Datenschutzvorfall

Ein Datenschutzvorfall ist selten spektakulär. Meistens ist es eine E-Mail an den falschen Verteiler, ein verlorener USB-Stick oder ein Ordner, der versehentlich öffentlich lag. Entscheidend ist nicht, wie er entstanden ist, sondern was in den nächsten drei Tagen geschieht.

Vorfall melden

Die 72-Stunden-Frist und wann sie zu laufen beginnt

Art. 33 DSGVO verlangt, dass Sie die zuständige Aufsichtsbehörde über eine Verletzung des Schutzes personenbezogener Daten unterrichten – binnen 72 Stunden.

Der häufigste Irrtum betrifft den Fristbeginn. Die Uhr läuft ab dem Zeitpunkt, zu dem Ihnen der Vorfall bekannt wird – nicht ab dem Moment, in dem Sie ihn vollständig aufgeklärt haben. Wer erst ermittelt und dann meldet, hat die Frist meist schon versäumt. Zulässig ist es dagegen, zunächst mit den bekannten Angaben zu melden und Informationen nachzureichen.

Art. 33 Abs. 3 DSGVO bestimmt, was in die Meldung gehört: Art des Vorfalls, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

Welche Behörde für Sie zuständig ist, richtet sich nach Ihrem Sitz – die Übersicht der Aufsichtsbehörden ordnet das zu.

Datenschutzvorfall: was jetzt zu tun ist

Zuerst eingrenzen. Welche Daten sind betroffen, wie viele Personen, ist der Zugang noch offen? Diese drei Fragen entscheiden über alles Weitere.

Dann bewerten. Nicht jeder Vorfall ist meldepflichtig. Ist eine Verletzung voraussichtlich nicht mit einem Risiko für die Rechte und Freiheiten der Betroffenen verbunden, entfällt die Meldung – ein verschlüsselter, verlorener Datenträger ist der Standardfall dafür. Genau deshalb sind technische und organisatorische Maßnahmen nicht nur Vorsorge, sondern entscheiden mit darüber, was ein Vorfall überhaupt auslöst.

Dann melden. Als Ihr Datenschutzbeauftragter übernehmen wir die Kommunikation mit der Behörde. Uns trifft dabei eine Kooperationspflicht – was kein Nachteil ist, sondern der Grund, warum ein eingespielter Ablauf sich auszahlt.

Wer erst im Ernstfall klärt, wer meldet und was gemeldet wird, hält die 72 Stunden nicht ein. Diesen Ablauf legen wir vorher fest.

Wann auch die Betroffenen zu benachrichtigen sind

Neben der Meldung an die Behörde kann eine zweite Pflicht entstehen. Führt der Vorfall voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen, sind diese nach Art. 34 DSGVO unverzüglich zu benachrichtigen – in klarer und einfacher Sprache.

Diese Benachrichtigung ist der unangenehmere Teil, weil sie nach außen sichtbar wird. Sie lässt sich vermeiden, wenn die Daten durch geeignete Maßnahmen wie Verschlüsselung für Unbefugte unbrauchbar waren.

Rechnen Sie damit, dass Betroffene anschließend von ihren Auskunftsrechten Gebrauch machen. Auch diese Anfragen stehen unter Frist.

Warum jeder Vorfall zu dokumentieren ist

Auch ein Vorfall, der nicht gemeldet werden muss, gehört festgehalten – mit den Tatsachen, den Auswirkungen und den ergriffenen Maßnahmen. Grund ist die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Sie müssen belegen können, dass Sie bewertet haben, warum keine Meldung nötig war.

Diese Dokumentation führen wir im Datenschutzmanagementsystem. Nach einem Vorfall folgt regelmäßig ein Audit zur Ursachenanalyse – nicht als Formalie, sondern weil dieselbe Lücke sonst ein zweites Mal aufgeht.

Kontakt

Sie haben einen Vorfall bemerkt? Rufen Sie an, bevor Sie ermitteln – die Frist läuft bereits.