Noventi-Paket verschwunden: Datenpanne bei UPS

Berlin -

Nach einer Datenpanne fühlt sich ein Apotheker vom Dienstleister Noventi im Stich gelassen. Er erhielt lediglich eine Information darüber, dass eine Paketsendung verloren gegangen ist, aber keine Handlungsempfehlung. Er meldete den Vorfall schließlich selbst beim Landesdatenschutzbeauftragten – obwohl der Fehler nicht bei ihm lag.

Vor drei Wochen erhielt ein Apotheker einen Brief von Noventi. Ein Paket mit „abrechnungsbegründenden Unterlagen“, zu denen auch Rezepte und Genehmigungen mit sensiblen Versichertendaten gehören, sei verloren gegangen. Es handelt sich um eine Sendung vom Januar dieses Jahres.

Auch durch Sendungsverfolgung und Kontaktaufnahme mit dem Kundenservice von UPS konnte der Verbleib der Pakete nicht abschließend geklärt werden, schreibt Noventi. Es sei an eine falsche Adresse geliefert worden. Eine abschließende Aussage über den Verbleib sei derzeit nicht möglich, heißt es weiter. Trotz der Nichtlieferung soll es laut Noventi keine negativen Folgen für die Abrechnung geben.

Das Paket sei unterwegs verloren gegangen, nachdem es das System von Noventi verlassen habe, bestätigte das Rechenzentrum auf Anfrage. Daraufhin habe man die betroffenen Kundinnen und Kunden gemäß den gesetzlichen Vorgaben der Datenschutz-Grundverordnung (DSGVO) informiert, damit diese ihren eigenen datenschutzrechtlichen Pflichten nachkommen könnten. Da es sich um eine Auftragsdatenverarbeitung handele, liege die Meldepflicht für Datenschutzvorfälle bei der verantwortlichen Stelle und nicht bei Noventi, erklärte eine Sprecherin.

„Weitere Details können wir öffentlich nicht erteilen, da es sich wie gesagt nicht um Daten der Noventi handelt. Diese sind auch nicht bei Noventi verlustig gegangen“, fügte die Sprecherin hinzu.

Mailadresse für Betroffene

Da die Unterlagen auch Versichertendaten enthielten, gibt Noventi am Ende des Schreibens eine E-Mail-Adresse an, an die sich Betroffene mit dem Betreff „Datenschutzvorfall“ wenden können. „Als Apotheker bin ich für die Datensätze verantwortlich“, erklärt der betroffene Inhaber. Noventi sei nur als Auftragsdatenverarbeiter tätig.

Der Apotheker hat sich zunächst an die angegebene Adresse gewandt, aber noch keine Antwort vom Dienstleister erhalten. Seit zehn Tagen ist seine Anfrage nun unbeantwortet. „Ich hätte mir zumindest eine Handlungsempfehlung von Noventi gewünscht“, sagt der Apotheker.

Da eine solche Empfehlung von Noventi ausblieb, wandte sich der Inhaber an seinen Anwalt. Auf dessen Rat hin meldete er den Vorfall mit einem entsprechenden Formular dem Hessischen Datenschutzbeauftragten. „Ich bin meinen Mitwirkungspflichten nachgekommen“, betont der Apotheker. Schließlich sei er als Inhaber für die Folgen der Panne verantwortlich, auch wenn er den Schaden nicht selbst verursacht habe.