> ## Content Index
> Fetch the complete content index at: https://www.mrak.at/llms.txt
> Use this file to discover other available public pages before exploring further.

# Wenn der Dienstleister das Leck ist: Was Art. 28 DSGVO im Ernstfall wirklich leistet
- URL: https://www.mrak.at/wenn-der-dienstleister-das-leck-ist-was-art-28-dsgvo-im-ernstfall-wirklich-leistet/
- Published: 2026-11-09T06:42:39.000Z
- Updated: 2026-11-09T06:42:39.000Z
- Author: Michael Mrak
- Tags: data-protection, governance, incident-response, privacy

Der Online-Shop eines bekannten Unternehmens wird kompromittiert, die Daten liegen aber gar nicht beim Unternehmen selbst, sondern beim Dienstleister, der den Shop betreibt. Diese Konstellation hat fast jedes Unternehmen mit einem digitalen Kundenkanal. Der aktuelle Vorfall bei Casinos Austria zeigt, wie schnell die Debatte bei „der Dienstleister ist schuld“ stehenbleibt. Interessanter ist eine andere Frage: Was regelt der Auftragsverarbeitungsvertrag für genau diesen Moment, und wie hat der Verantwortliche vorher geprüft, ob sein Dienstleister das kann?

## Der Fall

Zwischen dem 2\. und 5\. November 2026 verschafften sich Unbekannte Zugriff auf Systeme eines externen Dienstleisters, über den der Online-Shop von Casinos Austria läuft. Laut [oe24](https://www.oe24.at/a/hacker-angriff-auf-casinos-austria-900131084?ref=mrak.at) handelt es sich um die INCERT eTourismus GmbH & Co KG, die den technischen Betrieb des Shops verantwortet. Am 5\. November wurde die Lücke geschlossen, Zugangsdaten wurden getauscht, die Überwachung verstärkt. Casinos Austria hat die Kundinnen und Kunden per E-Mail informiert.

Bei den Datenkategorien gehen die Berichte auseinander. Der [ORF Wien](https://wien.orf.at/stories/3378579/?ref=mrak.at) spricht von rund 150.000 Betroffenen und nennt Vor- und Nachname, E-Mail-Adresse, Bestellungen und Gutscheincodes. oe24 führt zusätzlich Geburtsdatum, Wohnadresse und Telefonnummer an. Zahlungsdaten waren nach beiden Berichten nicht betroffen, weil der Shop sie nicht speichert. Welche Datensätze tatsächlich abgeflossen sind, wird laut Kundeninformation noch untersucht.

Aufschlussreich ist die Meldekette. Nach oe24 hat der Dienstleister die Datenschutzbehörde informiert, Casinos Austria kündigte eine eigene Meldung an. Eine offizielle Stellungnahme auf der Unternehmenswebsite liegt bis jetzt nicht vor. Die Aufklärung läuft, für Schuldzuweisungen ist es zu früh. Für eine Analyse der vertraglichen Mechanik reicht das Bekannte aber völlig.

## Die Rollenfrage: Wer meldet?

Die DSGVO verteilt die Meldepflichten eindeutig. Nach Art. 33 Abs. 1 meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde. Der Auftragsverarbeiter hat nach Art. 33 Abs. 2 keine eigene Behördenmeldepflicht, er meldet unverzüglich an den Verantwortlichen. Nach Auffassung des EDSA in den Leitlinien 9/2022 beginnt die 72-Stunden-Frist des Verantwortlichen grundsätzlich mit dieser Information durch den Auftragsverarbeiter. Jede Stunde, die der Dienstleister intern verliert, fehlt dem Verantwortlichen also bei der eigenen Bewertung.

In der Praxis melden trotzdem häufig beide an die Behörde. Der Dienstleister betreut mehrere Mandanten mit derselben Plattform, ist sich seiner Rolle für einzelne Datenbestände nicht sicher oder will schlicht dokumentieren, dass er gehandelt hat. Das ist zulässig, wenn der Vertrag den Auftragsverarbeiter dazu ermächtigt, im Namen des Verantwortlichen zu melden. Die Verantwortung für die Meldung bleibt aber beim Verantwortlichen.

