Datenleck bei einem externen Dienstleister in Polen – was sollte Ihr Unternehmen nach der DSGVO tun?

Nach einem Datenleck bei einem externen Dienstleister in Polen müssen Unternehmen den Umfang der betroffenen Daten ermitteln, Zugänge sichern und Finanzrisiken bewerten. Sind personenbezogene Daten betroffen, für die das Unternehmen verantwortlich ist, gelten die Pflichten der Datenschutz-Grundverordnung (DSGVO). Eine Meldung an die polnische Datenschutzbehörde (UODO) ist grundsätzlich binnen 72 Stunden erforderlich, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist.

---

Wann ist ein Datenleck eine DSGVO-Verletzung?

Nicht jedes Datenleck bei einem Dienstleister in Polen stellt eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO dar.

Betroffene Buchhaltungs-, Rechnungs- oder Lohnabrechnungssysteme können folgende Informationen enthalten:

• Zugangsdaten und Nutzerberechtigungen;
• Rechnungen, Transaktionsbeträge und Bankverbindungen;
• Kunden- und Lieferantendaten, einschließlich Einzelunternehmern;
• Kontakt- und Mitarbeiterdaten.

Auch rein geschäftliche Informationen müssen vor Betrug und unbefugter Offenlegung geschützt werden, selbst wenn keine DSGVO-Meldepflicht besteht.

---

Was sollten Unternehmen nach einem Datenleck tun?

Unternehmen, die ein kompromittiertes System nutzen, sollten fünf Maßnahmen ergreifen:

1. Umfang klären – Mitteilung des Dienstleisters sichern, betroffene Informationen ermitteln sowie Datum und Uhrzeit des Eingangs dokumentieren.
2. Zugänge schützen – Passwörter, Berechtigungen, aktive Sitzungen und möglicherweise kompromittierte Integrationsschlüssel überprüfen.
3. Zahlungen kontrollieren – gefälschte Rechnungen erkennen und ungewöhnliche Änderungen von Bankverbindungen unabhängig bestätigen.
4. DSGVO-Pflichten prüfen – betroffene personenbezogene Daten und Risiken für natürliche Personen bewerten.
5. Vorfall dokumentieren – Korrespondenz, Untersuchungsergebnisse und Sicherheitsmaßnahmen festhalten.

Nach Art. 33 Abs. 5 DSGVO müssen Datenschutzverletzungen auch dann dokumentiert werden, wenn keine Meldung an die Aufsichtsbehörde erforderlich ist.

---

Wann muss ein Datenleck an die UODO gemeldet werden?

Art. 33 Abs. 1 DSGVO verlangt eine Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung.

Die Pflichten hängen vom Risiko ab:

• Risiko unwahrscheinlich: Keine Meldung an die UODO und keine Benachrichtigung Betroffener erforderlich.
• Risiko vorhanden, aber nicht hoch: Meldung an die UODO erforderlich.
• Hohes Risiko: Meldung an die UODO und grundsätzlich Benachrichtigung Betroffener erforderlich, vorbehaltlich gesetzlicher Ausnahmen.

Bei Fristüberschreitung muss die Meldung dennoch unverzüglich mit einer Begründung erfolgen. Fehlende Angaben dürfen schrittweise nachgereicht werden.

Eine Meldung des Dienstleisters ersetzt nicht automatisch die Pflichten des Unternehmens als Verantwortlicher.

---

Datenleck bei Fakturownia im September 2026

Am 28. September 2026 stellte die polnische Rechnungsplattform Fakturownia einen unbefugten Systemzugriff fest. Dabei wurde ein erheblicher Teil ihrer Datenbank kopiert.

Der Vorfall betraf alle Konten, jedoch in unterschiedlichem Umfang. Nach Unternehmensangaben wurden bei rund 2.250 Konten sämtliche verfügbaren Daten aus 2022–2026 bis zum jeweiligen kontospezifischen Stichtag kopiert.

Fakturownia meldete den Vorfall am 29. September 2026 der UODO und begann am 1. Oktober mit individuellen Benachrichtigungen.

Betroffene Unternehmen müssen ihre Datenbestände prüfen, Zugänge sichern und mögliche eigene DSGVO-Meldepflichten bewerten.

---

Wie lassen sich Risiken bei externen Dienstleistern reduzieren?

Art. 28 DSGVO verpflichtet Verantwortliche, Auftragsverarbeiter mit ausreichenden Sicherheitsgarantien auszuwählen.

Wesentlich sind die Prüfung von Dienstleistern, Auftragsverarbeitungsverträge, beschränkte Zugriffsrechte und festgelegte Verfahren zur Reaktion auf Sicherheitsvorfälle.

Auch alternative Abläufe bei Ausfällen von Buchhaltungs- und Lohnabrechnungssystemen sollten vorbereitet werden.

Verstöße gegen Pflichten aus Art. 33 und 34 DSGVO können unter anderem Geldbußen von bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres nach sich ziehen – maßgeblich ist der höhere Betrag.

---

Wenn Sie weitere Fragen haben, oder zusätzliche Informationen benötigen, wenden Sie sich bitte an Ihren Ansprechpartner oder nutzen Sie das Kontaktformular auf unserer getsix® Website.

Kontaktieren Sie uns »

***