{"id":9661,"date":"2022-02-21T08:00:46","date_gmt":"2022-02-21T07:00:46","guid":{"rendered":"https:\/\/barth-datenschutz.de\/?p=9661"},"modified":"2022-02-03T10:12:13","modified_gmt":"2022-02-03T09:12:13","slug":"datenschutzpanne-im-unternehmen","status":"publish","type":"post","link":"https:\/\/barth-datenschutz.de\/blog\/datenschutzpanne-im-unternehmen\/","title":{"rendered":"Datenschutzpanne im Unternehmen? Das sind die n\u00e4chsten Schritte!"},"content":{"rendered":"

Datenschutzpannen geschehen oft schneller, als einem lieb ist. Was jetzt zu entscheiden und zu tun ist, lesen Sie in diesem Beitrag.<\/p>\n

Was ist eine Datenschutzpanne genau?<\/h2>\n

H\u00e4ufig wird eine Datenschutzpanne mit einer Datenschutzverletzung gleichgesetzt. H\u00f6rt man den Begriff, denkt man dann zun\u00e4chst einmal an Angelegenheiten wie eine falsch weitergeleitete Mail oder einen USB-Stick mit Kundendaten, der im Zug vergessen wurde.<\/p>\n

Wenn wir von Datenschutzpannen sprechen, sollten wir uns aber lieber am englischen Begriff f\u00fcr dieses Szenario orientieren: Data Breach<\/a> \u2013 also ein Sicherheitsbruch. Dann kommen wir der Antwort n\u00e4mlich schon n\u00e4her, was alles unter Datenpannen f\u00e4llt. Der eben erw\u00e4hnte vergessene USB-Stick z\u00e4hlt dann ebenso dazu wie der Einbruch in einen Serverraum oder ein Stromausfall, bei dem Daten unwiederbringlich gel\u00f6scht wurden.<\/p>\n

Art. 4 DSGVO<\/a> beschreibt eine Datenpanne mit den Worten:<\/p>\n

\u201e\u2018Verletzung des Schutzes personenbezogener Daten<\/a>\u2019 eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtm\u00e4\u00dfig, zur Vernichtung, zum Verlust, zur Ver\u00e4nderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten f\u00fchrt, die \u00fcbermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden\u201c<\/em><\/p>\n

\u201eVerletzung des Schutzes\u201c bzw. \u201eVerletzung der Sicherheit\u201c meint eine Verletzung der TOMs, die Sie zum Schutz der von Ihnen verarbeiteten personenbezogenen Daten eingerichtet haben.<\/p>\n

So weit, so gut. Es klingt also, als w\u00fcrde jeder Zwischenfall eine Katastrophe sein. Dem ist zum Gl\u00fcck nicht so \u2013 was mir als Datensch\u00fctzer, der Wert auf eine differenzierte Betrachtung der Angelegenheit legt, sehr lieb ist.<\/p>\n

Eine Datenschutzpanne m\u00fcssen Sie nicht immer melden<\/h2>\n

F\u00fcr gewisse Erleichterung sorgt sicherlich die Nachricht, dass Sie nicht jede Datenschutzpanne zwingend melden und die daraus resultierenden Konsequenzen bef\u00fcrchten m\u00fcssen.<\/p>\n

Meldepflichtig ist eine Datenschutzpanne n\u00e4mlich nur dann, wenn<\/p>\n

a) Sie sicher sind, dass dadurch ein Datenschutzversto\u00df erfolgte \u2013 falls nicht, sollten Sie zun\u00e4chst weitere Ermittlungen anstellen.
\nb) durch die Panne unberechtigter Zugriff auf Daten bestand.
\nc) dieser Zugriff zu einem Schaden f\u00fcr Betroffene gef\u00fchrt hat oder ein Risiko f\u00fcr Rechte und Freiheiten des Betroffenen darstellt.<\/p>\n

Der Europ\u00e4ische Datenschutzausschuss<\/a> hat mehrere ausf\u00fchrliche Beispiele zusammengestellt, an denen Sie sich zur Einsch\u00e4tzung Ihres Falls orientieren k\u00f6nnen. Auch dieses Kurzpapier der Datenschutzkonferenz<\/a> erweist sich als hilfreich. Es lohnt sich in einer solchen Situation auf jeden Fall, einen Datenschutzbeauftragten zur Seite zu haben. Ist Ihr Fall nicht meldepflichtig, sind Sie dennoch dazu angehalten, ihn zumindest zu dokumentieren. Zudem sollten Sie Ma\u00dfnahmen treffen, um eine solche Situation zuk\u00fcnftig m\u00f6glichst zu vermeiden.<\/p>\n

