Datenträger im Labor: Was mit Unternehmensdaten während der Wiederherstellung passiert

Der Datenträger geht raus, die Verantwortung bleibt im Haus

Ein typisches Szenario aus der Datenrettungspraxis: Ein Laufwerk fällt aus, die Sicherung erweist sich als unvollständig, und weil die Daten dringend gebraucht werden, geht der Datenträger noch am selben Tag ins Labor. Was zunächst wie ein rein technischer Fall aussieht, wird schnell datenschutzrechtlich relevant, denn auf dem Gerät liegen möglicherweise Gehaltsabrechnungen, Bewerbungsunterlagen, Kundenadressen oder Behandlungsdaten.

Wie konkret das werden kann, zeigt ein Fall aus der Laborpraxis von DATA REVERSE®. Auf der externen Festplatte der Friseurmeisterin Christin Bader lagen die Telefonnummern und Adressen ihrer Kundinnen und Kunden sowie die individuellen Farbrezepturen. Ein einzelner Datenträger enthielt damit den gesamten personenbezogenen Kundenbestand eines Betriebs, und zwar in einer Branche, in der Datenschutz selten als eigenes Thema mitgedacht wird. Den Fall schildert sie in einer Videoreferenz selbst.

Für die Wiederherstellung muss ein Dienstleister genau diese Daten auslesen. Das Unternehmen bleibt dabei Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Es kann die Arbeit auslagern, die Pflichten nicht.

Wann eine Vereinbarung zur Auftragsverarbeitung erforderlich ist

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen, greifen die Anforderungen aus Artikel 28 DSGVO. Geregelt werden darin unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Weisungsbindung, die Vertraulichkeit der eingesetzten Personen sowie die technischen und organisatorischen Maßnahmen. Vor der Übergabe eines Datenträgers sollte deshalb feststehen, wie der konkrete Auftrag datenschutzrechtlich einzuordnen ist und welche Vereinbarungen er verlangt.

Besondere Aufmerksamkeit verdienen Unterauftragnehmer. Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter nicht ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen einsetzen. Ebenso gehört zur Vorbereitung die Frage, an welchem Ort die Verarbeitung stattfindet und ob dabei personenbezogene Daten in ein Drittland übermittelt werden.

Arbeitskopien sind der Teil, an den kaum jemand denkt

Bei der eigentlichen Rekonstruktion wird in der professionellen Datenrettung in der Regel nicht direkt auf dem beschädigten Originalbestand gearbeitet. Soweit technisch möglich, überführen die Techniker die noch lesbaren Bereiche zunächst schonend in sektorbasierte Abbilder. Der Grund liegt im Zustand der Hardware, denn bei physisch geschädigten Laufwerken können zusätzliche Lesezugriffe den Zustand weiter verschlechtern.

Aus Datenschutzsicht ist dieser Schritt der entscheidende: Während der Bearbeitung entstehen zusätzliche Kopien des ursprünglichen Datenbestands außerhalb des Unternehmens. Wie lange diese Abbilder aufbewahrt werden, wer darauf zugreifen kann und wie nach Abschluss der Datenrettung mit ihnen verfahren wird, sollte deshalb schon bei der Beauftragung feststehen. Artikel 28 Absatz 3 DSGVO sieht vor, dass personenbezogene Daten nach Abschluss der Verarbeitungsleistungen nach Wahl des Verantwortlichen gelöscht oder zurückgegeben und vorhandene Kopien grundsätzlich gelöscht werden, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Diese Wahl muss jemand treffen, und zwar rechtzeitig.

Bei Datenschutzverletzungen zählt der Meldeweg

Auch für den Fall einer Datenschutzverletzung sollten die Zuständigkeiten vorher geklärt sein. Wird einem Auftragsverarbeiter während der Bearbeitung eine Verletzung des Schutzes personenbezogener Daten bekannt, muss er den Verantwortlichen unverzüglich informieren.

Für das verantwortliche Unternehmen kann anschließend die Meldepflicht gegenüber der zuständigen Aufsichtsbehörde greifen. Ist eine Meldung erforderlich, sieht Artikel 33 DSGVO grundsätzlich eine Frist von 72 Stunden nach Bekanntwerden vor. Wer erst im Ernstfall klärt, wen der Dienstleister informiert und wer im eigenen Haus übernimmt, verliert genau die Zeit, die diese Frist knapp macht.

Berufsgeheimnisträger haben eine zusätzliche Hürde

Für Ärztinnen und Ärzte, Rechtsanwälte, Steuerberaterinnen und Steuerberater sowie andere Berufsgeheimnisträger reicht die datenschutzrechtliche Betrachtung allein nicht aus. § 203 StGB erlaubt die Einbindung sonstiger mitwirkender Personen, soweit das für deren Tätigkeit erforderlich ist, verlangt aber, dafür Sorge zu tragen, dass diese Personen zur Geheimhaltung verpflichtet sind.

Ein Datenrettungsdienstleister kann bei der Bearbeitung eines Praxis- oder Kanzleiservers eine solche mitwirkende Person sein. Je nach Berufsgruppe kommen weitere berufsrechtliche Anforderungen hinzu, etwa zur sorgfältigen Auswahl des Dienstleisters.

Was vor der Übergabe geklärt sein sollte

– Liegt eine Vereinbarung zur Auftragsverarbeitung vor, und deckt sie den konkreten Auftrag ab?
– Ist geregelt, ob und mit wessen Genehmigung der Dienstleister Unterauftragnehmer einsetzt?
– Ist bekannt, an welchem Ort die Bearbeitung stattfindet?
– Steht fest, was nach der Rückgabe mit den Arbeitskopien geschieht, und wer die Löschung bestätigt?
– Ist der Auftrag im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 erfasst?
– Weiß im Haus jemand, wer im Fall einer Schutzverletzung beim Dienstleister informiert wird?

DATA REVERSE® ist nach ISO 9001 und ISO/IEC 27001 zertifiziert. Ein zertifiziertes Informationssicherheits-Managementsystem kann Verantwortliche bei der Auswahl eines Dienstleisters unterstützen, ersetzt aber weder die datenschutzrechtliche Prüfung des konkreten Auftrags noch die erforderlichen vertraglichen Regelungen.