Hilfestellung für den Umgang mit Datenschutzvorfällen
Eine Datenschutzverletzung im Unternehmen sorgt oftmals für Unsicherheit und viel Arbeit.
Sollten Sie uns als Ihre externen Datenschutzbeauftragten außerhalb der gewöhnlichen Geschäftszeiten nicht erreichen können, finden Sie nachfolgend wichtige Informationen für den Notfall.
Drucken Sie sich deshalb die folgenden Informationen aus und legen sie griffbereit ab!
Binden Sie uns bei einer internen oder externen Kommunikation zu dem Vorfall über dsb-nord@ecovis.com / 0381 1288 490 direkt ein. Wir stimmen uns mit Ihnen schnellstmöglich ab!
Wann besteht Meldepflicht bei der Aufsichtsbehörde?
- Es besteht voraussichtlich ein Risiko für betroffene Personen
(z. B. Diskriminierung, Identitätsdiebstahl, Mobbing, Einschränkung oder Verlust der Privatsphäre, finanzielle Nachteile, Gefahr von Betrug, Gefahr des Missbrauchs von Daten etc.). - Das Risiko ist nicht abzuschätzen oder unbekannt.
Sind keine personenbezogenen Daten durch den Vorfall betroffen, ist dieser nicht der Aufsichtsbehörde zu melden. Gleichwohl ist diesem Sicherheitsvorfall nachzugehen und dem Vorgesetzen oder der Geschäftsleitung unverzüglich anzuzeigen.
Wie erfolgt die Risikobeurteilung?
Die Geschäftsführung hat – ggf. in Zusammenarbeit mit den Fachabteilungen – das Risiko des Datenschutzvorfalls objektiv einzuschätzen und zu dokumentieren. Dabei sind folgende Punkte zu beachten:
1. Identifizierung möglicher Risiken (Schäden)
Datenschutzverletzungen können physische, materielle und immaterielle Schäden verursachen. Zu den immateriellen Schäden zählen auch ungerechtfertigte Grundrechtsverletzungen.
Beispiele für solche Schäden sind:
- Verlust der Kontrolle über personenbezogene Daten,
- Diskriminierung,
- Identitätsdiebstahl oder Betrug,
- finanzielle Verluste
- unbefugte Aufhebung der Pseudonymisierung,
- Rufschädigung,
- körperliche Schäden infolge von Handlungen auf der Grundlage fehlerhafter oder offengelegter Daten.
2. Abschätzung der Eintrittswahrscheinlichkeit und Schwere des Schadens
3. Zuordnung zu Risikoabstufungen
Ein mögliches Risiko kann hierbei den Stufen
- „geringes Risiko“ – nicht meldepflichtig, nur interne Dokumentation,
- „Risiko“ – Meldepflicht bei der Aufsichtsbehörde und
- „hohes Risiko“ – Meldepflicht bei der Aufsichtsbehörde und Information der betroffenen Personen
zugeordnet werden.
Wie auch in vielen anderen Bereichen, in den Risikobeurteilungen vorgenommen werden müssen, bietet sich hierfür eine Risikomatrix an, die folgendermaßen aussehen kann:
Quelle: DSK Kurzpapier Nr. 18 – Risiko für die Rechte und Freiheiten natürlicher Personen, Stand 26.04.2018
Dabei sind ggf. bereits eingeleitete Schutzmaßnahmen zu berücksichtigen, die die Eintrittswahrscheinlichkeit oder die Schwere des Schadens effektiv reduziert haben.
Beispielfall:
Die Server des Unternehmens wurden durch Ransomware-Angriff verschlüsselt. Ein Zugriff auf die Systeme ist nicht mehr oder nur sehr eingeschränkt möglich. Auf den verschlüsselten Servern befinden sich personenbezogene Daten von Kunden und Mitarbeitern (keine besonders sensiblen Daten). Der Angriff wurde frühzeitig bemerkt. Die Analyse der Protokolle ergab eindeutig, dass keine Daten abgeflossen sind. Der Angreifer hatte nur Zugriff auf verschlüsselte personenbezogene Daten. Der Entschlüsselungsschlüssel wurde nicht beeinträchtigt. Durch vorhandene Sicherungskopie konnten die Daten einige Stunden nach dem Angriff wiederhergestellt werden.
Mögliche Folgen (Schäden) dieser Datenschutzverletzung sind die mangelnde Verfügbarkeit der Daten oder auch der Verlust der Kontrolle über die personenbezogenen Daten der betroffenen Personen.
