Datenleck bei BVG

Datenleck bei der BVG: Warum Auftraggeber die Löschung prüfen müssen

Ein Angriff auf einen Dienstleister der Berliner Verkehrsbetriebe hat rund 180.000 Datensätze von Kundinnen und Kunden betroffen. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit, kurz BlnBDI, hat den Fall in ihrem Jahresbericht 2025 ausgewertet. Ihr Ergebnis ist deutlich. Die BVG hat ihren Dienstleister nicht ausreichend kontrolliert und den Vorfall zu spät gemeldet. Der Fall zeigt, dass die Verantwortung für Daten nicht endet, wenn ein Auftrag nach außen vergeben wird.

Im Frühjahr 2025 wurden die IT-Systeme eines Dienstleisters der BVG angegriffen. Die BVG meldete den Vorfall der BlnBDI und informierte die betroffenen Personen. Danach gingen bei der Behörde zahlreiche Anfragen ein. Die BlnBDI beriet die Betroffenen zu ihren Rechten. Sie prüfte auch, ob die BVG ihre eigenen Pflichten im Umgang mit dem Vorfall erfüllt und ihren Dienstleister ausreichend kontrolliert hatte.

Die BVG hatte den Dienstleister mit einer Versandaktion beauftragt. Potenziell betroffen waren alle Personen, die die BVG im Januar 2025 zum Tarifprodukt „Berlin Abo“ angeschrieben hatte. Betroffen waren Namen, Anschriften, Vertrags- und Kundennummern und teilweise E-Mail-Adressen. Bankdaten und Passwörter waren nicht betroffen.

Nach ihrer Prüfung kam die BlnBDI zu dem Ergebnis, dass die BVG ihre Kontrollpflichten gegenüber dem Dienstleister nicht ausreichend wahrgenommen hat. Der Dienstleister verarbeitete die Daten im Auftrag der BVG. Er war damit Auftragsverarbeiter im Sinne von Art. 28 DS-GVO. Verantwortliche müssen dafür sorgen, dass Auftragsverarbeiter die Daten nach Ende des Auftrags löschen. Es reicht nicht, sich auf die vertraglich vereinbarte Löschpflicht zu verlassen. Die BVG hatte nach Abschluss der Versandaktion nicht nachgefragt, ob der Dienstleister die Daten gelöscht hatte. Nach Einschätzung der BlnBDI wäre der Vorfall mit hoher Wahrscheinlichkeit verhindert worden, wenn die BVG ihre Kontrollrechte genutzt hätte.

Auch die Meldung an die Aufsichtsbehörde kam zu spät. Nach Art. 33 DS-GVO müssen Verantwortliche meldepflichtige Datenschutzvorfälle unverzüglich melden, möglichst binnen 72 Stunden, nachdem sie davon erfahren haben. Das gilt auch dann, wenn der Vorfall nicht beim Verantwortlichen selbst passiert, sondern bei einem Auftragsverarbeiter. Die Frist beginnt in diesem Fall in der Regel, sobald der Auftragsverarbeiter den Verantwortlichen über den Vorfall informiert hat. Die BlnBDI ist der Ansicht, dass die BVG früher mit der Aufklärung hätte beginnen und sie schneller hätte abschließen müssen.

Die BlnBDI leitet daraus klare Anforderungen ab. Die Abläufe für einen Datenschutzvorfall sollten vorher feststehen, zwischen Auftragsverarbeiter und Verantwortlichem und auch innerhalb des Verantwortlichen. Die Auslagerung an einen Dienstleister darf die Meldung nicht verzögern. Nach Ende eines Auftrags muss sich der Verantwortliche vergewissern, dass die Daten gelöscht sind. Die Logik dahinter ist einfach. Wo keine Daten mehr liegen, kann auch niemand unberechtigt darauf zugreifen.

Den Betroffenen rät die BlnBDI, auf ungewöhnliche Kontaktaufnahmen zu achten. Solche Nachrichten sollen oft dazu verleiten, weitere Informationen preiszugeben.

