Menü
Dieser Schritt gibt Hinweise darauf, was Sie vor, während und nach einer Datenpanne umsetzen sollten.
Eine Datenpanne kann jedes Unternehmen treffen und jederzeit passieren. Davon ist auszugehen – im digitalen Zeitalter auch gerne außerhalb der Geschäftszeiten zum Wochenende. Das kann durch einen Angriff von außen geschehen oder auch durch ein internes Versehen. Tritt eine Datenschutzverletzung auf, geht es zunächst vor allem darum, dass die Aufklärung möglichst sachlich und effizient erfolgen kann. Eine Datenpanne allein sagt noch nichts darüber aus, ob daraus ein Schaden entstehen wird und wie groß dieser Schaden sein könnte. Und weil diese Dinge unklar sind, sollte sich ein Verantwortlicher schnell einen Überblick über einen Datenschutzvorfall verschaffen, um Schlimmeres verhindern zu können.
Neben den sofort zu treffenden Abhilfemaßnahmen müssen Sie bei einer Datenpanne prüfen, ob eine Meldung an die Aufsichtsbehörde erforderlich ist und ob Sie auch betroffene Personen benachrichtigen müssen. Hierzu gehört eine Risikoeinschätzung. Achtung, die Meldefrist beträgt 72 Stunden. Den Fall einer Datenpanne auf die lange Bank zu schieben, empfiehlt sich nicht.
Maßnahmen sind sowohl VOR und WÄHREND als auch NACH einem Datenschutzvorfall zu treffen. Eine Datenpanne muss nicht immer ein Hackerangriff und die anschließende Verschlüsselung all Ihrer IT-Systeme bedeuten. Zu Datenpannen werden auch kleine Datenschutzvorfälle gezählt. Als Klassiker unter den Datenschutzvorfällen gilt zum Beispiel der versehentliche Versand mit einem offenen E-Mail-Verteiler (CC statt BCC). Ein Datenschutzvorfall kann auch die Folge eines scheinbar harmlosen IT-Sicherheitsvorfalles sein. Daher solltes Sie bei jedem IT-Sicherheitsvorfall auch den Datenschutz mit abklopfen.
Noch bevor eine Datenpanne überhaupt auftritt, können Sie schon präventiv tätig werden.
Betrachten Sie Ihre interne Organisation und richten Sie einen passenden Ablauf ein, wie man in Ihrem Unternehmen im Fall einer Datenschutzverletzung reagieren soll. Hierfür können Sie insbesonderes Folgendes tun:
Zusätzlich haben Sie die Möglichkeit, Ihren Beschäftigten eine bildliche Orientierung zu geben, indem Sie ein Prozess-Schaubild zur Verfügung stellen.
Sie haben entweder selbst einen Datenschutzvorfall entdeckt oder Sie wurden durch einen Dritten darüber informiert.
Vielleicht wurde eine Datenbank verschlüsselt und Sie kommen nicht mehr an Ihre Daten heran? Oder ein Laptop wurde gestohlen? Nach einer ersten Einschätzung wissen Sie bereits, dass es sich um einen gravierenden Datenchutzvorfall handelt, welcher unabsehbare Folgen haben könnte.
Wir zeigen Ihnen einen 6-Punkte-Plan für eine erste Orientierung auf. Beachten Sie dabei bitte, dass es sich hier um eine beispielhafte Darstellung aus unserem Erfahrungsschatz handelt, die nur zur Orientierung dient.
Tief Luft holen. Behalten Sie einen kühlen Kopf und ergreifen Sie angemessene Sofort-Maßnahmen. Diese sollten Sie mit Ihrem IT-Ansprechpartner abstimmen. Das kann folgende Handlungen beinhalten:
Gerät ausschalten, Server herunterfahren
Stecker ziehen
ein verlorenes Endgerät ausfindig machen
Zugriffe remote sperren
Passwörter ändern
Alarm-Codes ändern
Notieren Sie die gesetzliche Meldefrist von 72 Stunden nach Kenntnis!
