FTAPI

Eine große Handelsmarke schreibt ihren Kunden gerade: "Es ist noch nicht klar, ob deine Daten zum Zeitpunkt des Vorfalls in den betroffenen Systemen des Logistikpartners gespeichert waren." Auslöser ist ein Sicherheitsvorfall bei CEVA Logistics, einem der großen europäischen Fulfilment-Dienstleister. Kompromittiert wurde das System Anfang Mai. Informiert wurden die Auftraggeber am 1. August. Die Daten sind inzwischen im Darknet aufgetaucht. Für mich ist dieses Achselzucken kritisch. Wer so reagiert, weiß selbst nicht, welche Daten er wann an seinen Dienstleister übergeben hat. Ich sehe dieses Muster gerade häufiger, weil immer mehr Unternehmen Fulfilment, Payroll, IT oder Kundenservice auslagern, aber einen Punkt dabei unterschätzen: Die Haftung wandert nicht mit. Sie bleibt beim Auftraggeber. Ein Beispiel: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat der Vodafone GmbH 15 Millionen Euro Bußgeld auferlegt, weil das Unternehmen seine Partneragenturen datenschutzrechtlich nicht ausreichend überprüft und überwacht hatte (Art. 28 DSGVO). Diese Pflicht endet nicht, sobald die Zusammenarbeit mit dem Dienstleister endet. Der Bundesgerichtshof (BGH) hat im November 2025 entschieden, dass dessen vertragliche Zusage, Daten zu löschen, allein nicht reicht. Man muss es nachprüfen können, auch danach. Meine These für die nächsten Monate: Auftragsverarbeiter-Kontrolle wird vom Compliance-Häkchen zum Führungsthema. Nicht weil Verschlüsselung fehlt, die hat inzwischen fast jeder. Sondern weil kaum ein Unternehmen an einem beliebigen Tag beweisen kann, welche Daten es an welchen Dienstleister übergeben hat, und ob sie dort auch wieder gelöscht wurden. Eine Frage, die sich jede Geschäftsführung stellen sollte, bevor die Aufsichtsbehörde sie stellt: Könntet ihr das für euren wichtigsten Dienstleister heute beantworten? [#Datenschutz](https://www.linkedin.com/feed/hashtag/datenschutz) [#DSGVO](https://www.linkedin.com/feed/hashtag/dsgvo) [#Auftragsverarbeitung](https://www.linkedin.com/feed/hashtag/auftragsverarbeitung) [#Cybersecurity](https://www.linkedin.com/feed/hashtag/cybersecurity) [#Compliance](https://www.linkedin.com/feed/hashtag/compliance)