Daten & Datenschutz · DAT-01
An falschen Empfänger gesendet
Eine Nachricht, ein Dokument oder eine Datei ist bei einer Person gelandet, für die sie nicht bestimmt war. Oft liegt es an der automatischen Adressvervollständigung, einem falschen Verteiler oder einem verwechselten Anhang. Enthält die Sendung personenbezogene oder vertrauliche Daten, ist das ein Sicherheitsvorfall.
Erste 15 Minuten
Sofortmaßnahmen.
- Mail per Autovervollständigung an die falsche Adresse
- Offener Verteiler statt Bcc verwendet
- Falscher Anhang an einen Kunden geschickt
- Unterlagen an die falsche Anschrift versendet
- 01
Wenn das Mailsystem es erlaubt, die Nachricht zurückrufen. Verlassen kannst du dich darauf nicht.
- 02
Die gesendete Nachricht unverändert lassen und eine Kopie samt Empfängerliste sichern.
- 03
Notieren, welche Daten enthalten waren und wie viele Personen betroffen sein könnten.
- 04
Sofort melden, bevor du den Empfänger kontaktierst.
- 05
Den Empfänger in Abstimmung mit der Datenschutz-Ansprechperson um Löschung und eine schriftliche Bestätigung bitten.
Melden
Wen informieren, und wie.
Wen
Datenschutz-Ansprechperson und IT-Verantwortliche gemeinsam. Fehlt eine benannte Datenschutz-Ansprechperson, geht die Meldung an die Geschäftsführung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Die fehlgeleitete Nachricht als Anhang beilegen und nicht erneut an Dritte weiterleiten.
Was bereithalten
- Wer die Sendung erhalten hat und wann sie verschickt wurde
- Welche Daten und Dokumente enthalten waren
- Wie viele Personen betroffen sein könnten
- Ob ein Rückruf versucht wurde und mit welchem Ergebnis
- Ob der Empfänger bereits reagiert hat
Häufige Fehler
Nicht tun.
-
Den Fall nach einer Löschbitte an den Empfänger für erledigt halten und nicht melden.
-
Die Nachricht im Ordner für gesendete Objekte löschen.
-
Die betroffenen Personen auf eigene Faust informieren, bevor das Vorgehen abgestimmt ist.
-
Die richtige Sendung an denselben Verteiler schicken, ohne die Adressen erneut zu prüfen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die Datenschutz-Ansprechperson bewertet, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welches Risiko für die betroffenen Personen entsteht.
-
Ergibt die Bewertung ein Risiko, meldet das Unternehmen unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Datenschutzbehörde (Art. 33 DSGVO).
-
Die Antwort des Empfängers, etwa eine bestätigte Löschung, fließt dokumentiert in die Bewertung ein.
-
Wiederholt sich der Fehler, werden Einstellungen wie die Adressvervollständigung und die Verteiler überprüft.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der häufigste Datenschutzvorfall entsteht in Sekunden
Die automatische Vervollständigung schlägt nach zwei Buchstaben eine Adresse vor, der Verteiler aus dem letzten Projekt ist noch markiert, der Anhang hat einen ähnlichen Dateinamen wie der richtige. Fehlversand passiert Menschen, die routiniert arbeiten, und zwar gerade deshalb.
Der Fehler ist mit dem Klick auf Senden passiert und lässt sich nicht ungeschehen machen. Beeinflussen lässt sich ab diesem Moment nur noch die Zeit bis zur Meldung.
Der Rückruf gibt keine Sicherheit
Die Rückruffunktion vieler Mailprogramme wirkt nur unter engen Bedingungen: Empfänger im selben System, Nachricht noch ungelesen, keine Weiterleitung. Bei externen Adressen bleibt sie meist wirkungslos und kann beim Empfänger zusätzlich auf genau die Nachricht aufmerksam machen, die verschwinden sollte.
Der Rückrufversuch gehört deshalb in die Meldung, als Information für die Bewertung. Die Meldung selbst ersetzt er nicht.
Was die Bewertung braucht
Ob ein Fehlversand an die Datenschutzbehörde zu melden ist, hängt vom Risiko für die betroffenen Personen ab. Gesundheits-, Bank- oder Personaldaten wiegen schwerer als eine Terminbestätigung, eine unbekannte Adresse schwerer als ein bekannter Geschäftspartner, der die Löschung schriftlich bestätigt.
Genau diese Angaben kann die Person liefern, die den Fehler bemerkt hat, und zwar schneller als jede andere Stelle im Unternehmen. Die 72 Stunden nach Art. 33 DSGVO beginnen, sobald das Unternehmen Bescheid weiß. Je früher die Meldung kommt, desto mehr dieser Zeit bleibt für eine sorgfältige Bewertung.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.