Daten & Datenschutz · DAT-05
Verdacht auf Datenschutzverletzung
Personenbezogene Daten sind möglicherweise verloren gegangen, an Unbefugte gelangt, verändert worden oder nicht mehr verfügbar. Der Verdacht genügt für die Meldung. Die Bewertung übernehmen andere.
Erste 15 Minuten
Sofortmaßnahmen.
- Kundenliste an den falschen Empfänger geschickt
- Ordner mit Personaldaten offen freigegeben
- Unterlagen mit Kundendaten verloren
- Bewerbungsunterlagen im falschen Postfach gelandet
- 01
Sofort melden. Die gesetzliche Frist des Unternehmens beginnt mit dem Moment, in dem es Kenntnis erlangt, also mit deiner Meldung.
- 02
Den Zustand einfrieren: nichts löschen, nichts überschreiben, keine Freigabe stillschweigend zurückziehen.
- 03
Belege sichern: Screenshot der Freigabe, Kopie der gesendeten Nachricht, Notiz zur Uhrzeit.
- 04
Notieren, welche Personengruppen und welche Datenarten betroffen sein könnten und wie viele Personen es ungefähr sind.
- 05
Ist die Ursache noch aktiv, etwa ein offener Link, das der IT beim Melden ausdrücklich sagen.
Melden
Wen informieren, und wie.
Wen
Datenschutz-Ansprechperson und IT-Verantwortliche gemeinsam. Fehlt eine benannte Datenschutz-Ansprechperson, geht die Meldung an die Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt, ohne Umweg über Zwischenstationen. Bei Unsicherheit telefonisch.
Was bereithalten
- Was passiert ist und wann du es bemerkt hast
- Welche Datenarten betroffen sind
- Wie viele Personen ungefähr betroffen sind
- Wer die Daten erhalten haben könnte
- Ob die Ursache noch besteht
Häufige Fehler
Nicht tun.
-
Erst selbst prüfen, ob es wirklich schlimm ist. Die Bewertung ist Aufgabe der Datenschutz-Ansprechperson.
-
Betroffene Personen auf eigene Faust informieren, bevor das Vorgehen abgestimmt ist.
-
Empfänger bitten, die Nachricht einfach zu löschen, und den Fall damit für erledigt halten.
-
Belege löschen, um die Sache unauffällig zu bereinigen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die Datenschutz-Ansprechperson bewertet, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welches Risiko für die betroffenen Personen entsteht.
-
Ergibt die Bewertung ein Risiko, meldet das Unternehmen unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Datenschutzbehörde (Art. 33 DSGVO).
-
Bei voraussichtlich hohem Risiko werden zusätzlich die betroffenen Personen unverzüglich benachrichtigt (Art. 34 DSGVO).
-
Auch Verletzungen ohne Meldepflicht werden intern dokumentiert. Die Dokumentation ist selbst eine gesetzliche Pflicht.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Die Frist läuft ab deiner Meldung
Artikel 33 der DSGVO verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung dem Verantwortlichen bekannt wurde. Verantwortlicher ist das Unternehmen, nicht die einzelne Person. Kenntnis erlangt das Unternehmen in dem Moment, in dem die zuständige Stelle informiert wird.
Daraus folgt der wichtigste Satz dieses Playbooks: Wer einen Vorfall zwei Tage mit sich herumträgt, verbrennt zwei Drittel der Frist, bevor die Bewertung überhaupt begonnen hat. Innerhalb der 72 Stunden muss das Unternehmen den Sachverhalt aufklären, das Risiko bewerten, die Meldung formulieren und einreichen. Diese Zeit braucht es.
Verdacht genügt, Gewissheit ist nicht deine Aufgabe
Die Schwelle für die interne Meldung liegt bewusst niedriger als die Schwelle für die behördliche Meldung. Ob überhaupt eine Verletzung im Sinne der DSGVO vorliegt und ob sie ein Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, ist eine juristische Bewertung mit Dokumentationspflicht. Sie gehört zur Datenschutz-Ansprechperson.
Meldest du zu viel, entsteht ein kurzer Prüfaufwand. Meldest du zu wenig, entsteht ein Fristproblem und im Nachhinein die unangenehme Frage, wer wann was wusste. Das Verhältnis dieser beiden Risiken ist eindeutig.
Warum die Bitte um Löschung nichts erledigt
Der häufigste Reflex bei einem Fehlversand ist die freundliche Nachricht an den Empfänger mit der Bitte, die Mail zu löschen. Diese Bitte ist sinnvoll, sie beendet den Vorfall aber nicht. Eine Zusage ist nicht überprüfbar, Kopien können bereits weitergeleitet oder gesichert sein, und die Verletzung ist mit dem Zugang beim falschen Empfänger bereits eingetreten.
Solche Zusagen fließen trotzdem in die Bewertung ein: Ein verlässlich bestätigter, dokumentierter Löschvorgang bei einem bekannten und vertrauenswürdigen Empfänger senkt das Risiko messbar. Deshalb gehört die Antwort des Empfängers in die Meldung, statt sie zu ersetzen.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.