01
Die kurze Antwort
Verantwortliche und Auftragsverarbeiter sollten im Voraus Verfahren planen, um eine Verletzung schnell zu erkennen und einzudämmen, das Risiko für die betroffenen Personen zu bewerten und zu entscheiden, ob die Datenschutzbehörde benachrichtigt und der Vorfall den Betroffenen mitgeteilt werden muss.
Wenn Ihr Unternehmen als Auftragsverarbeiter handelt, bleiben drei Regeln fest: jede Verletzung dokumentieren, die Behörde innerhalb von 72 Stunden benachrichtigen, sofern das Risiko nicht unwahrscheinlich ist, und die Betroffenen ohne unangemessene Verzögerung informieren, wenn das Risiko hoch ist.
02
Was als Datenschutzverletzung gilt
Eine Verletzung des Schutzes personenbezogener Daten ist eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Es geht nicht nur um den Verlust von Daten: dazu gehören Vorfälle, die Vertraulichkeit, Integrität oder Verfügbarkeit betreffen, sei es versehentlich (eine E-Mail an den falschen Empfänger, ein verlorener USB-Stick) oder vorsätzlich, wie Phishing.
03
Die Schritte in der richtigen Reihenfolge
Schritte
- Den Vorfall erkennen und eindämmen, sobald er entdeckt wird
- Das konkrete Risiko für die betroffenen Personen bewerten
- Die Datenschutzbehörde innerhalb von 72 Stunden benachrichtigen, sofern das Risiko nicht unwahrscheinlich ist
- Die Betroffenen ohne unangemessene Verzögerung informieren, wenn das Risiko hoch ist
- Details, Bewertung, Auswirkungen und getroffene Maßnahmen immer dokumentieren, auch ohne Meldung
04
Ein hypothetisches Beispiel
Szenario: Ein Mitarbeiter eines KMU sendet versehentlich eine Kundenliste an einen falschen externen Empfänger. Das Team erkennt den Versand, sperrt den Zugriff auf die Datei, sofern möglich, und bewertet, ob die offengelegten Daten (Namen, Kontakte) ein Risiko für die Personen darstellen. Wenn das Risiko nicht ausgeschlossen werden kann, benachrichtigt das Unternehmen die Behörde innerhalb von 72 Stunden und prüft, ob die betroffenen Kunden informiert werden sollen, wobei jeder Schritt dokumentiert wird.
05
Präventions- und Kontrollmaßnahmen
- Eine eindeutige Kennung für jeden Benutzer und Authentifizierung für den Systemzugang
- Getrennte Berechtigungsprofile je nach tatsächlichem Bedarf
- Regelmäßige Überprüfung der Berechtigungen und Entfernung veralteter Rechte
- Verschlüsselung und Pseudonymisierung der Daten, wo möglich
- Eine eigene Sicherheitsrichtlinie für Telearbeit und persönliche Geräte (BYOD)
06
Was ein Unternehmen mit der Unterstützung eines Softwarepartners einrichten kann
Ein Unternehmen kann seinen Softwarepartner bitten, ein nachvollziehbares Vorfallsregister einzurichten, mit Feldern für Erkennungsdatum, Beschreibung, betroffene Personen, Risikobewertung und getroffene Maßnahmen. Getrennte Rollen (wer erkennt, wer bewertet, wer meldet) und ein einsehbarer Verlauf helfen, die erforderliche Dokumentationspflicht zu erfüllen, was jedoch eine operative Entscheidung bleibt, die mit dem zuständigen Fachmann festzulegen ist.
07
Häufig gestellte Fragen
Ist jeder Sicherheitsvorfall eine Datenschutzverletzung? Nein: Alle Verletzungen des Schutzes personenbezogener Daten sind Sicherheitsvorfälle, aber nicht jeder Sicherheitsvorfall betrifft personenbezogene Daten.
Muss man die Betroffenen immer informieren? Nein, nur wenn das Risiko für sie hoch ist; in manchen Fällen, etwa bei verschlüsselten Daten mit nicht kompromittierten Schlüsseln, ist eine individuelle Mitteilung nicht erforderlich, aber eine ebenso wirksame Information muss gewährleistet sein.
Muss auch eine nicht gemeldete Verletzung dokumentiert werden? Ja: Artikel 33 Absatz 5 verlangt die Dokumentation zumindest der wesentlichen Details, der Bewertung, der Auswirkungen und der getroffenen Maßnahmen.
08
Praktischer nächster Schritt
Erstellen Sie heute einen internen Verfahrensentwurf mit den fünf genannten Schritten und weisen Sie für jede Phase eine verantwortliche Person zu, um bei Bedarf ohne Zögern reagieren zu können.
FAQ
Häufig gestellte Fragen
Was ist der Unterschied zwischen einem Sicherheitsvorfall und einer Datenschutzverletzung?
Jede Verletzung des Schutzes personenbezogener Daten ist ein Sicherheitsvorfall, aber nicht jeder Sicherheitsvorfall betrifft personenbezogene Daten: Es kommt darauf an, was offengelegt oder beeinträchtigt wurde.
Innerhalb welcher Zeit muss eine Verletzung der Behörde gemeldet werden?
Innerhalb von 72 Stunden nach Entdeckung, sofern es nicht unwahrscheinlich ist, dass die Verletzung ein Risiko für die betroffenen Personen darstellt.
Muss die Verletzung immer den betroffenen Personen mitgeteilt werden?
Nur wenn das Risiko für sie hoch ist. In Fällen wie verschlüsselten Daten mit intakten Schlüsseln ist eine individuelle Mitteilung nicht zwingend, aber eine ebenso wirksame Information muss gewährleistet sein.
✓