Menü
Was ist das und was ist im Falle einer Datenpanne zu tun?
Eine Verletzung des Schutzes personenbezogener Daten kann einen Schaden für die betroffene Person nach sich ziehen. Bereits kleinste und unscheinbare Vorfälle können – müssen aber nicht – einen Schaden nach sich ziehen. Daher sollten Sie sicherstellen, dass Ihre Beschäftigten Vorfälle überhaupt erkennen und diese auch intern weitergeben. So können Sie auf Datenschutzvorfälle schnell reagieren und Schaden abwenden.
Nachfolgend erhalten Sie Informationen darüber:
Ja, das muss sein. Die Verletzung des Schutzes personenbezogener Daten zu melden, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, ist eine Pflicht des Verantwortlichen, die sich aus dem Art. 33 DSGVO ergibt.
Unter Umständen besteht die Pflicht zur Benachrichtigung der betroffenen Person. Dies ist dann der Fall, wenn ein hohes Risiko für die betroffenen Person besteht. Dieser Umstand ist ebenfalls zu prüfen und zu dokumentieren und ergibt sich aus Art. 34 Abs. 1 DSGVO.
Die Pflicht zur Dokumentation eines Datenschutzvorfalls und aller relevanten Fakten ergibt sich aus Art. 33 Abs. 5 DSGVO. Auch wenn Sie einen Datenschutzvorfall nach einer internen Bewertung nicht an die Aufsichtsbehörde melden, sollten Sie diesen dokumentieren und zur Prüfung vorhalten.
Eine meldepflichter Datenschutzverletzung ist
Keine meldepflichtige Datenschutzverletzung liegt daher vor, wenn ein Sicherheitsvorfall lediglich die Verletzungen der IT-Infrastruktur ohne Auswirkung auf personenbezogene Daten betrifft. Gleichwohl sollten Sie natürlich diesem Sicherheitsvorfall nachgehen.
Sofern ein Auftragsverarbeiter eine Datenschutzverletzung feststellt, hat er diese gegenüber dem Verantwortlichen unverzüglich anzuzeigen.
Die EDSA hat Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten veröffentlicht, die einen Blick wert sind. Einen Link auf die deutsche Fassung finden sie unter Arbeitshilfen.
Ein Mitarbeiter eines Unternehmens verliert einen Laptop, auf dem personenbezogene Daten gespeichert sind.
Ein Kunde erhält versehentlich Zugriff auf sensible Informationen über einen anderen Kunden, da eine E-Mail falsch adressiert wurde.
Ein Unternehmen wird Ziel eines Phishing-Angriffs, bei dem Betrüger an vertrauliche Daten gelangen.
Ein Hacker erlangt Zugang zu einem Datenbank-System und stiehlt personenbezogene Daten wie Namen und Adressen von Kunden.
Eine Organisation verwendet personenbezogene Daten für einen anderen Zweck als den, für den sie ursprünglich gesammelt wurden, ohne die Zustimmung der betroffenen Personen.
Ein Unternehmen teilt versehentlich personenbezogene Daten mit einem Dritten, der nicht befugt ist, diese Informationen zu empfangen.
Datenpanne, Datenschutzverletzung, Datenschutzverstoß, Datenschutzvorfall, IT-Vorfall, IT-Sicherheitsvorfall... Ist doch alles das gleiche!
Umgangssprachlich wird federführend der Begriff „Datenpanne“ anscheinend für alles genutzt, was irgendwie mit personenbezogenen Daten zusammenhängt und scheinbar nicht erlaubt ist. Doch es gibt feine Unterschiede. Wir starten den Versuch einer Differenzierung, denn auch Ihre Beschäftigten sollten den Unterschied zwischen einem Vorfall und einem Verstoß kennen.
Ein Datenschutzvorfall umfasst den breiten Bereich von Vorfällen, die die Vertraulichkeit, Integrität oder Verfügbarkeit von personenbezogenen Daten beeinträchtigen, einschließlich Verlust, Diebstahl oder unbefugtem Zugriff. Ein Datenschutzvorfall kann versehentlich, absichtlich oder durch böswillige Handlungen verursacht werden, wie z. B. durch Hacking oder Phishing.
Datenschutzverletzung kann eher dem Begriff Datenschutzvorfall zugeordnet werden, sofern es sich bei dem Vorfall um eine Verletzung des Schutzes personenbezogener Daten handelt.
