Eine E-Mail mit Kundendaten geht an den falschen Verteiler, ein Firmenlaptop wird im Zug gestohlen oder ein Trojaner verschlüsselt den Server: Datenpannen passieren auch in gut organisierten Unternehmen. Dann muss schnell und richtig reagiert werden. Die DSGVO sieht in Art. 33 eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden vor, in bestimmten Fällen nach Art. 34 zusätzlich eine Benachrichtigung der betroffenen Personen.
Was ist eine „Verletzung des Schutzes personenbezogener Daten“?
Art. 4 Nr. 12 DSGVO versteht darunter jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind also nicht nur Hackerangriffe, sondern auch alltägliche Fehler: der offene E-Mail-Verteiler, der verlorene USB-Stick, der Brief an die falsche Adresse oder die versehentlich gelöschte Kundendatenbank ohne Backup.
Wann muss gemeldet werden?
Grundsätzlich ist jede Datenpanne der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Diese Ausnahme ist eng. Ein Risiko liegt etwa nahe, wenn Gesundheits-, Bank- oder Zugangsdaten betroffen sind, wenn viele Personen betroffen sind oder wenn die Daten in die Hände unbekannter Dritter gelangt sein können. Kein Risiko besteht dagegen häufig, wenn ein ordnungsgemäß verschlüsseltes Gerät verloren geht.
Besteht voraussichtlich ein hohes Risiko, müssen zusätzlich die Betroffenen unverzüglich und in klarer, einfacher Sprache informiert werden (Art. 34 DSGVO). Sie sollen sich schützen können, etwa indem sie Passwörter ändern oder eine Kreditkarte sperren lassen.
Die 72-Stunden-Frist
Die Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wird, nicht erst, wenn alle Details geklärt sind. Wochenenden und Feiertage werden nicht ausgeklammert. Liegen noch nicht alle Informationen vor, darf die Meldung schrittweise erfolgen: Melden Sie zunächst, was Sie wissen, und reichen Sie weitere Angaben nach. Eine verspätete Meldung ist zu begründen.
Notfallplan in fünf Schritten
- Schaden eindämmen: betroffene Systeme vom Netz nehmen, Zugänge sperren, Empfänger einer Fehlversendung um Löschung bitten.
- Geschäftsleitung und, falls vorhanden, den Datenschutzbeauftragten sofort einbinden.
- Das Risiko einschätzen: Welche Daten, wie viele Personen, welche möglichen Folgen?
- Die Aufsichtsbehörde informieren (die meisten Länderbehörden bieten Online-Formulare an) und gegebenenfalls die Betroffenen benachrichtigen.
- Den Vorfall intern dokumentieren. Das verlangt Art. 33 Abs. 5 DSGVO für jede Datenpanne, auch wenn keine Meldung erfolgt.
Was gehört in die Meldung?
Mindestens anzugeben sind: die Art der Verletzung, soweit möglich die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
Vorsorge ist die beste Reaktion
Unternehmen, die vorab Zuständigkeiten festlegen, eine Checkliste bereithalten und ihre Mitarbeitenden sensibilisieren, verlieren im Ernstfall keine wertvolle Zeit. Ebenso wichtig sind angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dass Aufsichtsbehörden Sicherheitsmängel ahnden, zeigt etwa das Bußgeld gegen einen Social-Media-Anbieter wegen unzureichender Datensicherheit. Wer einen Datenschutzbeauftragten hat, sollte ihn eng einbinden. Ob eine Benennungspflicht besteht, erläutern wir in unserem Beitrag zur 20-Personen-Regel. Verschweigen ist im Übrigen die schlechteste aller Optionen: Eine unterlassene Meldung kann selbst ein Bußgeld nach sich ziehen.
Wenn bei Ihnen eine Datenpanne eingetreten ist, zählt jede Stunde. Wir helfen kurzfristig bei Bewertung und Meldung und erstellen auf Wunsch auch einen Notfallplan für die Zukunft. Schreiben Sie uns oder vereinbaren Sie online einen Termin.
Share this content:
Schreibe einen Kommentar