Datenschutzbeauftragte rügt BVG nach Cyberangriff

Gleich mehrere Datenschutzverstöße

Wie Kamp erläuterte, hätten die Daten zum Zeitpunkt des Cyberangriffs auf den Dienstleister Mitte April dort nicht mehr gespeichert sein dürfen. Denn der Auftrag war da längst erledigt. Die BVG habe aber nicht kontrolliert, dass die Firma die Daten tatsächlich gelöscht habe, sondern sich allein auf die vertraglich vereinbarte Löschung verlassen. Damit habe die BVG gegen die sogenannte Datenschutz-Grundverordnung verstoßen.

Einen weiteren Verstoß gegen dieses Regelwerk sieht die Datenschutzbeauftragte, weil die BVG den Vorfall nicht gleich nach ersten Hinweisen des Dienstleisters am 17. April 2025 an sie gemeldet habe. Das sei erst am 30. April 2025 erfolgt. Im Vertrag mit dem Dienstleister sei kein konkretes Verfahren für den Umgang mit Datenschutzvorfällen festgelegt gewesen, kritisierte die Beauftragte zudem.