Ein Datenschutzverstoß ist ein konkreter Verstoß gegen die Vorgaben der DSGVO. Ein Verstoß weist auf Fehler oder Pannen hin, deren Ursache im Daten-Management oder bei der Datenverarbeitung selbst zu suchen sind. Liegt ein Datenschutzverstoß vor, kann es sich sowohl um eine Straftat als auch um eine Ordnungswidrigkeit handeln. Erst eine juristische Instanz entscheidet darüber, ob ein Verstoß gegen die DSGVO tatsächlich vorliegt.
Dieser Begriff wird umgangssprachlich für alles genutzt, was irgendwie mit personenbezogenen Daten zusammenhängt und scheinbar nicht erlaubt ist. Wenn man von einer „handfesten Datenpanne“ spricht, ist der Schaden in der Regel schon eingetreten.
Ein IT-Sicherheitsvorfall bezieht sich auf einen Vorfall, bei dem es zu einem Angriff auf IT-Systeme oder Netzwerke kommt, einschließlich unbefugtem Zugriff, Malware-Angriffen oder DDoS-Angriffen. Ein IT-Sicherheitsvorfall kann auch zu einem Datenschutzvorfall führen, wenn während des Angriffs personenbezogene Daten kompromittiert werden.
Ein Datenschutzvorfall ist unverzüglich und möglichst binnen 72 nach Bekanntwerden zu melden.
Die Meldung ist an die für Sie zustände Aufsichtsbehörde zu senden.
Eine bestimmte Form der Meldung ist nicht vorgesehen. Viele Landesaufsichtsbehörden bieten jedoch Meldeformulare an.
Ungefährliche, kleine Datenschutzvorfälle haben den Vorteil, dass Sie Maßnahmen ergreifen können, bevor ein größeres Unglück passiert. Außerdem zeigen Sie durch die Dokumentation, dass Sie sich um den Schutz der personenbezogenen Daten und der Verarbeitung kümmern und Ihre Beschäftigten Vorfälle weitergeben.
Die Art und Weise der Dokumentation gibt die DSGVO nicht vor, so dass wir Ihnen hierzu eine Checkliste mit den mindestens zu dokumentierenden Fakten zur Verfügung stellen.
Mit der Dokumentation einer Datenpanne erfüllen Sie Ihre Rechenschaftspflicht und haben Sie glücklicherweise in folgenden Fällen zur Hand:
Eine offene und angstbefreite Kommunikation zu Datenschutzthemen unterstützt die Beschäftigten dabei, Vorfälle zu erkennen und intern zu melden. Schaffen Sie Aufmerksamkeit bei Ihren Mitarbeitenden. Was ist überhaupt ein Datenschutzvorfall und warum können E-Mail-Anhänge oder Links gefährlich sein?
Eindeutige Meldewege und Fristen unterstützen die Beschäftigten darin, die Datenschutzvorfälle an die richtige Person oder zuständige interne Stelle zu melden. Handelt es sich um einen IT-Sicherheitsvorfall, ist man geneigt, seinen IT-ler anzurufen. Prüfen Sie hierbei stets, ob es sich auch um einen Datenschutzvorfall handelt und eine Reaktion nach DSGVO-Pflichten erfolgen muss.
Neben den generellen Schulungen zum Datenschutz kann es sinnvoll sein, wenn Sie Ihren Beschäftigten Schulungen über Cyber-Sicherheit oder zur IT-Sicherheit anbieten. Eine Person, die aufgabenbezogen viel mit E-Mails arbeitet, sollte sich der Gefahren von E-Mail-Anhängen, Links in E-Mails oder gefälschten Websites eher bewusst sein als Beschäftigte im Lager oder in der Produktion, die nur auf interne Systeme zugreifen und nur intern kommunizieren.
Die Schulungen sollten zudem alle Mitarbeitenden darüber aufklären, was Datenschutzvorfälle sind oder sein können und was aus Ihnen resultieren könnte.
Die Technik und die Betrugsmethoden entwickeln sich rasant. Halten Sie das Wissen Ihrer Mitarbeitenden neben dem Datenschutz auch über die Datensicherheit aktuell. Regelmäßige Schulungen bzw. ein Schulungskonzept zu den Themen Datenschutz und Datensicherheit sind eine geeignete Umsetzung. Achten Sie darauf, dass Sie diese Schulungen später auch nachweisen können.
