Datenleck bei einem externen Dienstleister in Polen – was sollte Ihr Unternehmen nach der DSGVO tun?

Werden Unternehmensinformationen über die Systeme eines externen Dienstleisters offengelegt, sollte das betroffene Unternehmen klären, welche Daten kompromittiert wurden, seine Zugangsdaten sichern und das Risiko von Finanzbetrug prüfen. Betrifft der Vorfall auch personenbezogene Daten, für die das Unternehmen Verantwortlicher ist, sind seine Pflichten nach der Datenschutz-Grundverordnung (DSGVO) zu prüfen. Die Meldung an die zuständige Aufsichtsbehörde muss unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, erfolgen, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich.

Ein Unternehmen erfährt von einem Datenleck möglicherweise erst durch eine Mitteilung seiner Rechnungsplattform, seines Anbieters von Buchhaltungssoftware, seiner Lohnabrechnungsanwendung oder seines Cloud-Dienstleisters. Auch wenn der Angriff nicht die eigene IT-Infrastruktur des Unternehmens betraf, können offengelegte Rechnungen, Geschäftspartnerdaten, Kontonummern oder Mitarbeiterinformationen Maßnahmen erfordern. Dabei ist zwischen dem Schutz geschäftlich sensibler Informationen und der Erfüllung gesetzlicher Pflichten in Bezug auf personenbezogene Daten zu unterscheiden.

---

Datenleck im Unternehmen vs. Verletzung des Schutzes personenbezogener Daten nach der DSGVO

Nicht jedes Datenleck im Unternehmen stellt eine Verletzung des Schutzes personenbezogener Daten dar. Art. 4 Nr. 12 DSGVO erfasst unter anderem die unbefugte Offenlegung personenbezogener Daten und den unbefugten Zugang zu ihnen sowie deren Verlust oder Veränderung. Informationen über Preise und Geschäftsbedingungen eines Unternehmens können auch dann geschäftlichen Schutz erfordern, wenn sie keine personenbezogenen Daten sind.

Bei einem Drittanbieter gespeicherte Informationen sollten daher in Unternehmensinformationen und Daten unterteilt werden, die natürliche Personen identifizieren oder deren Identifizierung ermöglichen. Diese Unterscheidung entscheidet darüber, ob das Unternehmen neben dem Schutz seines Geschäftsbetriebs auch eine Risikobewertung nach der DSGVO durchführen muss.

Beispiele für Informationen, die in einem kompromittierten System gespeichert sein können:

• Zugangsdaten und Zugriffsberechtigungen der Nutzer;
• Rechnungen, Transaktionsbeträge und Kontonummern;
• Kunden- und Lieferantendaten, einschließlich Angaben zu Inhabern von Einzelunternehmen (JDG);
• Kontaktdaten von Personen, die Geschäftspartner vertreten;
• Mitarbeiterdaten in Personal- und Lohnabrechnungssystemen.

Ein Datenleck, das ausschließlich Geschäftsinformationen betrifft, löst nicht zwangsläufig Meldepflichten wegen einer Verletzung des Schutzes personenbezogener Daten aus. Es kann jedoch dennoch Betrugsrisiken oder die Offenlegung vertraulicher Vertragsbedingungen mit sich bringen. Enthält der kompromittierte Datenbestand Informationen zu identifizierbaren Personen, muss das Unternehmen auch die möglichen Auswirkungen auf diese Personen bewerten.

---

Wer ist für ein Datenleck verantwortlich: der Dienstleister oder das Unternehmen?

Tritt ein Unternehmen als Verantwortlicher auf, entfallen seine Pflichten nach der DSGVO nicht durch einen Vorfall bei seinem Dienstleister. Ein Dienstleister, der personenbezogene Daten im Auftrag des Unternehmens verarbeitet, muss den Verantwortlichen unverzüglich benachrichtigen, nachdem ihm eine Verletzung bekannt wurde. Derselbe Dienstleister kann für die personenbezogenen Daten seiner eigenen Nutzer Verantwortlicher und für die von seinen Kunden in das System eingegebenen Geschäftspartnerdaten Auftragsverarbeiter sein.

Erfüllt die DSGVO-Meldung eines Dienstleisters die Pflichten des Unternehmens?

