Worum geht's?
Hackerangriff, versehentliche Veröffentlichung von personenbezogenen Daten und Diebstahl von Laptops auf der Arbeit - Sicherheitsverstöße sind nicht selten und der Albtraum eines jeden Unternehmens. Wenn Sie betroffen sind, sollten Sie schnell handeln. Die Datenschutz-Grundverordnung (DSGVO) schreibt vor, Datenpannen möglichst binnen 72 Stunden zu melden. Doch wann besteht eine Meldepflicht und wer ist alles zu benachrichtigen? In unserem Artikel erfahren Sie mehr dazu.
1. Was sind Datenschutzverstöße nach der DS-GVO?
Gehen personenbezogene Daten verloren, werden verändert oder unbefugt offengelegt, spricht man von einer Datenschutzverletzung oder auch Datenpanne. Sie sind allerdings nicht bei jedem Datenleck dazu verpflichtet, die zuständigen Aufsichtsbehörden über einen Verstoß zu unterrichten. Eine Meldepflicht für den Datenschutzverstoß besteht nur dann nicht, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Es gibt zwei verschiedene Arten von Datenschutzverstößen:
- Personenbezogene Daten wurden verändert, vernichtet oder sind verloren gegangen.
- Personenbezogene Daten wurden unbefugt offengelegt oder es bestand Zugang zu ihnen.
In diesen Fällen handelt es sich um einen Datenschutzverstoß, den Sie gegebenenfalls melden müssen. Folgende Beispiele zählen zu einem Datenschutzverstoß:
- Sie verlieren Ihren Arbeits-Laptop oder ein Mobiltelefon mit personenbezogenen Daten.
- Hacker greifen die Datenbank an und stehlen personenbezogene Daten.
- Unbekannte brechen ein und stehlen Dokumente oder ziehen Daten auf einen USB-Stick.
Als Datenverarbeiter unterliegen Sie einer Dokumentationspflicht. Dokumentieren Sie den Vorfall und bewerten Sie in einem nachgelagerten Verfahren, ob Sie den Vorfall melden müssen oder nicht.
2. Wann muss man einen Datenschutzverstoß melden?
Sie haben einen Laptop entsorgt, ohne die Daten vorher von der Festplatte zu löschen? Bei verschlüsselten Daten ist es unwahrscheinlich, dass etwas passiert. In einer solchen Situation löst Ihr Verhalten vermutlich keine Meldepflicht nach der Datenschutz-Grundverordnung (DS-GVO) aus. Denken Sie daran, dass Sie bei einer meldepflichtigen Datenpanne die Behörde und gegebenenfalls auch die Betroffenen informieren müssen. Bei einer Datenpanne ist die Meldepflicht dann aber an verschiedene Voraussetzungen geknüpft.
- Die Meldepflicht gegenüber der Aufsichtsbehörde besteht schon bei einem „normalen Risiko“.
- Betroffene sind erst dann zu benachrichtigen, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.
Nehmen Sie für eine Datenpanne nach der Datenschutz-Grundverordnung (DS-GVO) das Beispiel mit der Festplatte. Entsorgen Sie eine funktionierende Festplatte, ist es möglich, dass sie jemand aus dem Müllbehälter nimmt. Dabei kann es sich um Betriebsspionage handeln. Bei einer verschlüsselten Festplatte sind die Daten aber nur unter einem erheblichen Aufwand oder gar nicht entschlüsselbar.
Das Risiko, dass Spione die Sicherheitslücke ausnutzen, ist also sehr gering. Sie sind in einer solchen Situation eventuell dazu verpflichtet, den Vorfall der Aufsichtsbehörde zu melden. Da das Risiko aber nicht „gesteigert“ ist, entfällt die Meldepflicht gegenüber den Betroffenen – also gegenüber denjenigen Personen oder Unternehmen, deren personenbezogene Daten auf der Festplatte gespeichert sind.
In den folgenden Situationen besteht nach Art. 34 III DS-GVO (§ 42a BDSG alte Fassung) keine Pficht zur Benachrichtigung der betroffenen Person:
- Sie haben technische und organisatorische Sicherheitsvorkehrungen (z.B. Verschlüsselung) getroffen.
- Sie stellen durch nachgelagerte Maßnahmen sicher, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.
- Ist die Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden, müssen Sie auf andere Maßnahmen ausweichen, beispielsweise auf eine öffentliche Bekanntmachung.
Ob eine Meldepflicht besteht oder nicht, hängt also immer von den konkreten Umständen der jeweiligen Situation ab.
Mit unserem Datenschutzmanagementsystem DatenschutzPro auf eRecht24 Premium behalten Sie den Überblick über Ihre Datenverarbeitungen. Zudem können Sie DS-GVO-Pannen an unseren Partner Legaltrust melden und professionelle Hilfe erhalten.
3. Datenschutzverstöße melden: Welche Frist gilt?
Im Falle eines Datenschutzverstoßes muss die zuständige Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis informiert werden. Den betroffenen Personen muss der Vorfall ebenfalls unverzüglich gemeldet werden - ohne schuldhaftes Zögern. Es gibt seltene Ausnahmen von dieser Meldepflicht, die jedoch streng reguliert sind. „Unverzüglich“ bedeutet, dass Sie die Meldung so schnell wie nur möglich durchführen.
In dem Beispiel mit dem verschlüsselten Datenträger reicht eine unverzügliche Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden aus. Das Datenleck ist den Betroffenen nicht zu melden, da es unwahrscheinlich ist, dass jemand die Daten entschlüsselt.
