- Die spanische Datenschutzaufsichtsbehörde AEPD verhängte am 17. August 2021 eine Busse von EUR 100’000 gegen einen IT-Dienstleister.
- Der Dienstleister verweigerte dem Verantwortlichen die Herausgabe von Auftragsdaten und den Zugriff auf den Server trotz Auftragsverarbeitungsvereinbarung.
- Betroffenenrechte haben Vorrang; Auftragsbearbeiter sollten kein Leistungsverweigerungsrecht bei der Datenbearbeitung erhalten.
Die spanische Datenschutzaufsichtsbehörde AEPD hat mit Datum vom 17. August 2021 eine Busse von EUR 100‘000 gegen einen IT-Dienstleister verhängt, der es entgegen der Bestimmung der Auftragsverarbeitungsvereinbarung unterlassen hatte, dem Verantwortlichen die Auftragsdaten herauszugeben oder den vom Auftragsbearbeiter betriebenen Server zugänglich zu machen. Der Auftragsbearbeiter hatte eingewendet, er habe offene Forderungen gegen den Verantwortlichen. Offenbar war dem Verantwortlichen dadurch hoher Schaden entstanden.
Der Entscheid illustriert, dass der Auftragsbearbeiter zwar durchaus Möglichkeiten hat, Forderungen gegen den Verantwortlichen durchzusetzen. Die Rechte der Betroffenen gehen aber vor. Deshalb sollte ein Auftragsbearbeiter auch kein Leistungsverweigerungsrecht haben, was die Bearbeitung der Auftragsdaten betrifft, was eine Auftragsbearbeitungsvereinbarung festhalten kann und je nachdem auch sollte.