Am 22. Oktober hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, der EDÖB, eine formelle Untersuchung gegen PK Softech eröffnet. Das ist der Softwarelieferant, bei dem Anfang Oktober Daten mehrerer Pensionskassen abgeflossen sind, darunter die der Pensionskasse des Bundes, Publica. Wir haben über den Fall am 9. Oktober und am Tag danach geschrieben.
Der Ablauf laut EDÖB: Am 8. Oktober meldete PK Softech selbst den Angriff, danach meldeten sich mehrere Pensionskassen. Am 14. Oktober begann eine informelle Vorabklärung bei Publica, am 22. Oktober die formelle Untersuchung gegen das Softwareunternehmen. Was dabei herauskommt, ist offen. Zu laufenden Verfahren gibt der EDÖB keine Auskunft.
Die Frage, die der EDÖB stellt
Bemerkenswert ist, was er klären will. Nicht, ob der Lieferant angegriffen wurde, das ist bekannt. Sondern drei Dinge: welche Personendaten die Pensionskassen dem Softwareunternehmen überlassen haben, welche rechtlichen Regeln für diese Übertragungen galten, und wie sie tatsächlich umgesetzt wurden. Dazu, wie viel abgeflossen ist.
Der zweite und der dritte Punkt gehören zusammen. Dass es Regeln gab, darf man bei einer Pensionskasse annehmen. Die Frage ist, ob die Wirklichkeit ihnen entsprach.
Vertrag und Wirklichkeit
In unserem ersten Beitrag zum Fall haben wir empfohlen, Lieferanten nach ihren Unterauftragnehmern zu fragen. Die Antwort steht meist im Vertrag über die Auftragsbearbeitung. Das ist die erste Hälfte.
Die zweite ist schwieriger, denn ein Vertrag beschreibt, was geschehen soll. Was geschehen ist, zeigt er nicht.
Die Stellen, an denen beides auseinanderläuft, sind fast immer dieselben. Ein Lieferant bekommt für eine Umstellung eine vollständige Kopie der Datenbank, und die Kopie bleibt nach dem Projekt liegen. Für einen Supportfall schickt jemand einen Export mit echten Daten statt eines Beispiels. Eine Testumgebung läuft mit den echten Daten, weil das einfacher ist. Jeder dieser Schritte ist nachvollziehbar, keiner steht im Vertrag, und alle führen dazu, dass Daten an einem Ort liegen, den niemand mehr auf der Rechnung hat.
Ob irgendetwas davon bei PK Softech zutrifft, wissen wir nicht, und der EDÖB sagt es nicht. Es sind allgemeine Beispiele für die Lücke, nach der er fragt.
Was das Gesetz vom Auftraggeber verlangt
Wer Personendaten einem Lieferanten zur Bearbeitung gibt, bleibt nach dem Datenschutzgesetz dafür verantwortlich. Der Lieferant darf die Daten nur so bearbeiten, wie es der Auftraggeber selbst dürfte. Und der Auftraggeber muss sich vergewissern, dass der Lieferant die Datensicherheit gewährleisten kann.
Kommt es zu einem Abfluss, meldet der Lieferant das seinem Auftraggeber. Der Auftraggeber meldet es dem EDÖB, wenn ein hohes Risiko für die Betroffenen besteht. Die Verantwortung wandert also nicht mit den Daten zum Lieferanten. Sie bleibt beim Betrieb, der sie weitergegeben hat.
Die Bestandsaufnahme, die jeder Betrieb machen kann
Die Fragen des EDÖB lassen sich ohne Jurist und ohne Software stellen. Ein Nachmittag genügt für die erste Fassung.
Wer hat überhaupt Daten von uns? Treuhand und Lohnbuchhaltung, die Webagentur mit Zugriff auf die Kundendaten des Shops, der Anbieter der Kundenverwaltung, der IT-Dienstleister mit Fernzugriff, der Backup-Anbieter. Und auch der Hoster, also für viele unserer Kunden wir. Die Liste ist fast immer länger als erwartet.
Hat er eine Kopie oder nur Zugriff? Das ist der Unterschied, der im Ernstfall zählt. Eine Kopie liegt auf fremden Systemen, muss dort geschützt und irgendwann gelöscht werden. Ein Zugriff endet, wenn man ihn entzieht.
Braucht er wirklich alle Angaben? Für die Lohnabrechnung braucht es die AHV-Nummer, für die Wartung der Website nicht. Was ein Lieferant nicht hat, kann bei ihm auch nicht abfliessen.
Was ist mit Daten aus abgeschlossenen Aufträgen? Die Umstellung ist fertig, der Supportfall gelöst. Wurde die Kopie gelöscht, und woher wissen Sie das?
Keine dieser Fragen unterstellt einem Lieferanten etwas. Ein seriöser Anbieter beantwortet sie gern, und die Antworten sind genau das, was Sie im Ernstfall als Erstes brauchen.
Die Fragen dürfen Sie selbstverständlich auch uns stellen.