Unsere Empfehlungen

Unternehmen und KMU

Der BVG-Fall betrifft jedes Unternehmen, das Versand, Druck, Newsletter, IT-Betrieb oder Hosting auslagert. Diese Punkte helfen in der Praxis.

• Prüfen Sie Ihre Verträge zur Auftragsverarbeitung. Sie müssen regeln, dass der Dienstleister die Daten nach Auftragsende löscht oder zurückgibt, und Ihnen Kontrollrechte geben.
• Fordern Sie nach jedem abgeschlossenen Auftrag eine schriftliche Löschbestätigung an, mit Datum und Art der Löschung. Geben Sie die Schlussrechnung erst frei, wenn die Bestätigung vorliegt.
• Legen Sie im Vertrag fest, wie schnell und an wen der Dienstleister einen Vorfall meldet. Eine konkrete Frist und eine feste Kontaktadresse vermeiden Zeitverlust.
• Bestimmen Sie intern, wer einen Vorfall bewertet und wer die Meldung an die Aufsichtsbehörde abgibt. Regeln Sie auch die Vertretung.
• Übergeben Sie nur die Daten, die der Dienstleister wirklich braucht. Für einen Briefversand reichen meist Name und Anschrift.

Behörden und öffentliche Stellen

Öffentliche Stellen versenden oft große Mengen an Bescheiden und Informationsschreiben über externe Dienstleister. Ein Vorfall betrifft dann schnell zehntausende Menschen.

• Machen Sie den Löschnachweis zum festen Teil der Abnahme jeder Versand- oder Druckleistung.
• Halten Sie den Meldeweg in einer Dienstanweisung fest. Die 72 Stunden laufen auch am Wochenende und an Feiertagen, also braucht es eine Erreichbarkeit außerhalb der Dienstzeiten.
• Bereiten Sie für große Vorfälle Musterschreiben, häufige Fragen und einen Hinweis auf Phishing vor. Das entlastet die Bürgerkommunikation, wenn viele Anfragen gleichzeitig eingehen.

Gesundheitseinrichtungen

Praxen, Kliniken und Pflegedienste arbeiten mit Abrechnungsstellen, Laboren und Versanddienstleistern zusammen. Gesundheitsdaten gehören nach Art. 9 DS-GVO zu den besonderen Kategorien. Ein Vorfall führt hier eher zu einem hohen Risiko und damit auch zur Pflicht, die Betroffenen nach Art. 34 DS-GVO zu benachrichtigen.

• Lassen Sie sich die Löschung bei allen Dienstleistern bestätigen, die Patientendaten erhalten, etwa für Recall-Schreiben oder die Abrechnung.
• Verpflichten Sie Dienstleister zur Verschwiegenheit nach § 203 StGB, wenn sie Zugang zu geschützten Patientengeheimnissen haben.
• Warten Sie bei einem Vorfall beim Dienstleister nicht auf dessen Abschlussbericht. Beginnen Sie sofort mit Ihrer eigenen Bewertung.

Kanzleien und Freiberufler

Kanzleien und Steuerberater nutzen Schreibdienste, Cloud-Speicher, Aktenvernichter und Versanddienstleister. Für sie gelten neben der DS-GVO auch berufsrechtliche Vorgaben, etwa § 43e BRAO und § 62a StBerG.

• Dokumentieren Sie Löschbestätigungen von Dienstleistern zusammen mit dem jeweiligen Auftrag.
• Prüfen Sie bei Altverträgen, ob ein Vorfallmeldeweg und Kontrollrechte überhaupt geregelt sind.
• Informieren Sie bei einem Vorfall früh Ihre Mandantschaft, wenn deren Daten betroffen sein können.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Jahresbericht 2025

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
• Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
• Nachweis der Datenlöschung – So dokumentieren Sie korrekt
• Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
• Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
• Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft

Dieser Absatz enthält Affiliatelinks/Werbelinks