Das Sprichwort „Wo Menschen arbeiten, passieren Fehler.“ lässt sich auf die Verarbeitung von Daten übertragen, nämlich „Wo Daten verarbeitet werden, kommt es zu Datenpannen.“ Doch wie geht man als Unternehmen damit um? Oberstes Ziel: Die Panne beheben. Doch wie und gibt es Vorgaben zu erfüllen?

Pflichten aus der DSGVO

Die DSGVO sieht für Datenpannen mehrere Pflichten vor:

Meldepflicht

Die Datenpanne ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie dem Verantwortlichen bekannt wurde, zu melden. Eine Ausnahme gilt nur für den Fall, dass die Datenpanne voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Sind Sie Auftragsverarbeiter muss zudem eine unverzügliche Meldung an den Verantwortlichen erfolgen. Idealerweise stimmen Sie sich mit diesem zur Meldung des Verstoßes bei der Aufsichtsbehörde ab.

Mindestinhalt der Meldung

  • eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und ungefähren Zahl der betroffenen personenbezogenen Datensätze;
  • den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
  • eine Beschreibung der wahrscheinlichen Folgen der Datenpanne
  • eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen

Dokumentationspflicht:

Datenpannen sind zu dokumentieren! Hierbei sollten konkret, alle im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen dokumentiert werden. Die Aufsichtsbehörde soll anhand der Dokumentation die Überprüfung des ordnungsgemäßen Handlings ermöglichen.

Tipps für die Praxis:

Entwickeln Sie einen Standardprozess, um für den Fall der Fälle vorbereitet zu sein. Zur raschen und korrekten Meldung eines Datenlecks empfiehlt es sich, einen Prozess ähnlich einem Brandschutzplan aufzusetzen und diesen wie einen Feueralarm einzuüben. Die Verantwortlichkeiten im Unternehmen zwischen IT, Management, Rechtsabteilung (oder Rechtsbeistand) sowie dem Datenschutzbeauftragten sollten festgeschrieben werden, Checklisten vorgehalten werden. Fehlende Prozesse oder eine ausgebliebene/erst weit nach den vorgegeben 72 Stunden erfolgte Meldung können zu erheblichen Bußgeldern führen.

Hüten Sie sich vor der Verwendung von Standardschreiben! Jede – nennenswerte und damit meldepflichtige – Datenpanne hat ihre Besonderheiten. Diese sollten im Rahmen der Meldung und auch im Rahmen des Umgangs mit der Panne sorgfältig aufgearbeitet und sowohl bei der Behebung der Panne als auch der Meldung berücksichtigt werden. Nur so lassen sich weitreichende Schäden bei den Beteiligten vermeiden.

Autor: Yvonne Quad

Ihr Unternehmen hat noch keinen „Data Breach“-Konzept und Sie brauchen Unterstützung bei der Entwicklung eines solchen? Wir unterstützen Sie hierbei gern.