Problematisch wird es, wenn zwei Meldungen ohne Abstimmung bei der Behörde eingehen. Dann stehen dort unter Umständen unterschiedliche Angaben zu Zeitraum, Zahl der Betroffenen, Datenkategorien und Maßnahmen. Art. 33 Abs. 4 erlaubt zwar die schrittweise Meldung, setzt aber voraus, dass jemand die Ergänzungen konsistent führt. Fehlt im Vertrag eine klare Eskalationskette, liest die Datenschutzbehörde zwei Geschichten statt einer. Und die Betroffenen erfahren aus der Zeitung von Datenkategorien, die in der eigenen Kundeninformation nicht vorkommen.

## Was im Auftragsverarbeitungsvertrag fehlt

Die meisten Auftragsverarbeitungsverträge bilden Art. 28 Abs. 3 sauber ab und helfen im Ernstfall trotzdem wenig. Der Grund: Sie wiederholen den Gesetzestext. Art. 28 Abs. 3 lit. f verpflichtet den Auftragsverarbeiter, den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 zu unterstützen. Was „unterstützen“ in den ersten 24 Stunden eines Vorfalls heißt, steht dort nicht. Auch die Standardvertragsklauseln der Kommission nach Durchführungsbeschluss (EU) 2021/915 sprechen bei der Meldung an den Verantwortlichen nur von „unverzüglich“.

Konkret fehlen in der Praxis fünf Regelungen:

- Eine Meldefrist in Stunden. „Unverzüglich“ ist ein Rechtsbegriff, keine Betriebsvorgabe. Eine Erstmeldung binnen 24 Stunden, besser 12, ab Kenntnis gibt dem Verantwortlichen realistische Zeit für die eigene Bewertung.
- Ein Mindestinhalt der Erstmeldung. Zeitraum, betroffene Systeme, vermutete Datenkategorien und Anzahl, getroffene Sofortmaßnahmen, Ansprechperson mit Erreichbarkeit. Unvollständig ist erlaubt, unstrukturiert nicht.
- Die Mitwirkung bei der Benachrichtigung der Betroffenen nach Art. 34\. Wer liefert die Adressliste, wer formuliert, wer versendet, wer betreibt die Hotline? Wenn der Shop-Betreiber die Kundendaten hält, ist er für die Umsetzung praktisch unverzichtbar.
- Ein Weisungsrecht bei der Forensik. Der Verantwortliche muss festlegen können, dass Logs und Images gesichert werden, bevor Systeme neu aufgesetzt werden, und dass er oder ein beauftragter Dritter Einsicht in die Ergebnisse erhält. Sonst bewertet er das Risiko für die Betroffenen auf Basis dessen, was der Dienstleister erzählt.
- Die Kette der Unterauftragsverarbeiter. Art. 28 Abs. 2 verlangt die vorherige Genehmigung, Abs. 4 die Weitergabe derselben Pflichten. Hosting, CDN, Zahlungsanbieter und Gutscheinplattform sind oft eigene Glieder. Die Meldefrist muss die ganze Kette überleben, sonst verbraucht der Hoster schon die Hälfte davon.

Dazu gehört eine Regel für die Behördenmeldung selbst: Der Auftragsverarbeiter meldet nicht eigenständig, sondern stimmt Inhalt und Zeitpunkt mit dem Verantwortlichen ab, oder er wird ausdrücklich zur Meldung in dessen Namen beauftragt.

## Die Kontrollfrage: hinreichende Garantien nachweisen

Art. 28 Abs. 1 erlaubt nur die Beauftragung von Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist eine Auswahl- und Überwachungspflicht des Verantwortlichen, nicht des Dienstleisters. Art. 32 regelt dagegen, welche Maßnahmen jede Stelle für ihre eigene Verarbeitung treffen muss, etwa die Vertraulichkeit und Belastbarkeit der Systeme nach lit. b und die regelmäßige Wirksamkeitsprüfung nach lit. d. Der Verantwortliche muss also prüfen, ob der Dienstleister seine Art. 32-Pflichten tatsächlich erfüllt.