Nein. Eine Meldung, die ein Dienstleister im eigenen Namen einreicht, ersetzt nicht automatisch die Meldepflichten des Verantwortlichen. Das Unternehmen muss jede Verletzung, die personenbezogene Daten in seiner Verantwortung betrifft, eigenständig bewerten. Ein Verantwortlicher kann eine andere Organisation beauftragen, die Meldung in seinem Namen einzureichen, bleibt jedoch für die Einhaltung der DSGVO verantwortlich.

---

Was sollte ein Unternehmen tun, wenn seine Daten über einen Drittanbieter kompromittiert wurden?

Nach Erhalt von Informationen über einen Cyberangriff auf einen Dienstleister sollte ein Unternehmen parallel seine finanziellen Interessen schützen, den Umfang der Verletzung ermitteln und klären, ob es Pflichten als Verantwortlicher für personenbezogene Daten hat. Die folgenden Schritte richten sich an Unternehmen, die das kompromittierte System nutzen, und nicht an den Plattformbetreiber.

1. Benachrichtigung prüfen und Umfang der Verletzung ermitteln

Bewahren Sie die Benachrichtigung auf und prüfen Sie, ob sie das Konto Ihres Unternehmens betrifft und welche Informationen möglicherweise abgerufen oder kopiert wurden, etwa Rechnungen, Zugangsdaten, Geschäftspartnerdaten oder Zahlungsinformationen. Bleibt der Umfang unklar, fordern Sie beim Dienstleister die Informationen an, die Sie für die Bewertung des Vorfalls benötigen. Halten Sie Datum und Uhrzeit fest, zu denen das Unternehmen die Benachrichtigung erhalten hat.

2. Konten und Systemintegrationen absichern

Erwägen Sie je nach Sachlage, Passwörter zu ändern, aktive Nutzer und deren Berechtigungen zu überprüfen, unbekannte Sitzungen zu beenden und möglicherweise kompromittierte Integrationsschlüssel zu widerrufen. Prüfen Sie, ob dieselben Zugangsdaten auch in anderen Systemen verwendet wurden.

3. Rechnungen prüfen und Zahlungssicherheit stärken

Wurden Geschäftsdokumente oder Geschäftspartnerdaten offengelegt, sollte die Finanzabteilung ungewöhnliche Zahlungsaufforderungen, gefälschte Rechnungen und Anweisungen zur Änderung von Bankverbindungen besonders genau überwachen. Solche Anfragen sollten über einen unabhängigen Kommunikationsweg anhand zuvor bestätigter Kontaktdaten verifiziert werden.

4. Betroffenheit personenbezogener Daten und DSGVO-Pflichten bewerten

Ermitteln Sie, ob die Verletzung personenbezogene Daten betrifft, für die das Unternehmen Verantwortlicher ist, und bewerten Sie die Risiken für die betroffenen Personen. Diese Bewertung entscheidet darüber, ob eine Meldung an die polnische Datenschutzbehörde (UODO) oder eine Benachrichtigung der betroffenen Personen erforderlich ist. Ist eine Meldung notwendig, sollte das Unternehmen nicht allein auf den abschließenden technischen Untersuchungsbericht des Dienstleisters warten.

5. Vorfall und Reaktion dokumentieren

Bewahren Sie die Korrespondenz mit dem Dienstleister, die Erkenntnisse zu den kompromittierten Daten, die Entscheidungen über Sicherheitsmaßnahmen sowie die Nachweise zur Verifizierung von Zahlungen auf. Liegt eine Verletzung des Schutzes personenbezogener Daten vor, verpflichtet Art. 33 Abs. 5 DSGVO den Verantwortlichen, deren Umstände, Auswirkungen und die ergriffenen Abhilfemaßnahmen zu dokumentieren – auch dann, wenn keine Meldung an die Aufsichtsbehörde erforderlich ist.

---

Wann muss ein Unternehmen ein Datenleck bei einem Dienstleister in Polen an die UODO melden?

Nach Art. 33 Abs. 1 DSGVO muss ein Verantwortlicher eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Die Meldefrist beginnt, sobald der Verantwortliche mit hinreichender Sicherheit davon ausgehen kann, dass eine Verletzung eingetreten ist. Dies kann nach der Benachrichtigung durch den Dienstleister der Fall sein oder bereits früher, wenn dem Unternehmen schon hinreichend verlässliche Informationen vorliegen.

