Datenrettung: DSGVO-Pflichten bleiben auch bei externen Dienstleistern

In aktuellen Fachinformationen und Ratgebern wurden Mitte September 2026 die fortbestehenden Verantwortlichkeiten von Unternehmen im Bereich des Datenschutzes präzisiert.

Wenn sensible Firmendaten zur Rettung an externe Dienstleister übergeben werden, entbindet dies die Verantwortlichen nicht von ihren Pflichten gemäß der Datenschutz-Grundverordnung (DSGVO). Vielmehr bestehen weitreichende Compliance-Anforderungen, die bereits vor der physischen Übergabe der betroffenen Datenträger beginnen.

Vertragliche Grundlagen der Auftragsverarbeitung

Sobald ein externer Dienstleister mit der Wiederherstellung von Daten beauftragt wird, greifen die Regelungen zur Auftragsverarbeitung nach Art. 28 DSGVO. Fachleute weisen darauf hin, dass diese rechtliche Bindung bereits vor dem eigentlichen Versand des defekten Mediums etabliert sein muss. Ein wesentlicher Bestandteil dieser Compliance ist der Abschluss eines Vertrags zur Auftragsverarbeitung (AV-Vertrag).

Dieser Vertrag muss unter anderem eine strikte Weisungsbindung des Dienstleisters sowie die Festlegung technischer und organisatorischer Maßnahmen (TOM) enthalten, um die Sicherheit der verarbeiteten Daten zu gewährleisten.

Unternehmen sind zudem dazu verpflichtet, die Genehmigung etwaiger Unterauftragnehmer zu regeln und klare Vereinbarungen zum Ort der Datenverarbeitung zu treffen, insbesondere wenn eine Bearbeitung in Drittländern außerhalb der Europäischen Union in Betracht kommt.

Handhabung von Arbeitskopien und sektorbasierte Abbilder

Die rechtssichere Gestaltung der Zusammenarbeit mit externen Dienstleistern ist eine zentrale Säule der DSGVO-Compliance. Dieses kostenlose E-Book bietet Ihnen fertige Vorlagen und praktische Checklisten, um die Anforderungen an die Auftragsdatenverarbeitung sofort korrekt umzusetzen. Endlich DSGVO-konforme Auftragsdatenverarbeitung – ohne teuren Anwalt

Ein kritischer Aspekt bei der technischen Durchführung der Datenrettung ist die Erstellung sogenannter Arbeitskopien. Dabei handelt es sich oft um sektorbasierte Abbilder der Originaldatenträger, die außerhalb der direkten Kontrolle des auftraggebenden Unternehmens angelegt werden.

Juristen und IT-Experten betonen, dass für diese Kopien spezifische Regelungen getroffen werden müssen. Dies umfasst insbesondere die Festlegung der Aufbewahrungsdauer sowie die Definition der Zugriffsberechtigten beim Dienstleister. Ziel ist es, den Verbleib der sensiblen Informationen während des gesamten Wiederherstellungsprozesses lückenlos nachverfolgbar zu machen.

Löschpflichten und Reaktionszeiten bei Pannen

Nach dem erfolgreichen Abschluss oder auch nach dem Scheitern einer Datenrettung enden die Pflichten der Beteiligten nicht unmittelbar. Gemäß Art. 28 Abs. 3 DSGVO ist die anschließende Löschung der Daten oder deren vollständige Rückgabe an das auftraggebende Unternehmen verpflichtend. Eine dauerhafte Speicherung beim Dienstleister ohne explizite Grundlage ist unzulässig.

Sollte es im Zuge der externen Datenrettung zu einer Datenpanne kommen – etwa durch unbefugten Zugriff oder Verlust des Datenträgers –, ist Eile geboten. Demnach ist eine Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO vorgesehen. Diese Meldung sollte möglichst binnen 72 Stunden erfolgen, nachdem die Verletzung des Schutzes personenbezogener Daten bekannt wurde.

Wer im Rahmen der Datenverarbeitung mit externen Partnern agiert, muss seine Haftungsrisiken genau kennen und minimieren. Ein kostenloser Experten-Report klärt darüber auf, wie Sie teure Bußgelder vermeiden und die Kontrolle über Ihre Datenflüsse behalten. Haftungsrisiken bei Auftragsverarbeitern jetzt prüfen

Besondere Sorgfalt für Berufsgeheimnisträger

Für bestimmte Berufsgruppen gelten über die DSGVO hinausgehende, verschärfte Anforderungen. Berufsgeheimnisträger, wie beispielsweise Angehörige rechts- oder medizinberatender Berufe, müssen bei der Übergabe sensibler Daten an externe Stellen zusätzlich die strafrechtlichen Bestimmungen beachten.

Hier greift insbesondere § 203 des Strafgesetzbuches (StGB), der den Schutz von Privatgeheimnissen regelt. Die Weitergabe von Daten an einen Rettungsdienstleister darf den Schutz des Berufsgeheimnisses nicht gefährden, was eine besonders sorgfältige Auswahl und vertragliche Absicherung des Dienstleisters erforderlich macht.

Unternehmen in diesen Sektoren müssen sicherstellen, dass die externe Datenrettung so gestaltet ist, dass keine unbefugte Offenbarung von geschützten Geheimnissen erfolgt.