4. Datenpannen melden: Was müssen Sie in einer Meldung angeben?
Was müssen Sie tun, wenn Sie einen DS-GVO-Verstoß melden wollen? Zunächst sollten Sie eine Meldung erstellen. Der Umfang hängt davon ab, ob sie nur an die Aufsichtsbehörde oder auch an einen Betroffenen erfolgt.
a) Meldung gegenüber der Aufsichtsbehörde gemäß Art. 33 DS-GVO
Meldungen müssen die folgenden Punkte enthalten:
- Welche Art von Verletzung liegt vor? (Datenverlust, Diebstahl usw.)
- In welche Kategorie fallen die Betroffenen? (Kunden, Mitarbeiter)
- Wie viele Betroffene gibt es?
- Welche Kategorien von Datensätzen sind betroffen?
- Name und Anschrift des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle.
- Welche Folgen zieht die Schutzverletzung nach sich? (z.B. finanzielle Nachteile)
- Welche Schutzmaßnahmen haben Sie ergriffen oder möchten Sie ergreifen?
- Welche Gegenmaßnahmen sind noch denkbar?
Das Gesetz schreibt nicht vor, dass Sie die Meldung per Fax oder Brief einreichen müssen. Wir empfehlen Ihnen dies aber schon aus Beweisgründen. Sie sollten die zuständige Aufsichtsbehörde zuvor telefonisch kontaktieren. Einige Aufsichtsbehörden ermöglichen sogar, dass Sie den Datenschutzverstoß online melden können.
Für Ihr Unternehmen ist die Aufsichtsbehörde des Bundeslandes zuständig, in dem Ihr Unternehmen seinen Sitz hat. Es kommt ausschließlich darauf an, wo der Sitz des Unternehmens ist; wo sich die handelnde Zweigstelle, Filiale oder Geschäftsstelle befindet, ist irrelevant.
b) Meldung gegenüber den Betroffenen gemäß Art. 34 DS-GVO
Sie möchten den betroffenen Personen oder dem betroffenen Unternehmen die Verletzung des Schutzes personenbezogener Daten melden? Diese Meldung ist speziell zu gestalten. Sie müssen den Betroffenen keine umfassenden Informationen über die Datenschutzverletzung bereitstellen. Die folgenden Informationen müssen Sie den Betroffenen aber auf jeden Fall übermitteln:
- Name und Anschrift des Datenschutzbeauftragten
- Art der Schutzverletzung
- wahrscheinliche Folgen der Datenschutzverletzung
- ergriffene und empfehlenswerte Gegenmaßnahmen
Achten Sie darauf, die Meldung in einer klaren und verständlichen Sprache zu verfassen. Sie dürfen den Empfänger keinesfalls in einem verklausulierten „Juristendeutsch“ ansprechen. Die Meldung ist so auszugestalten, dass ihr Inhalt mit einem Blick erkennbar ist. Sie darf keine sachfremden Bezüge und werbenden Maßnahmen enthalten. Letztlich müssen Sie zwei Formulare anfertigen – eines für die Aufsichtsbehörde und eines für die Betroffenen.
Welche Konsequenzen drohen bei einem Verstoß gegen die Meldepflicht?
Die Datenschutzbehörden sind häufig recht kulant. Sie haben ein Ermessen, dürfen also unter mehreren Optionen wie einer Verwarnung und einer Geldbuße auswählen.
Welche Option sie auswählen, hängt immer von der individuellen Situation und dem Verhalten der Gegenseite ab.
Die DSGVO sanktioniert die Nichterfüllung von Meldepflichten gemäß Art. 83 IVa DSGVO. Es sind Bußgelder in Höhe von bis zu zehn Millionen Euro möglich, oder bis zu zwei Prozent des weltweiten Umsatzes des vorherigen Geschäftsjahres.
LESE-EMPFEHLUNG
Welche Bußgelder in der Vergangenheit von Datenschutzbehörden verhängt wurden, lesen Sie in unserem Artikel „Achtung: Hohe DSGVO-Bußgelder verhängt“.
Datenschutzverletzung beim Auftragsverarbeiter: Das ist zu tun
Es liegt eine Datenpanne bei einem Auftragsverarbeiter vor? Auftragsverarbeiter unterliegen keiner direkten Meldepflicht an die Aufsichtsbehörde oder die betroffene Person. Sie sind aber dazu verpflichtet, eine Verletzung des Schutzes personenbezogener Daten unverzüglich dem Verantwortlichen zu melden. Zudem trifft den Auftragsverarbeiter eine Informations- und Unterstützungspflicht gegenüber dem Verantwortlichen.
Nehmen Sie deshalb schon beim Vertrag zur Auftragsverarbeitung Regelungen zu Meldefristen, Ansprechpartnern und Abläufen im Falle von Datenpannen auf.
Sie benötigen einen rechtssicheren AV-Vertrag? Im eRecht24 Premium-Bereich finden Sie einen Generator für AV-Verträge.
5. Fazit
Nachfolgend haben wir Ihnen die wichtigsten Punkte in einer Checkliste zusammengefasst.
- Erstellen Sie einen Ablaufplan.
- Erstellen Sie einen Tätigkeitsbericht für die interne Aufbereitung.
- Beurteilen Sie, ob Sie einer Meldepflicht unterliegen.
- Kontaktieren Sie die zuständige Datenschutzbehörde vorab telefonisch.
- Benötigen Sie Unterstützung bei der Meldung des Vorfalls, kontaktieren Sie gerne unseren Partner Legaltrust.
- Schulen Sie Ihre Mitarbeiter im Umgang mit einem Datenverlust.
6. FAQ