Durch bereits vorher vorhandene technische Maßnahmen und der schnellen Reaktion konnten die Auswirkungen des Angriffs deutlich gemindert werden. Die Wahrscheinlichkeit des Eintritts von Schäden für betroffene Personen ist also als gering einzustufen. Auch die Schwere der Folgen könnte hier als überschaubar eingestuft werden, sodass man insgesamt zu dem Schluss kommen könnte, dass nur ein geringes Risiko für die Rechte und Freiheiten betroffener Personen durch die Datenschutzverletzung vorlag. In diesem Fall wäre lediglich eine interne Dokumentation, aber nicht auch eine Meldung an die Aufsichtsbehörde oder die Information der betroffenen Personen notwendig.
Folgende Faktoren sprechen in der Regel für ein (hohes) Risiko für betroffene Personen und damit für eine Meldepflicht bei der Aufsichtsbehörde und ggf. Information der betroffenen Personen:
- Daten können nicht wiederhergestellt werden (z. B. aufgrund von fehlender Sicherungskopie),
- besondere Datenkategorien (z. B. Gesundheitsdaten, biometrische Daten) oder höchst vertrauliche Daten (z. B. Kontodaten, Sozialversicherungsnummern, Ausweisnummern) sind betroffen,
- personenbezogene Daten sind einem nicht vertrauenswürdigen Dritten unverschlüsselt zugänglich geworden (z. B. durch Diebstahl eines Laptops,
- betroffen ist eine hohe Menge an Datensätzen oder eine große Anzahl von Personen,
- Daten von besonders schützenswerten Personengruppen (Kinder, Mitarbeiter) sind betroffen.
Welche Frist ist zu beachten?
Ein Datenschutzvorfall ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden durch das verantwortliche Unternehmen (nicht durch den Datenschutzbeauftragten) zu melden. Kann diese Frist nicht eingehalten werden, ist der Meldung eine Begründung hierfür beizufügen.
Wie kann bei Aufsichtsbehörde gemeldet werden?
Die Meldung ist an die zustände Aufsichtsbehörde des Bundeslandes zu senden, in dem sich der Unternehmenssitz befindet.
Die Behörden stellen entsprechende Online-Meldeformulare bereit. Für ausgewählte Bundesländer finden Sie nachfolgend die entsprechenden Meldeformulare:
Alternative Form der Meldung:
Eine bestimmte Form der Meldung ist nicht vorgesehen. Neben dem Online-Formular bieten die Behörden auch Kontaktadressen auf deren Webseiten an.
Was muss gemeldet werden?
Der Inhalt der Meldung kann den Online-Meldeformularen entnommen werden. Wenn diese nicht genutzt werden, so sind folgende Inhalte anzugeben:
- Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten,
- soweit möglich die Angabe der Kategorien betroffener Personen (z. B. Beschäftigte, Kunden, Gäste, Patienten, Websitebesucher, etc.)
- ungefähren Zahl der betroffenen Personen,
- der betroffenen Kategorien betroffener Datensätze (z.B. Namen, Adressdaten, Bankverbindungen, Gesundheitsdaten, etc.)
- ungefähren Zahl der betroffenen personenbezogenen Datensätze
- Namen und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen
- Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten
- Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
Abschließende Hinweise zur Meldung bei der Aufsichtsbehörde
- Auch die betroffenen Personen können sich bei der zuständigen Aufsichtsbehörde oder Polizei melden oder einen Schadenersatz bei Gericht beantragen. Wenn der Aufsichtsbehörde in diesen Fällen noch keine Meldung des Unternehmens vorliegt, kann dies nachteilige Auswirkungen (ggf. in Form eines Bußgeldes) haben. Es ist daher ratsam, auch bei Unsicherheit, ob der Datenschutzvorfall meldepflichtig ist oder nicht, vorsorglich eine Meldung abzugeben,
- Wenn Ihnen binnen 72 Stunden nach Kenntnisnahme des Vorfalls nicht alle in den Meldeformularen geforderten Informationen vorliegen, melden Sie trotzdem soweit Ihnen Informationen vorliegen. Neue Erkenntnisse können problemlos nachgemeldet werden. Bei einem gemeldeten Datenschutzvorfall ist die Aufsichtsbehörde ohnehin auf dem Laufenden zu halten.
- Scheuen Sie sich nicht aus Sorge vor einem möglichen Bußgeld vor einer Meldung an die Aufsichtsbehörde. Eine offene Kommunikation und proaktive Zusammenarbeit mit den Aufsichtsbehörden wirken sich erfahrungsgemäß günstiger aus als die Zurückhaltung von Informationen.