Ist die 72-Stunden-Frist bereits verstrichen, muss eine erforderliche Meldung dennoch unverzüglich erfolgen, zusammen mit einer Begründung für die Verzögerung. Liegen noch nicht alle Informationen vor, erlaubt Art. 33 DSGVO, diese schrittweise zur Verfügung zu stellen.

---

Datenleck bei Fakturownia im Jahr 2026 – Folgen für Unternehmen in Polen

Am 28. September 2026 stellte die polnische Rechnungsplattform Fakturownia eine Sicherheitsverletzung fest, bei der eine unbefugte Person auf ihre Systeme zugriff und einen erheblichen Teil ihrer Datenbank kopierte. Der Vorfall betraf alle Konten, wobei der Umfang der abgegriffenen Informationen unterschiedlich war. Zu den kompromittierten Informationen zählten Nutzerdaten, Kunden- und Lieferantendaten sowie Informationen zu Rechnungen und Zahlungen.

Nach Angaben des Unternehmens wurden bei rund 2.250 Konten sämtliche verfügbaren Daten aus den Jahren 2022–2026 kopiert, jeweils bis zu dem für das einzelne Konto maßgeblichen Stichtag. Fakturownia meldete die Verletzung am 29. September 2026 der UODO und begann am 1. Oktober mit dem Versand individueller Benachrichtigungen.

Für Unternehmen, die die Rechnungsplattform nutzen, gilt es vorrangig zu klären, ob Dokumente und Informationen aus ihren Konten offengelegt wurden, die Zugänge zu sichern und das Risiko gefälschter Rechnungen oder Zahlungsanweisungen im Blick zu behalten. Betraf der Vorfall personenbezogene Daten, für die das Unternehmen als Verantwortlicher handelt, muss es zudem seine Pflichten nach der DSGVO prüfen.

---

Finanzielle und operative Risiken eines Datenlecks bei einem Dienstleister

Ein Datenleck bei einem Dienstleister kann Folgen haben, die über die DSGVO-Compliance hinausgehen, darunter Finanzbetrug, die Offenlegung vertraulicher Informationen und Störungen des Geschäftsbetriebs.

Rechnungs- und Zahlungsbetrug

Der Zugriff auf Geschäftspartnerdaten, Transaktionshistorien oder Kontonummern kann es Kriminellen erleichtern, überzeugend wirkende gefälschte Rechnungen und Zahlungsaufforderungen zu erstellen. Nach der Offenlegung von Finanzinformationen sollten ungewöhnliche Anfragen zur Änderung der Bankverbindung unabhängig anhand zuvor bestätigter Kontaktdaten verifiziert werden.

Offenlegung personenbezogener Mitarbeiterdaten

Personal- und Lohnabrechnungssysteme können Gehaltsangaben, Wohnadressen, polnische Personenidentifikationsnummern (PESEL) und Bankverbindungen enthalten. Die Offenlegung dieser Informationen erhöht das Risiko von Betrug und Verletzungen der Privatsphäre.

Verlust vertraulicher Informationen und Betriebsstörungen

Finanzdokumente können Einkaufspreise, Auftragswerte und Vertragsbedingungen offenlegen und so die Verhandlungsposition eines Unternehmens schwächen.

Die Nichtverfügbarkeit von Buchhaltungs- und Lohnabrechnungssystemen kann es zudem erschweren, Fristen der Finanzberichterstattung einzuhalten und Gehälter pünktlich abzurechnen.

---

Praxisbeispiel: Datenleck über eine Buchhaltungsplattform

Ein Unternehmen nutzt eine cloudbasierte Buchhaltungssoftware und erhält von seinem Anbieter die Benachrichtigung, dass bestimmte Dokumente aus seinem Konto möglicherweise kopiert wurden. Das System enthält Rechnungen, Zahlungsbeträge, Geschäftspartnerdaten, einschließlich Angaben zu Inhabern von Einzelunternehmen (JDG), sowie Kontaktdaten von Mitarbeitern anderer Unternehmen.

Das Unternehmen ermittelt, welche Informationen möglicherweise offengelegt wurden, sichert den Kontozugang und warnt seine Finanzabteilung vor möglichen Versuchen, Kontonummern auszutauschen. Unabhängig davon prüft es, ob personenbezogene Daten, für die es als Verantwortlicher handelt, kompromittiert wurden und ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen erforderlich ist.

