Ein falscher E-Mail-Empf\u00e4nger, ein verlorenes Notebook oder ein Angriff auf die IT: Datenschutzverletzungen entstehen auf unterschiedlichen Wegen. F\u00fcr Unternehmen kommt es darauf an, den Vorfall schnell zu erkennen, Sch\u00e4den zu begrenzen und die erforderlichen Schritte einzuleiten.
\nMuss jede Datenpanne gemeldet werden? Wann m\u00fcssen betroffene Personen informiert werden und wer ist daf\u00fcr verantwortlich? Dieser Beitrag erkl\u00e4rt die wichtigsten Regeln der Datenschutz-Grundverordnung (DSGVO) und zeigt, wie Sie sich organisatorisch auf einen Vorfall vorbereiten.<\/p>\n
Eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO ist eine Sicherheitsverletzung, bei der personenbezogene Daten unbeabsichtigt oder unrechtm\u00e4\u00dfig vernichtet, verloren oder ver\u00e4ndert werden oder Unbefugten offengelegt beziehungsweise zug\u00e4nglich gemacht werden. H\u00e4ufig wird daf\u00fcr der Begriff Datenpanne verwendet.
\nDabei k\u00f6nnen unterschiedliche Schutzziele betroffen sein:<\/p>\n
Nicht jeder Datenschutzversto\u00df ist automatisch eine solche Datenpanne. Eine fehlende Rechtsgrundlage f\u00fcr eine Verarbeitung kann beispielsweise gegen die DSGVO versto\u00dfen, ohne dass zugleich eine Sicherheitsverletzung vorliegt. Umgekehrt ist die fehlende Einwilligung nicht allein entscheidend f\u00fcr die Rechtm\u00e4\u00dfigkeit: Art. 6 DSGVO kennt weitere Rechtsgrundlagen.<\/p>\n
Ein Anhang mit Besch\u00e4ftigtendaten wird an die falsche Person geschickt. Eine Cloud-Freigabe macht Kundendaten f\u00fcr Unbefugte zug\u00e4nglich. Ein verlorener Datentr\u00e4ger enth\u00e4lt personenbezogene Informationen. Oder Schadsoftware ver\u00e4ndert beziehungsweise verschl\u00fcsselt Daten, die f\u00fcr die Arbeit ben\u00f6tigt werden. Auch Unterlagen auf Papier k\u00f6nnen betroffen sein.
\nDiese Beispiele zeigen: Eine Datenpanne setzt keinen erfolgreichen Hackerangriff voraus. Menschliche Fehler, technische Probleme und unzureichend geregelte Zugriffe k\u00f6nnen ebenfalls eine Rolle spielen. Ob ein Vorfall meldepflichtig ist, muss anhand seiner konkreten Umst\u00e4nde bewertet werden.<\/p>\n
Die Pflichten zur Meldung und Benachrichtigung treffen den datenschutzrechtlich Verantwortlichen \u2013 im Unternehmensalltag in der Regel das Unternehmen. Ein Datenschutzbeauftragter ber\u00e4t und unterst\u00fctzt, \u00fcbernimmt aber nicht automatisch die Verantwortung des Unternehmens. IT, Fachbereiche und Gesch\u00e4ftsleitung sollten \u00fcber festgelegte Zust\u00e4ndigkeiten zusammenarbeiten.
\nWird einem Auftragsverarbeiter eine Datenschutzverletzung bekannt, muss er den Verantwortlichen unverz\u00fcglich informieren. Er darf daf\u00fcr nicht erst abwarten, ob er den Vorfall selbst f\u00fcr meldepflichtig h\u00e4lt.<\/p>\n
Art. 33 DSGVO regelt die Meldung an die Aufsichtsbeh\u00f6rde, Art. 34 DSGVO die Benachrichtigung der betroffenen Personen. Daf\u00fcr gelten unterschiedliche Risikoschwellen:<\/p>\n