Ausgabe

Dies ist eine dauerhafte Ausgabe. Sie enthält das Briefing genau so, wie es an diesem Tag veröffentlicht wurde, und ändert sich nicht.

Die spanische Datenschutzbehörde verzeichnet deutlichen Anstieg der Meldungen von Datenschutzverletzungen durch Dienstleisterkompromittierungen

Verantwortliche übermittelten im ersten Halbjahr 2026 nach Vorfällen mit hohem Risiko über 71 Millionen Benachrichtigungen direkt an betroffene Personen. Diesen Anstieg führte die spanische Datenschutzbehörde auf Kompromittierungen in Lieferketten zurück, die Auftragsverarbeiter, Buchungssoftwareanbieter und anhaltende Ransomware-Angriffe betrafen.

Das allein in den ersten sechs Monaten des Jahres 2026 gemeldete Volumen übertraf die Gesamtzahl des gesamten Jahres 2025.

Monatliche Berichte zeigten spezifische betriebliche Engpässe bei externen Dienstleistern auf. Ein einzelner Vorfall bei einem Auftragsverarbeiter im März erzeugte Meldungen mehrerer Datenschutzverletzungen bei zahlreichen Verantwortlichen, was die Pflicht des Auftragsverarbeiters auslöste, Verantwortliche unverzüglich zu benachrichtigen. Im Juli machten Vorfallsprotokolle eine Häufung von Datenschutzverletzungen sichtbar, die Hotelbetriebe und deren Anbieter von Buchungsverwaltungssoftware betrafen. Unbefugte Dritte erlangten personenbezogene Daten von Gästen sowie Buchungsdatensätze aus diesen Plattformen zur Durchführung betrügerischer Handlungen. Ransomware-Angriffe traten zudem sektorübergreifend auf und beeinträchtigten die Verfügbarkeit sowie die Vertraulichkeit von Daten.

Artikel 33 der DSGVO verpflichtet Verantwortliche zur Meldung an die zuständige Aufsichtsbehörde, sobald eine Verletzung ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Vorbeugende Schutzmaßnahmen wie Datenminimierung, frühzeitige Löschung, Anonymisierung, Sperrung und Segmentierung wurden von der Behörde angeordnet, während sie Verantwortliche auf Bewertungsinstrumente wie Asesora Brecha und Comunica Brecha RGPD hinwies, um Meldeschwellen zu prüfen.

Artikel 33 der DSGVO zwingt Verantwortliche zur Meldung an Aufsichtsbehörden, während sie von Drittauftragsverarbeitern abhängig bleiben, die systemische Schwachstellen gegenüber mehreren gemeinsamen Kunden häufig verschleiern.

Originaltitel: La AEPD recibe más de 3.000 notificaciones de brechas de datos personales en el primer semestre del año

The Spanish DPA breach notification report published 20. Oktober 2026

Wen das bindet
In Spanien tätige Verantwortliche und Auftragsverarbeiter sind rechtlich an die DSGVO gebunden, während der statistische Bericht sowie die Orientierungshilfen der spanischen Datenschutzbehörde unverbindlich bleiben.
Was sich geändert hat
Die spanische Datenschutzbehörde verzeichnete zwischen Januar und August 2026 einen Anstieg auf 4.556 Meldungen von Datenschutzverletzungen und wies Verantwortliche an, präventive technische Maßnahmen wie Datensegmentierung und frühzeitige Löschung umzusetzen.
Was zu prüfen ist
Verantwortliche sollten Verträge zur Auftragsverarbeitung nach Artikel 28 überprüfen, um sicherzustellen, dass Partner in der Lieferkette betriebliche Vorkehrungen zur unverzüglichen Meldung von Sicherheitsvorfällen unterhalten.
Was das nicht bedeutet
Dieser Meldeanstieg bedeutet nicht, dass jedes Sicherheitsereignis automatisch eine Meldung nach Artikel 33 erfordert, da Vorfälle ohne Risiko für betroffene Personen weiterhin von der Meldepflicht gegenüber Aufsichtsbehörden ausgenommen sind.

An Ihr Team weiterleiten

Die spanische Datenschutzbehörde meldete 4.556 Meldungen von Datenschutzverletzungen zwischen Januar und August 2026 und warnte, dass Dienstleisterkompromittierungen sowie Schwachstellen in Buchungssoftware eine sofortige Überprüfung der Meldewege von Auftragsverarbeitern erfordern.

Die Frage des Tages

Ein externer Anbieter von Buchungssoftware, der als Auftragsverarbeiter agiert, erleidet einen Ransomware-Angriff, der Gästedaten mehrerer Kundenorganisationen betrifft. Welche unmittelbare Pflicht trifft den betroffenen Auftragsverarbeiter gemäß dem in aufsichtsbehördlichen Berichten dargestellten DSGVO-Rahmen?

  1. Der Auftragsverarbeiter muss jeden betroffenen Verantwortlichen unverzüglich benachrichtigen
  2. Der Auftragsverarbeiter muss die Aufsichtsbehörde direkt binnen einer Frist von 72 Stunden informieren
  3. Der Auftragsverarbeiter muss sämtliche betroffenen Personen über die aufgetretenen Vorfälle in Kenntnis setzen
  4. Der Auftragsverarbeiter muss vor einer Information der Kunden eine formelle Risikobewertung abschließen

Diese Frage auf der Website beantworten

Ebenfalls wissenswert

  1. Brasilianische ANPD leitet Untersuchung zu Kontosperrungen und Inhaltsmoderationsverfahren bei Meta ein

    Unternehmensjuristen von Plattformen müssen verfolgen wie brasilianische Regulierungsbehörden die Transparenz algorithmischer Moderation direkt mit verwaltungsrechtlichen Durchsetzungsbefugnissen unter nationalen Datenschutzvorschriften verknüpfen.

  2. EFF fordert brasilianische ANPD zur Begrenzung verpflichtender Altersüberprüfungsmechanismen unter Jugendschutzgesetz auf

    Datenschutzteams bei der Entwicklung von Altersverifikationssystemen sollten die Umsetzungsdebatten der ANPD prüfen da neue lateinamerikanische Vorschriften zunehmend die gesetzlichen Reibungspunkte europäischer Sicherheitsvorschriften widerspiegeln.

  3. Kalifornien schließt Rechtsstreit um Datenschutzverletzung bei 23andMe über sechs Millionen Dollar ab

    State attorneys general setzen unter dem CCPA weiterhin millionenschwere Vergleiche für Versäumnisse bei Credential Stuffing im Zusammenhang mit Datenbanken für Gentests durch.

An jenem Morgen aus Behörden, Gerichts und Aufsichtsquellen zusammengestellt. Primärquellen sind bei jeder Meldung verlinkt.