Mann zeigt auf Netzwerk
© Pete Linforth/Pixabay

Überblick

Technisch-organisatorische Aspekte von Datenschutzverletzungen

Bei der Verarbeitung personenbezogener Daten kann die Sicherheit der Daten verletzt werden. Führt eine solche Verletzung

  • zur unbeabsichtigten oder unrechtmäßigen Vernichtung,
  • zum Verlust oder zur Veränderung personenbezogener Daten
  • oder zu deren unbefugten Offenlegung beziehungsweise zu einem unbefugten Zugang,

so handelt es sich aus datenschutzrechtlicher Sicht um eine sogenannte Verletzung des Schutzes personenbezogener Daten, kurz um eine Datenschutzverletzung. Datenschutzverletzungen können sowohl vorsätzlich herbeigeführt werden, etwa im Falle von Ransomware-Angriffen oder Phishing, oder unbeabsichtigt geschehen, etwa als Folge des Fehlversands von E-Mails oder infolge der Fehlkonfigurationen einer Webanwendung.

Abhängig von den konkreten Gegebenheiten einer Datenschutzverletzung ergeben sich unterschiedliche Risiken für diejenigen Personen, deren Daten von dem Vorfall betroffen sind. Hieraus resultiert für den Verantwortlichen entsprechender Handlungsbedarf.

In jedem Fall muss der Verantwortliche die Verletzung dokumentieren. Die Dokumentation muss mindestens alle im Zusammenhang mit der Verletzung stehenden Fakten und deren Auswirkungen sowie ergriffenen Abhilfemaßnahmen beinhalten. Außerdem muss der Verantwortliche Risiken für betroffene Personen betrachten und dokumentieren.

Kommt es bei einem Dienstleister (Auftragsverarbeiter) zu einer Verletzung, so muss er den Verantwortlichen darüber unverzüglich informieren.

Meldung an die Aufsichtsbehörde

Der Verantwortliche muss eine Datenschutzverletzung der zuständigen Datenschutzaufsichtsbehörde melden. Eine Meldung kann nur unterbleiben, falls die zugehörige Risikobetrachtung ergeben hat, dass die Verletzung nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Im Falle der Meldepflicht muss eine Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Hierdurch soll die Aufsichtsbehörde in die Lage versetzt werden, bei Bedarf möglichst zeitnah nach dem Vorfall zu reagieren. Wenn der Verantwortliche diese Frist nicht einhalten kann, muss er die Verzögerung begründen.

Eine erste Meldung muss dabei nicht vollständig sein. Noch fehlende Informationen können ohne unangemessene weitere Verzögerung schrittweise bereitgestellt werden. Daher sind fehlende Informationen keine valide Begründung für eine verspätete Erstmeldung.

Parallel zur Meldung muss der Verantwortliche geeignete Maßnahmen ergreifen, um den Vorfall zu beenden, negative Folgen abzumildern und Risiken für die Betroffenen zu verringern. Auch ist die Risikobewertung fortlaufend an neue Erkenntnisse anzupassen.

Eine Meldung muss zumindest eine Beschreibung des Vorfalls, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder geplante Maßnahmen enthalten. Zudem muss der Verantwortliche eine Kontaktstelle für die Aufsichtsbehörde nennen. Die Art und der Verlauf des Vorfalls sollten möglichst präzise geschildert werden, ein bloßes Stichwort wie „Phishing“ genügt nicht. Insgesamt sollte die Meldung die zuständige Aufsichtsbehörde nach Möglichkeit in die Lage versetzen, sich einen umfassenden und vollständigen Überblick über den Vorfall und dessen Folgen zu verschaffen. Dies gilt insbesondere hinsichtlich der Risiken, die sich für betroffene Personen daraus ergeben.

Information betroffener Personen

Erkennt der Verantwortliche ein hohes Risiko für betroffene Personen in Folge der Datenschutzverletzung, muss er diese im Regelfall unverzüglich in klarer und einfacher Sprache darüber informieren. Eine solche Benachrichtigung beschreibt die Art der Verletzung und enthält neben einer Kontaktstelle zumindest Informationen über wahrscheinliche Folgen und ergriffene oder geplante Maßnahmen. Dies versetzt Betroffene in die Lage, ihrerseits auf den Vorfall zu reagieren und ggf. eigene Maßnahmen zu ergreifen.

Behandlung durch den HBDI

Der HBDI erfasst und bewertet die Meldung, stellt Rückfragen und kann auch aufsichtsbehördliche Maßnahmen ergreifen. Bei der Bearbeitung der Meldung stehen für den HBDI die folgenden Punkte im Mittelpunkt:

  • Sachverhaltsschilderung: Eine detaillierte Schilderung des Vorfalls ist eine unverzichtbare Grundlage für alle weiteren Aktivitäten und Schritte. Eine unzureichende Schilderung führt zu Rückfragen und erschwert dem HBDI die Abschätzung des Vorfalls.
  • Risikoabschätzung: Eine aussagekräftige Risikobetrachtung ist eine zentrale Voraussetzung für die Auswahl und Umsetzung angemessener Maßnahmen. Außerdem kann der HBDI anhand einer solchen Betrachtung bewerten, ob eine Information der Betroffenen nach Art. 34 DS-GVO erforderlich ist.
  • Technische und organisatorische Maßnahmen: Verantwortliche müssen angemessene Maßnahmen zur Beendigung des Vorfalls, zur Abmilderung der negativen Folgen und zur Vorbeugung einer Wiederholung ergreifen. Eine umfassende und begründete Beschreibung der ergriffenen Maßnahmen ermöglicht dem HBDI eine entsprechende Bewertung.
  • Benachrichtigung der Betroffenen: Im Falle eines hohen Risikos für die Betroffenen muss der Verantwortliche diese im Regelfall unverzüglich informieren. Zur Prüfung benötigt der HBDI daher konkrete Angaben zu Zeitpunkt, Art und Umfang erfolgter Benachrichtigungen.

Die Verantwortung für Aufklärung und Behandlung des Vorfalls bleibt beim Verantwortlichen.

Für Meldungen nach Art. 33 DS-GVO stellt der HBDI auf seiner Website ein Meldeformular zum Download bereit.

Weiterführende Informationen

ZUM SEITENANFANG