich, welche Aufsichtsbehörde die Meldung erhält: in den Niederlanden ist dies die Autoriteit Persoonsgegevens, in anderen Mitgliedstaaten die Aufsichtsbehörde dieses Landes — relevant, wenn der Anbieter dort ansässig ist oder wenn Kundendaten von betroffenen Personen aus mehreren Ländern betroffen sind. Welche eigenen Vereinbarungen mit dem Anbieter dies regeln müssen, und ob diese Vereinbarung ausreichend ist, wird beschrieben unter muss ich eine Auftragsverarbeitungsvereinbarung unterzeichnen, die mein Kunde mir schickt?.