TL;DR
Mit Entscheidung vom 28. Juli 2026, vom EDSA am 8. Oktober veröffentlicht, hat die griechische Datenschutzbehörde gegen das Ministerium für sozialen Zusammenhalt und Familie (Verantwortlicher) 200.000 Euro und gegen E.E.T.A.A. S.A., die Agentur für lokale Entwicklung, die dessen Systeme betrieb (Auftragsverarbeiter), 150.000 Euro verhängt. Das Ministerium hatte korrekt gemeldet und informiert; das Bußgeld betrifft Sicherheit und das Verhältnis zum Auftragsverarbeiter. Artikel: 25, 28, 32, 33 und 34 DSGVO.
Was geschehen ist
Ein großangelegter Cyberangriff traf die Systeme der E.E.T.A.A., die zur Umsetzung der Programme des Ministeriums dienten. Die Datenbanken enthielten Daten sehr vieler Menschen: Identifikations- und Kontaktdaten, Finanz- und Gesundheitsdaten.
Was die Behörde festgestellt hat
- KORREKTE MELDUNG. Das Ministerium als Verantwortlicher erfüllte seine Pflichten zur Meldung an die Behörde und zur Benachrichtigung der Betroffenen (Art. 33 und 34).
- VERALTETE SYSTEME. Der Angriff gelang, weil E.E.T.A.A. trotz Kenntnis der Risiken weiter veraltete Systeme und unzureichende Sicherheitsmaßnahmen einsetzte (Art. 32).
- UNGEREGELTES VERHÄLTNIS. Mängel nach Art. 28: Das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter war nicht wie von der DSGVO verlangt geregelt.
- BEIDE SANKTIONIERT. 200.000 Euro für das Ministerium und 150.000 Euro für E.E.T.A.A., mit der Anordnung, einen Vertrag nach Art. 28 zu schließen und die geplanten Sicherheitsmaßnahmen umzusetzen.
Gute Meldung rettet den Verantwortlichen nicht
Die Bearbeitung der Panne war korrekt, und doch zahlt der Verantwortliche. Der Grund liegt davor: Art. 28 verlangt, nur Auftragsverarbeiter mit hinreichenden Garantien einzusetzen und das Verhältnis schriftlich zu regeln. Ein Dienstleister mit veralteten Systemen ohne bindenden Vertrag ist zuerst ein Risiko des Verantwortlichen.
Was das für den DSB bedeutet
Vier Prüfungen
Erstens: für jeden Dienstleister, der Daten im Auftrag verarbeitet, ein unterzeichneter Vertrag nach Art. 28, auch bei öffentlichen Stellen oder Staatsunternehmen. Zweitens: im Vertrag Mindestsicherheitsmaßnahmen und das Recht, sie zu prüfen, einschließlich Systemaktualisierungen. Drittens: eine dokumentierte regelmäßige Prüfung der Dienstleister mit Gesundheits- oder Finanzdaten. Viertens: Kennt der Dienstleister ein Risiko und behebt es nicht, muss der Verantwortliche es wissen und entscheiden — der Moment für eine schriftliche Stellungnahme des DSB.
Der Fall ist noch aus einem anderen Grund nützlich: Er zeigt, dass Behörden den Auftragsverarbeiter direkt sanktionieren, wenn die Ursache bei ihm liegt. Der Auftragsverarbeiter ist nicht durch den Verantwortlichen „gedeckt“: Er hat eigene Sicherheitspflichten und haftet dafür.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
