Folgen des Stay-Informed-Datenlecks

Wegen der Fehlkonfiguration eines Webservers standen beim Kita- und
Schul-App-Betreiber Stay Informed eine Menge sensibler Dateien
(teilweise von Minderjährigen) offen im Netz, eventuell sogar über
mehrere Jahre. Ein anonymer Hinweisgeber hatte c't auf das
gravierende Datenleck aufmerksam gemacht. Wir verifizierten das
Problem und wiesen die Stay Informed GmbH aus Freiburg darauf hin.
Sie reagierte umgehend und schloss die Lücke. Wegen der
datenschutzrechtlichen Konstellation sind die Folgen der Panne in
diesem Fall besonders heftig: Stay Informed bietet seine
App-Infrastruktur Kitas, Schulen und anderen Einrichtungen zur
papierlosen Kommunikation zwischen Mitarbeitern und Eltern an, und
zwar als Software-as-a-Service-Produkt. Das Unternehmen schließt
dazu mit jeder Einrichtung beziehungsweise mit deren Träger einen
Auftragsverarbeitungsvertrag ab. Weil es deshalb als Auftragsnehmer
der Datenverarbeitung fungiert, ist es nicht direkt verantwortlich
für das Leck im Sinne der DSGVO. Dies sind vielmehr die mehr als
11.000 angeschlossenen Auftragsgeber, also alle Einrichtungen. In
Episode 106 der Auslegungssache spricht Joerg mit Holger über die
rechtlichen Grundlagen und die Folgen. Holger war an der Recherche
zum Stay-Informed-Datenleck beteiligt und kann viel berichten.
Joerg erklärt, welche Rolle Stay Informed, die Einrichtungen, und
die vom Leak jeder Menge sensibler, personenbezogener Daten
Betroffenen rechtlich einnehmen. Es ist vertrackt: Die
Einrichtungen und Träger müssen sich auf die Information von Stay
Informed verlassen und entsprechend ihre zuständige
Landesdatenschutzbehörde zum Vorfall informieren. Eventuell haften
sie sogar mit. Überdies können über 800.000 Betroffene ihre Rechte
aus der DSGVO beanspruchen, also etwa Auskunft oder Löschung
verlangen - und zwar von sicherlich teilweise völlig überforderten
Einrichtungen, die selbst gar keinen Einfluss auf das
datenverarbeitende System hatten und haben.