einfach erklärt
WAS BEDEUTET EIGENTLICH ...
...Datenschutzvorfall?
Ein Datenschutzvorfall ist ein Ereignis, bei dem personenbezogene Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert, oder veröffentlich werden. Die DSGVO spricht offiziell von einer "Verletzung des Schutzes personenbezogener Daten", umgangssprachlich wird ein solcher Vorfall auch Datenpanne oder Datenschutzverletzung genannt. Entscheidend ist, dass personenbezogene Daten betroffen sind. Ein technischer Ausfall ohne Auswirkungen und auch ein Verlust von Unternehmensdaten sind nicht automatisch Datenschutzvorfälle nach der DSGVO.
Was sind typische Datenschutzvorfälle?
Ein Datenschutzvorfall kann auf verschiedenste Weisen entstehen. Einige der typischsten Ursachen für größere Datenschutzvorfälle sind:
- Cyberangriffe
- Phishing
- Ransomware
- Hacking
- technische Fehler
- Systemausfälle
- Speicherschäden
- Softwarefehler
- menschliche Fehler
- Verlust oder Beschädigung von Datenträgern
- Daten an falsche Personen übermitteln
- Daten offen liegen lassen oder falsch vernichten
Was ist nach einem Datenschutzvorfall zu tun?
Zunächst muss der Vorfall eingedämmt werden. Falsch versendete Unterlagen können beispielsweise zurückgerufen oder gelöscht, betroffene Konten gesperrt und kompromittierte Geräte vom Netzwerk getrennt werden. Gleichzeitig sollten Geschäftsführung, IT-Verantwortliche und der Datenschutzbeauftragte informiert werden.
Anschließend muss das Unternehmen feststellen:
- Welche Daten und Personen sind betroffen?
- Konnten Unbefugte auf die Daten zugreifen?
- Waren die Daten wirksam verschlüsselt?
- Welche möglichen Folgen bestehen für die betroffenen Personen?
- Welche Maßnahmen wurden bereits ergriffen?
Der gesamte Vorfall sowie die Risikobewertung und die getroffenen Maßnahmen müssen dokumentiert werden.
Wann besteht eine Meldepflicht?
Führt die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, muss der Verantwortliche sie unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsichtsbehörde melden. Fehlen noch Informationen, kann zunächst eine vorläufige Meldung eingereicht und später ergänzt werden.
Besteht voraussichtlich kein Risiko, ist keine Meldung an die Behörde vorgeschrieben. Bei einem voraussichtlich hohen Risiko müssen zusätzlich die betroffenen Personen unverzüglich und in klarer Sprache informiert werden. Eine pauschale Bewertung ist nicht möglich: Art und Sensibilität der Daten, Anzahl der Betroffenen, mögliche Schäden und vorhandene Schutzmaßnahmen müssen im Einzelfall berücksichtigt werden.
Unternehmen sollten deshalb einen festen Notfallprozess mit eindeutigen Meldewegen vorbereiten. Im konkreten Fall ist eine fachliche und gegebenenfalls rechtliche Prüfung sinnvoll, denn die 72-Stunden-Frist lässt wenig Zeit für ungeklärte Zuständigkeiten.