Datenpannen passieren in jedem Betrieb, meistens ganz unspektakulär. Entscheidend ist nicht, ob sie passieren, sondern wie schnell und richtig Sie reagieren. Denn für meldepflichtige Verletzungen gilt eine knappe Frist: 72 Stunden.
Was ist eine Datenpanne?
Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“. Gemeint ist jede Vernichtung, jeder Verlust, jede Veränderung oder jede unbefugte Offenlegung von bzw. jeder unbefugte Zugang zu personenbezogenen Daten. Typische Beispiele:
- E-Mail mit Kundendaten an den falschen Empfänger oder mit allen Adressen im offenen Verteiler
- verlorenes oder gestohlenes Smartphone, Notebook oder USB-Stick ohne Verschlüsselung
- Verschlüsselungstrojaner (Ransomware) auf dem Server
- gehacktes E-Mail-Postfach
- Patientenunterlagen im Altpapier statt im Aktenvernichter
Die Frist: 72 Stunden ab Kenntnis
Nach Art. 33 DSGVO müssen Sie eine Datenpanne unverzüglich und möglichst innerhalb von 72 Stunden, nachdem sie Ihnen bekannt geworden ist, der zuständigen Aufsichtsbehörde melden. Die Frist läuft auch am Wochenende. In Rheinland-Pfalz ist das der LfDI RLP, der ein Online-Meldeformular anbietet.
Eine Meldung ist nur dann entbehrlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt, etwa wenn ein verlorenes Notebook vollständig verschlüsselt war. Diese Bewertung müssen Sie dokumentieren.
Besteht ein hohes Risiko, etwa bei Gesundheits- oder Bankdaten, müssen zusätzlich die Betroffenen benachrichtigt werden (Art. 34 DSGVO).
Checkliste für die ersten Stunden
- Schaden begrenzen: Passwörter ändern, Gerät sperren oder orten, betroffene Rechner vom Netz nehmen, Empfänger der Fehl-E-Mail um Löschung bitten.
- Datenschutzbeauftragten informieren und, bei Cyberangriffen, IT-Dienstleister einschalten.
- Sachverhalt festhalten: Was ist wann passiert, welche Daten welcher Personen sind betroffen, wie viele?
- Risiko bewerten: Wie sensibel sind die Daten? Können sie missbraucht werden? Waren sie verschlüsselt?
- Melden, wenn ein Risiko nicht ausgeschlossen werden kann. Unvollständige Angaben dürfen nachgereicht werden; zu spät melden ist schlimmer als lückenhaft.
- Betroffene informieren, wenn ein hohes Risiko besteht.
- Dokumentieren: Jede Panne gehört ins interne Verzeichnis, auch die nicht meldepflichtigen (Art. 33 Abs. 5 DSGVO).
- Ursache abstellen, damit es nicht wieder passiert.
Vorbereitung ist alles
Wer erst im Ernstfall überlegt, wer zuständig ist, verliert wertvolle Stunden. Ein einseitiger Notfallplan, eine Mitarbeiterschulung und die Telefonnummer Ihres Datenschutzbeauftragten am richtigen Ort sparen im Ernstfall Zeit und Nerven. In unseren Paketen ab Standard begleiten wir Sie bei Datenpannen von der Bewertung bis zur Meldung.
Unsicher, was für Ihren Betrieb gilt? Im kostenlosen Erstgespräch klären wir das in 15 Minuten.
Jetzt Erstgespräch anfragen oder anrufen unter 06747 40999696.
Autor: Kevin Lipkow, Geschäftsführer der Fi-Lo GmbH und Datenschutzbeauftragter (TÜV) unter Einbeziehung der EU-DSGVO seit 2018. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.