Das Beispiel verdeutlicht, dass eine zweigleisige Reaktion notwendig ist: der Schutz des Zahlungsverkehrs und der vertraulichen Informationen des Unternehmens bei gleichzeitiger Erfüllung etwaiger DSGVO-Pflichten, die sich aus der Verletzung ergeben. Auch wenn der Cyberangriff beim Dienstleister stattfand, können seine Folgen das Unternehmen, das das System nutzt, unmittelbar treffen.

Verstöße gegen Pflichten unter anderem aus Art. 33 und 34 DSGVO können mit Geldbußen von bis zu 10 Mio. EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist.

---

Wie können Unternehmen in Polen Datensicherheitsrisiken bei externen Dienstleistern verringern?

Art. 28 DSGVO verpflichtet Verantwortliche, nur mit Auftragsverarbeitern zusammenzuarbeiten, die hinreichende Garantien für geeignete Sicherheitsmaßnahmen bieten. Wichtig sind sowohl die erstmalige Auswahl des Dienstleisters als auch die laufende Zusammenarbeit.

In der Praxis verdienen folgende Punkte besondere Aufmerksamkeit:

• Prüfung der Dienstleister (Vendor Due Diligence) – Überprüfung der Sicherheitsmaßnahmen, der Regeln zur Datenaufbewahrung und des Einsatzes von Subunternehmern bzw. Unterauftragsverarbeitern.
• Auftragsverarbeitungsverträge – Festlegung, wie personenbezogene Daten verarbeitet, Vorfälle gemeldet und die Zusammenarbeit der Parteien nach einer Verletzung gestaltet werden.
• Zugriffsmanagement – Beschränkung des Zugriffs entsprechend den Aufgaben der Mitarbeiter und Einsatz geeigneter Authentifizierungsmethoden.
• Verfahren zur Reaktion auf Vorfälle – Festlegung der Zuständigkeiten für die Bewertung von Verletzungen, die Kommunikation mit Dienstleistern, Meldungen an die UODO und die Dokumentation.
• Geschäftskontinuität – Vorbereitung alternativer Abläufe für kritische Prozesse, falls Systeme nicht verfügbar sind.

Ein Auftragsverarbeitungsvertrag allein garantiert noch keine Sicherheit. Ebenso wichtig ist die wirksame Umsetzung der vereinbarten Verfahren.

Bei getsix® ist die Sicherheit der Mandantendaten ein wichtiger Bestandteil unserer Buchhaltungsdienstleistungen in Polen und HR- und Lohnabrechnungsdienstleistungen. Unser Informationssicherheits-Managementsystem erfüllt die Anforderungen der Norm ISO/IEC 27001:2022, unser Qualitätsmanagementsystem ist nach ISO 9001 zertifiziert. Diese Systeme unterstützen die Vertraulichkeit, Integrität und Verfügbarkeit der uns anvertrauten Informationen.

---

Datenlecks bei Dienstleistern – Fazit für Unternehmen in Polen

Ein Unternehmen, dessen Informationen möglicherweise über ein externes System kompromittiert wurden, sollte zunächst den Umfang der offengelegten Daten ermitteln, Konten und Integrationen absichern und das Risiko von Rechnungs- und Zahlungsbetrug bewerten. Personenbezogene Daten, für die das Unternehmen als Verantwortlicher handelt, erfordern eine gesonderte Bewertung.

Eine Meldung durch den Dienstleister erfüllt nicht automatisch die eigenen Pflichten des nutzenden Unternehmens. Ebenso bedeutet die Offenlegung von Unternehmensinformationen nicht, dass jedes betroffene Unternehmen eine Meldung an die UODO erstatten muss. Entscheidend sind der Umfang der Verletzung personenbezogener Daten und die zugehörige Risikobewertung.

Für Unternehmen, die Buchhaltungssoftware, Rechnungsplattformen sowie Personal- und Lohnabrechnungssysteme nutzen, sollte Informationssicherheit Teil des finanziellen und operativen Risikomanagements sein. getsix unterstützt Unternehmen mit Geschäftstätigkeit in Polen bei der Organisation ihrer Buchhaltungs- und Lohnabrechnungsprozesse und berücksichtigt dabei die Anforderungen des polnischen Geschäftsumfelds. Kontaktieren Sie uns.

---

***