Der reflexhafte Nachweis ist ein ISO-27001-Zertifikat. Es ist ein guter Ausgangspunkt, beantwortet die Frage aber selten vollständig. Entscheidend ist, ob der Anwendungsbereich den konkreten Shop-Betrieb umfasst und welche Maßnahmen die Erklärung zur Anwendbarkeit dafür ausweist. Ein Zertifikat für „Entwicklung und Vertrieb von Softwarelösungen“ sagt wenig darüber, wie gepatcht, überwacht und im Vorfall reagiert wird. Auch Art. 28 Abs. 5 macht genehmigte Zertifizierungen nur zu einem Faktor, nicht zum Ersatz der Prüfung.

Für Webshop-Dienstleister hat sich ein schlankes Prüfungskonzept bewährt, gestützt auf das Kontrollrecht nach Art. 28 Abs. 3 lit. h:

- Aktueller Penetrationstest der Shop-Anwendung samt Nachweis der Behebung, nicht nur der Infrastruktur.
- Patch- und Schwachstellenmanagement für Shop-Framework, Plugins und Bibliotheken mit dokumentierten Reaktionszeiten.
- Administrativer Zugang nur mit MFA, nachvollziehbare Protokollierung mit definierter Aufbewahrungsdauer.
- Ein getestetes Vorfallsverfahren, das die Meldung an Mandanten ausdrücklich vorsieht.
- Datenminimierung im Shop selbst: Welche Daten werden erhoben, wie lange liegen Bestelldaten vor, braucht ein Gutscheinkauf wirklich das Geburtsdatum?

Der letzte Punkt wird oft unterschätzt. Dass Zahlungsdaten im aktuellen Fall nicht betroffen waren, liegt daran, dass sie gar nicht gespeichert wurden. Daten, die nicht vorhanden sind, können nicht abfließen.

Wer ein ISMS betreibt, findet den passenden Rahmen in ISO/IEC 27002:2022\. Die Maßnahmen 5.19 bis 5.22 decken Lieferantenbeziehungen, Lieferantenvereinbarungen, die IKT-Lieferkette sowie Überwachung und Änderungsmanagement ab, 5.23 ergänzt Cloud-Dienste. Für die Vorfallsbehandlung schließen 5.24 bis 5.26 an. Der Unterschied zur DSGVO liegt im Fokus: ISO 27002 schützt die Informationen der Organisation, Art. 28 die Rechte der Betroffenen. Ein Prüfungskonzept sollte beide Perspektiven in einem Fragebogen und einem Termin abdecken, statt den Dienstleister zweimal zu befragen.

## Der NIS2-Überbau

Seit 1\. Oktober 2026 gilt in Österreich das NISG 2026 (BGBl. I Nr. 94/2025). Für wesentliche und wichtige Einrichtungen ist die Steuerung von Dienstleistern damit keine reine Vertragsfrage mehr. § 32 Abs. 4 lit. d NISG 2026 verlangt als Teil der Risikomanagementmaßnahmen die Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Unionsrechtliche Grundlage ist Art. 21 Abs. 2 lit. d der Richtlinie (EU) 2022/2555.

Glücksspiel und klassischer Einzelhandel sind in den Anlagen 1 und 2 nicht genannt. Ein Casino- oder Handelsunternehmen ist daher nicht automatisch erfasst, die Betroffenheit ist im Einzelfall zu prüfen. Relevant wird der Lieferkettengedanke trotzdem in zwei Richtungen. Einrichtungen im Anwendungsbereich, etwa im Energie-, Gesundheits- oder Postsektor, betreiben ebenfalls Shops und Kundenportale über Dritte. Und Dienstleister, die für viele Kunden Plattformen betreiben, sollten prüfen, ob sie selbst unter die Verwaltung von IKT-Diensten nach Anlage 1 fallen.