Bitten Sie Ihrerseits die relevanten Personen nach Unterstützung, die Ihnen zur Verfügung stehen, um den Vorfall abzuwehren, einzudämmen, einzuschätzen, zu kommunizieren und zu dokumentieren (IT-ler, Berater Datenschutz, Anwältin, Notfall-Team einer Cyber-Versicherung).
Stellen Sie der zuerst meldenden Person das Formblatt zur internen Meldung zur Verfügung und bitten Sie sie, das Formblatt umgehend auszufüllen. Nutzen Sie dafür gern unsere Arbeitshilfe „Datenpanne: Interne Erstmeldung“.
Dokumentieren Sie den Vorfall. Wenn Sie kein eigenes Formular haben, nutzen Sie unsere Arbeitshilfe zur Dokumentation eines Datenschutzvorfalls. Gehen Sie Schritt für Schritt die Fragen im Dokument durch und schaffen Sie sich somit eine Entscheidungsgrundlage.
Versuchen Sie das Risiko für die betroffene Person zu ermitteln. Wenn die Situation heikel ist, sollten Sie hier genau arbeiten. Sie sollten danach besser abschätzen können, inwiefern ein Vorfall ein hohes Risiko beinhaltet und ob der Vorfall meldepflichtig ist.
Nutzen Sie für eine erste Orientierung das „Kurzpapier Nr. 18 Risiko für die Rechte und Freiheiten natürlicher Personen“ der DSK. Die Orientierungshilfe zeigt, wie ein Risiko im Kontext der DSGVO zu definieren ist und wie Risiken für die Rechte und Freiheiten natürlicherPersonen bestimmt und in Bezug auf ihre Rechtsfolgen bewertet werden können.
Legen Sie fest, WER, WEN, WIE bis WANN benachrichtigen wird.
Benachrichtigung Betroffener: Halten Sie die Frist zur Benachrichtigung von betroffenen Personen ein. Die Benachrichtigung sollte so bald wie möglich erfolgen und nicht unnötig hinausgezögert werden. Gemäß der DSGVO soll die Benachrichtigung „unverzüglich“ erfolgen, d. h. ohne schuldhaftes Verzögern.
Überlegen und entscheiden Sie, wen Sie umgehend benachrichtigen müssen, um größeren Schaden abzuwenden oder Angreifer strafrechtlich zu verfolgen (z. B. Versicherung, Auftraggeber, IT-Dienstleister, Auftragsverarbeiter, Finanzabteilung, Bank, Markenting-Agentur, Personalabteilung, Polizei).
Es liegt eine Verletzung der Sicherheit vor, die
Halten Sie dabei die gesetzliche Frist zur Meldung an die Aufsichtsbehörde ein. Diese beträgt in der Regel 72 Stunden nach Kenntnis.
In unserer Arbeitshilfe „Datenschutzvorfall an Aufsichtsbehörde melden“ sind die Pflichtangaben nach Artikel 33 DSGVO aufgeführt. Außerdem enthält die Vorlage einige Beispiele, um zu verdeutlichen, was gemeint sein könnte. Die Aufsichtsbehörden halten eigene Meldeformulare bereit und Fragen die Pflichtangaben ab. Siehe hierzu unsere Arbeitshilfe „Linksammlung - Datenpanne bei Aufsichtsbehörde melden“.
Nach einem Datenschutzvorfall sollten Sie darauf achten, dass Sie alle Notizen, den Schriftverkehr, die Dokumentation des Vorfalls und ggf. der Meldung an die Aufsichtsbehörde gesammelt und vor unbefugtem Zugriff geschützt aufbewahren.
Bedenken Sie bitte, dass es gerade in unserer digitalisierten Welt dazu kommen kann, dass Datenschutzvorfälle erst zu einem viel späteren Zeitpunkt aktiviert und sichtbar werden. Wenn die Spur dann auf Ihren Datenschutzvorfall zurückführt, ist es eventuell sehr hilfreich, wenn Sie mit Ihren Unterlagen nachweisen können, dass alles Notwendige unternommen wurde, um ein mögliches Risiko zu verringern oder zu verhindern.