Ihr Fall ist meldepflichtig? Das ist jetzt zu tun<\/h2>\n

Sobald Sie mit Sicherheit davon ausgehen k\u00f6nnen, dass eine Datenschutzpanne vorliegt, l\u00e4uft die Zeit. Innerhalb von 72 Stunden erwartet die Aufsichtsbeh\u00f6rde eine Meldung. In Art. 33 DSGVO<\/a> finden Sie Vorgaben, welche Informationen die Beh\u00f6rde ben\u00f6tigt:<\/p>\n

    \n
  1. Geben Sie Name und Kontaktdaten Ihres Datenschutzbeauftragten<\/a> an.<\/li>\n
  2. Beschreiben Sie genau, auf welche Weise Sie gegen Datenschutzvorgaben versto\u00dfen haben. In welche Kategorie l\u00e4sst sich das Ereignis einordnen, auf das die Datenschutzanzeige folgte? Wie viele Personen sind betroffen und welche Datens\u00e4tze sind in falsche H\u00e4nde geraten?<\/li>\n
  3. Welche Folgen hat diese Verletzung f\u00fcr die betroffene Person?<\/li>\n
  4. Welche Ma\u00dfnahmen wollen Sie jetzt ergreifen, um diesen f\u00fcr die Datenschutzanzeige verantwortlichen Versto\u00df zu beheben oder den Schaden zu begrenzen?<\/li>\n
  5. Dokumentieren Sie alle Informationen, Schritte und Ma\u00dfnahmen, damit die Aufsichtsbeh\u00f6rde Ihr Handeln nachvollziehen kann.<\/li>\n<\/ol>\n

    Wenn Sie die 72-Stunden-Frist nicht einhalten, sollten Sie auf jeden Fall eine stichhaltige Begr\u00fcndung erg\u00e4nzen. Etwa, wenn mehrere Angriffe in kurzer Zeit erfolgten und Sie innerhalb der 72 Stunden mit der Schadensbegrenzung besch\u00e4ftigt waren.
    \nDie Aufsichtsbeh\u00f6rde bzw. der Datenschutzbeauftragte Ihres Bundeslands bieten auf ihren Webseiten Formulare an, \u00fcber die Sie die Meldung zeitnah elektronisch einreichen k\u00f6nnen.<\/p>\n

    M\u00fcssen Sie alle Informationen auf einmal einreichen?<\/h2>\n

    Nein \u2013 das ist in vielen F\u00e4llen auch gar nicht m\u00f6glich. Es ist wichtig, innerhalb der 72 Stunden zumindest eine grundlegende, korrekte Meldung \u00fcber die Datenschutzpanne an die Beh\u00f6rde zu senden. Fehlen Ihnen noch detaillierte Informationen wie etwa das genaue Ausma\u00df der Panne, k\u00f6nnen Sie diese schrittweise (aber zeitnah!) nachreichen. Hierzu sagt Art. 33 DSGVO:<\/p>\n

    \u201eWenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden k\u00f6nnen, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verz\u00f6gerung<\/strong> schrittweise zur Verf\u00fcgung stellen.\u201c<\/em><\/p>\n

    Ab wann m\u00fcssen Betroffene informiert werden \u2013 und wie?<\/h2>\n

    Auch das ist wieder so eine Einsch\u00e4tzungssache. Art. 34 DSGVO<\/a> spricht hier von einem \u201evoraussichtlich hohen Risiko f\u00fcr die pers\u00f6nlichen Rechte und Freiheiten nat\u00fcrlicher Personen\u201c. Klarer ausgedr\u00fcckt hei\u00dft das: Sobald der Betroffene Sch\u00e4den jeglicher Art bef\u00fcrchten muss, haben Sie ihn zu benachrichtigen. Diese Sch\u00e4den k\u00f6nnen materiell, finanziell oder physisch sein.<\/p>\n

    Die Meldung sollte klar verst\u00e4ndlich sein und folgende Punkte umfassen:<\/p>\n