Für die Dienstleisterbewertung hat das drei praktische Folgen. Erstens braucht es ein Lieferantenverzeichnis mit Kritikalitätseinstufung, in dem der Shop-Betreiber als kritisch geführt wird, wenn über ihn der Kundenkanal und personenbezogene Daten laufen. Zweitens wird die Bewertung zur laufenden Aufgabe: § 32 Abs. 4 lit. f verlangt Verfahren zur Bewertung der Wirksamkeit der Maßnahmen, das schließt die Wirksamkeit der Lieferantensteuerung ein. Drittens laufen bei einem Vorfall zwei Meldewege parallel, Art. 33 DSGVO an die Datenschutzbehörde und gegebenenfalls § 34 NISG 2026 an das zuständige CSIRT, mit unterschiedlichen Fristen und Inhalten. Der Vertrag mit dem Dienstleister muss beide bedienen können.

Ein Nebeneffekt ist nützlich: § 32 Abs. 4 lit. d bezieht sich auf die unmittelbaren Dienstleister. Wer den AVV ohnehin nachschärft, kann die NIS2-Anforderungen in denselben Anhang schreiben und erspart sich ein zweites Vertragswerk.

## Checkliste: fünf Klauseln für jeden AVV mit einem Shop- oder Plattformbetreiber

Der Vorfall bei Casinos Austria ist ein Anlass, die eigenen Verträge mit Shop-, Plattform- und Portalbetreibern zu prüfen. Diese fünf Klauseln sollten drinstehen:

1. Meldefrist und Mindestinhalt: Erstmeldung an den Verantwortlichen binnen einer festen Stundenzahl ab Kenntnis, mit definiertem Mindestinhalt und benannter Ansprechperson, die rund um die Uhr erreichbar ist.
2. Behördenmeldung nur abgestimmt: Der Auftragsverarbeiter meldet nicht eigenständig an die Datenschutzbehörde, außer er wird ausdrücklich mit der Meldung im Namen des Verantwortlichen beauftragt. Inhalte werden vorab abgestimmt.
3. Mitwirkung bei Art. 34: Bereitstellung der Kontaktdaten, technische Unterstützung beim Versand und bei der Betroffenenkommunikation, Kostenübernahme bei Verschulden.
4. Forensik und Beweissicherung: Weisungsrecht des Verantwortlichen zur Sicherung von Logs und Systemabbildern, Einsicht in den Abschlussbericht, Recht auf Beiziehung eines eigenen Sachverständigen.
5. Durchreichung in der Kette: Alle Melde- und Mitwirkungspflichten gelten gleichwertig für Unterauftragsverarbeiter nach Art. 28 Abs. 4, mit Fristen, die für die gesamte Kette rechnerisch aufgehen.

Diese Klauseln verhindern keinen Angriff. Sie entscheiden aber darüber, ob der Verantwortliche im Ernstfall handelt oder nur reagiert. Wer ein Prüfungskonzept und einen geschärften AVV für seine Dienstleister aufsetzen möchte, findet bei Mrak Consulting Unterstützung.

## Quellen

- [Cyberangriff auf Casinos: Kundendaten weg](https://wien.orf.at/stories/3378579/?ref=mrak.at), wien.ORF.at, 7\. November 2026
- [Hacker-Angriff auf Casinos Austria](https://www.oe24.at/a/hacker-angriff-auf-casinos-austria-900131084?ref=mrak.at), oe24, 7\. November 2026
- Verordnung (EU) 2016/679 (DSGVO), Art. 28, 32, 33, 34
- EDSA, Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach der DSGVO
- Durchführungsbeschluss (EU) 2021/915 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern
- Netz- und Informationssystemsicherheitsgesetz 2026, BGBl. I Nr. 94/2025, §§ 32 und 34
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 21
- ISO/IEC 27002:2022, Maßnahmen 5.19 bis 5.26