Die spanische Datenschutzaufsicht AEPD hat am 10. Oktober 2025 gegen eine Bank ein Bußgeld in Höhe von 500.000 EUR verhängt. Der Grund: Eine unzureichende Überwachung des eingesetzten Dienstleisters (Verfahren PS-00001–2025).
Link zum Beschluss (Spanisch, PDF)
Der Sachverhalt: Datenverlust beim Kurierdienst
Eine betroffene Person beabsichtigte, als Mitinhaberin zu einem bestehenden Konto hinzugefügt zu werden. Das von der Bank vorgesehene Verfahren sah vor, ein Formular sowie eine Ausweiskopie in einem Umschlag per Kurierdienst an das Institut zu senden.
Obwohl der Kurierdienst direkt von der Bank beauftragt wurde, kam die Sendung nie am Bestimmungsort an. Trotz Nachfragen und Recherchen konnte der Verbleib der sensiblen Unterlagen nicht geklärt werden. Nachdem der Verlust offiziell bestätigt wurde, beendete die Bank die Zusammenarbeit mit dem Dienstleister. Die betroffene Person reichte daraufhin Beschwerde ein, die schließlich bei der AEPD landete.
Die Verstöße: Warum die Bank als Verantwortliche haftet
Aus Sicht der AEPD lag das Hauptverschulden nicht allein beim Kurierdienst, sondern primär bei der Bank als Verantwortlicher im Sinne der DSGVO.
Die Kernpunkte der Entscheidung:
- Mangelnde Überwachung (Art. 32 DSGVO): Die Bank verfügte über keine ausreichenden technischen und organisatorischen Maßnahmen (TOM), um den Auftragsverarbeiter effektiv zu kontrollieren.
- Fehlende Prüfung der Sicherheitsmaßnahmen: Es wurde nicht verifiziert, ob die vertraglich vereinbarten Sicherheitsstandards beim Dienstleister in der Praxis tatsächlich umgesetzt wurden.
- Lückenhafte Vertragsgestaltung: Der Vertrag beschränkte die Haftung des Dienstleisters lediglich auf die Abholung, nicht jedoch auf den gesamten Versandweg.
- Kein Monitoring-System: Die Bank hatte keine eigenen Mechanismen, um Verzögerungen oder ausbleibende Zustellungen eigenständig zu erkennen; sie verließ sich blind auf Sammelberichte des Dienstleisters.
- Intransparente Sub-Unternehmerkette: Im konkreten Fall konnte die Bank nicht nachvollziehen, welcher Unterauftragnehmer die Sendung tatsächlich abgeholt hatte.
Die AEPD wertete dies als schwerwiegendes Organisationsversagen im Umgang mit Auftragsverarbeitern.
Die Begründung: Warum das Bußgeld so hoch ausfällt
Die Behörde sah einen kombinierten Verstoß gegen Art. 32 DSGVO (Sicherheit der Verarbeitung) und Art. 28 DSGVO (Auftragsverarbeiter).
Wichtige Erkenntnisse aus dem Beschluss:
- Keine Zeit-Ausnahme: Verantwortliche müssen Dienstleister immer sorgfältig auswählen – auch bei kurzfristiger Zusammenarbeit (Art. 28 Abs. 1 DSGVO).
- Kontrollpflicht während der Laufzeit: Es reicht nicht aus, Sicherheitsmaßnahmen in den Vertrag zu schreiben. Diese müssen während der gesamten Vertragslaufzeit überwacht und regelmäßig überprüft werden.
- Gesamtbetrachtung der Risiken: Der Verlust einer Ausweiskopie in Verbindung mit der fehlenden Meldung durch den Dienstleister zeigt laut AEPD deutlich, dass das Kontrollsystem der Bank unzureichend war.
Dies führte schlussendlich zur Festsetzung des Bußgeldes von 500.000 EUR.
Lessons Learned für Unternehmen und Behörden
Dieser Fall bietet wichtige praxisnahe Erkenntnisse für das Datenschutz-Management:
- Auftragsverarbeitung ist Chefsache: Verantwortliche bleiben rechtlich in der Pflicht, auch wenn operative Aufgaben ausgelagert werden.
- Prüfung vor Beauftragung: Vorab-Prüfungen (z. B. durch Audits, Zertifikate oder Referenzen) sind essenziell, um das versprochene Sicherheitsniveau zu validieren.
- Aktives Monitoring: Etablieren Sie Stichproben, definieren Sie KPIs (z. B. Zustellquoten) und verankern Sie klare Eskalationswege sowie Meldepflichten in Ihren Verträgen.
- Transparenz bei Sub-Dienstleistern: Behalten Sie die gesamte Kette im Blick und stellen Sie sicher, dass auch Unterauftragnehmer die DSGVO-Anforderungen erfüllen.
- Nachweisbares Risikomanagement: Die DSGVO fordert kein Null-Risiko, aber ein transparentes und angemessenes Risikomanagement mit wirksamen TOM.
Insbesondere, aber nicht nur Unternehmen in regulierten Sektoren (Banken, Versicherungen) sollten diesen Fall zum Anlass nehmen, ihre Prozesse bei der Übermittlung physischer Dokumente und die Kontrolle ihrer Dienstleisterkette kritisch zu hinterfragen.
Warum wir von der a.s.k. Datenschutz bei der Dienstleister-Prüfung so genau hinschauen
Dieser Fall der AEPD verdeutlicht, warum wir die Prüfung von Dienstleistern nach Art. 28 DSGVO so akribisch angehen. Was für Außenstehende gelegentlich „pingelig“ erscheinen mag, ist in Wahrheit der notwendige Schutz vor existenziellen Bußgeldern und Haftungsrisiken.
Ein Vertrag auf dem Papier reicht nicht aus – die gelebte Aufsicht ist entscheidend. Deshalb ist die konsequente Wiedervorlage und Überwachung über unser DSMS-Tool für uns keine Kür, sondern eine Pflichtaufgabe. Nur durch ein systematisches Monitoring stellen wir sicher, dass die Sicherheit der Verarbeitung über die gesamte Vertragslaufzeit hinweg gewährt bleibt.
Hahn IT Services, Schwaig
No responses yet