Datenleck beim Buchungs­dienstleister: Was Hotels und andere Unternehmen jetzt melden müssen

Verantwortlich bleibt der Betrieb

Die Behörden betonen, dass Hotels und andere Übernachtungsbetriebe für die Daten ihrer Gäste verantwortlich bleiben, auch wenn die Panne beim Dienstleister passiert ist (LfDI Mecklenburg-Vorpommern; LfD Niedersachsen). Der Dienstleister ist Auftragsverarbeiter und muss eine Verletzung, die ihm bekannt wird, dem Verantwortlichen unverzüglich melden (Art. 33 Abs. 2 DSGVO). Die Aufsichtsbehörde muss dagegen der Verantwortliche unterrichten, unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde (Art. 33 Abs. 1 DSGVO).

Wann der Betrieb von der Panne weiß, beantworten die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zur Meldung von Datenpannen. Grundsätzlich ist das der Fall, sobald der Dienstleister ihn informiert hat. Eine Risikobewertung muss der Dienstleister vorher nicht anstellen, denn sie ist Aufgabe des Verantwortlichen (EDSA-Leitlinien 9/2022, Rn. 44). Der Dienstleister darf zwar im Namen des Verantwortlichen melden, wenn dieser ihn dazu ermächtigt hat und der Vertrag das vorsieht, die rechtliche Pflicht bleibt aber beim Verantwortlichen (Rn. 48).

Bei meinen Mandanten kommt es vor, dass eine Panne beim Dienstleister passiert und sie davon erst spät oder nur nebenbei erfahren. Informiert der Dienstleister sie korrekt, melden die Unternehmen nach meiner Erfahrung selbst. Der LfDI Bremen rät den Betrieben, auf eingehende Nachrichten ihrer Dienstleister zu achten.

Alle Gäste benachrichtigen, nicht nur die angeschriebenen

Hat eine Panne voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, muss der Verantwortliche sie unverzüglich benachrichtigen (Art. 34 Abs. 1 DSGVO). Die Benachrichtigung beschreibt die Verletzung in klarer und einfacher Sprache und nennt eine Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen (Art. 34 Abs. 2 in Verbindung mit Art. 33 Abs. 3 Buchst. b bis d DSGVO). Bei den abgeflossenen Buchungsdaten verlangen die Behörden eine Benachrichtigung der Gäste, und der LfDI Bremen nennt als Risiken neben finanziellen Schäden auch Identitätsdiebstahl und Erpressungsversuche. Nach dem LfDI Bremen ist die Benachrichtigung an alle Gäste zu richten, die betroffen sein könnten, und nicht nur an diejenigen, die schon gefälschte Nachrichten erhalten haben. In den meisten Fällen stelle der Dienstleister dafür eine Vorlage bereit. Zu den Pflichten zählen außerdem eine Ansprechperson für die Gäste und die Dokumentation des Vorfalls (Art. 33 Abs. 5 DSGVO).

Fehlen bei der Meldung an die Aufsicht noch Informationen, kann der Betrieb sie schrittweise nachreichen (Art. 33 Abs. 4 DSGVO). Wie die ersten 72 Stunden ablaufen, beschreibt der Beitrag Datenpanne: Was tun in den ersten 72 Stunden?

Was im Vertrag mit dem Dienstleister stehen sollte

Der Vertrag zur Auftragsverarbeitung muss vorsehen, dass der Dienstleister den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO unterstützt, also auch bei Meldung und Benachrichtigung (Art. 28 Abs. 3 Satz 2 Buchst. f DSGVO). Eine feste Frist für die Meldung des Dienstleisters nennt die DSGVO nicht, sie verlangt nur, dass er unverzüglich meldet. Der EDSA empfiehlt deshalb, dass der Dienstleister umgehend meldet und weitere Angaben nachliefert, sobald sie vorliegen, und dass der Vertrag regelt, wie diese Meldung abläuft (Rn. 45 f.).

Im Vertrag halte ich zwei Punkte für besonders wichtig: eine feste Frist, innerhalb der der Dienstleister eine Panne melden muss, und seine Pflichten zur Mitwirkung bei Datenschutzvorfällen. Worauf ich bei der Prüfung solcher Verträge sonst achte, steht auf der Seite Auftragsverarbeitungsvertrag prüfen.

Was betroffene Betriebe jetzt tun sollten

1. Nachrichten der Dienstleister zu Sicherheitsvorfällen sofort an die zuständige Person weitergeben und den Zeitpunkt festhalten, weil von ihm an in der Regel die 72 Stunden laufen.
2. Die Datenpanne bei der zuständigen Aufsichtsbehörde melden, notfalls zunächst mit den bekannten Angaben.
3. Alle Gäste benachrichtigen, deren Daten betroffen sein könnten, eine Ansprechperson nennen und vor Zahlungsaufforderungen per Nachricht warnen.
4. Passwörter der Konten beim betroffenen Dienstleister ändern, angeschlossene Systeme und Protokolle auf ungewöhnliche Zugriffe prüfen und die Zwei-Faktor-Authentifizierung einrichten.
5. Mitarbeitende so informieren, dass sie Gästen Auskunft geben können, auch wenn diese schon Daten eingegeben oder bezahlt haben.
6. Den Vorfall mit Fakten, Auswirkungen und Maßnahmen dokumentieren.
7. Den Vertrag zur Auftragsverarbeitung auf eine feste Meldefrist und Mitwirkungspflichten prüfen.