Meldung eines Datenschutzvorfalls

Wenn der Verdacht auf einen Vorfall im Raum steht, zählt die Zeit. Ab dem Moment, in dem der Verantwortliche Kenntnis erlangt, laufen 72 Stunden bis zur Meldung an die Aufsichtsbehörde. Diese Seite sagt Ihnen, was wir für eine Meldung eines Datenschutzvorfalls brauchen und wie Sie uns am schnellsten erreichen.

Zuerst: anrufen

Bei einem laufenden Vorfall ist das Telefon der richtige Weg, nicht das Formular. +49 6188 99 04 36 – melden Sie sich, auch wenn noch nicht alles geklärt ist. Eine Erstbewertung braucht keine vollständige Sachverhaltsaufklärung, und die Frist wartet nicht, bis der Bericht fertig ist.

Das Formular unten ist für alles gedacht, was keine Stunden kostet: den Verdachtsfall ohne akuten Schaden, die nachträgliche Aufarbeitung, die Frage, ob ein Vorgang überhaupt meldepflichtig war.

Was zählt überhaupt als Vorfall?

Nicht nur der Angriff von außen. Erfasst ist jede Verletzung des Schutzes personenbezogener Daten, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung führt – auch unbeabsichtigt.

Die häufigsten Fälle in der Praxis sind unspektakulär:

• eine E-Mail mit offenem Verteiler statt Blindkopie
• ein Brief oder eine Datei an den falschen Empfänger
• ein verlorener Laptop, ein verlorenes Telefon, ein verlorener USB-Stick
• ein falsch gesetztes Zugriffsrecht in einem Laufwerk oder einer Anwendung
• eine Fehlkonfiguration, durch die Daten öffentlich abrufbar waren
• ein erfolgreicher Phishing-Angriff auf ein Postfach
• Unterlagen, die im Papiermüll statt in der Aktenvernichtung landen

Ob daraus eine Meldepflicht folgt, entscheidet sich am Risiko für die betroffenen Personen. Die rechtlichen Maßstäbe stehen unter Datenschutzvorfall melden, der Wortlaut in Art. 33 DSGVO und – für die Benachrichtigung der Betroffenen – in Art. 34 DSGVO.

Was das Formular abfragt

Halten Sie bereit, was Sie wissen. Lücken sind kein Hindernis; tragen Sie „unbekannt” ein, wo es unbekannt ist. Pflichtangaben sind nur Ihr Name, Ihre E-Mail-Adresse, eine Beschreibung und das Datum der Kenntnisnahme – bei einem laufenden Vorfall weiß niemand alles.

Abgefragt werden: Kontaktdaten und verantwortliche Stelle; die Beschreibung; das Datum des Ereignisses und das Datum der Kenntnisnahme, das die Frist startet; ob der Vorfall andauert; Zahl der betroffenen Personen und Datensätze; die Kategorien der Personen und der Daten als Mehrfachauswahl; bereits ergriffene Sofortmaßnahmen; und ob Dienstleister beteiligt waren.

Die Kategorien der Daten entscheiden über die Dringlichkeit. Sind besondere Kategorien betroffen – Gesundheit, Religion, Gewerkschaftszugehörigkeit, Sexualleben, biometrische Daten – verschiebt sich die Bewertung deutlich, und die Benachrichtigung der Betroffenen rückt in den Blick.

Was mit Ihren Angaben geschieht

Die Meldung wird auf unserem Server abgelegt, nicht per E-Mail verschickt. Wir erhalten lediglich eine Benachrichtigung, dass eine neue Meldung vorliegt – mit Eingangsnummer, Zeitpunkt und der verbleibenden Frist, ohne jeden Inhalt.

Der Grund ist derselbe, den wir Mandanten nennen: Eine Vorfallschilderung ist heikel. Sie durch mehrere Mailserver zu schicken und dauerhaft in einem Postfach liegen zu lassen, wäre das Gegenteil dessen, was wir empfehlen.

Bitte tragen Sie deshalb keine Namen betroffener Personen ein und hängen Sie keine Dateien an. Für Einzelheiten rufen wir zurück.

Was danach passiert

Wir bewerten den Sachverhalt, halten die Fristen fest und sagen Ihnen, ob eine Meldung an die Aufsichtsbehörde erforderlich ist und ob die betroffenen Personen zu benachrichtigen sind. Ist eine Meldung nötig, begleiten wir sie.

Unabhängig vom Ergebnis gehört der Vorgang in Ihre interne Dokumentation – auch dann, wenn nicht gemeldet werden muss. Die Verordnung verlangt die Aufzeichnung jedes Vorfalls, gerade auch der nicht gemeldeten, samt der Begründung dieser Entscheidung.

Vorfall melden

Wenn keine Frist drängt, nutzen Sie das Formular unten. Läuft der Vorfall noch oder ist von den 72 Stunden bereits die Hälfte vergangen, greifen Sie zum Telefon.

• Telefon für dringende Fälle: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Was bei einem Datenschutzvorfall zu tun ist