Vorgehen bei einer Datenschutzverletzung (Datenpanne): Ein umfassender Leitfaden

Eine Verletzung des Schutzes personenbezogener Daten kann schwerwiegende Folgen haben und muss innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Dieser Artikel erläutert, was bei einer Datenschutzverletzung zu tun ist, wann eine Datenschutzverletzung gemeldet werden muss, wann die 72-Stunden-Frist beginnt und ob eine Meldepflicht auch bei nur einer betroffenen Person besteht.

Was ist zu tun, wenn personenbezogene Daten abhandenkommen?

Wird eine Verletzung des Schutzes personenbezogener Daten festgestellt – z. B. durch ein Datenleck, den Verlust von Datenträgern oder eine unbefugte Offenlegung – muss dies innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Eine Meldung ist nicht erforderlich, wenn die Verletzung kein erhebliches Risiko für die betroffenen Personen darstellt.

Vereine oder Unternehmen, die keinen Datenschutzbeauftragten benennen müssen, sollten trotzdem intern festlegen, wer für die Meldung an die Aufsichtsbehörde verantwortlich ist.

Wann muss eine Datenschutzverletzung gemeldet werden?

Eine Meldepflicht besteht, wenn mit hinreichender Wahrscheinlichkeit von einer Datenschutzverletzung auszugehen ist.

Ein vager Anfangsverdacht reicht nicht aus.
Eine vollständige Aufarbeitung darf nicht abgewartet werden.
Falls nachträglich weitere Informationen bekannt werden, können diese als „Folgemeldung“ nachgereicht werden.

Tipp: Die Aufsichtsbehörden bieten Online-Formulare zur Meldung an, z. B. das Formular der LDA Bayern.

Wann beginnt die 72-Stunden-Frist?

Die Frist beginnt ab 0:00 Uhr des Folgetages, an dem die Datenschutzverletzung festgestellt wurde.

Beispiel: Wird ein Vorfall am Donnerstag um 16:00 Uhr erkannt, läuft die Frist am Sonntag um 23:59 Uhr ab.
Wochenenden und Feiertage werden mitgezählt, nicht nur Arbeitstage.

Meldepflicht auch bei nur einer betroffenen Person?

Ja, denn das Risiko für die Rechte und Freiheiten bezieht sich immer auf jede einzelne betroffene Person.

Falls mindestens ein Risiko für den Betroffenen besteht, ist eine Meldung nach Art. 33 DSGVO erforderlich.
Bei einer größeren Anzahl von Betroffenen kann das Risiko zusätzlich steigen (z. B. bei einem Hackerangriff auf einen Online-Shop).

Weitere Informationen zum Risikobewertungsprozess bietet das DSK-Kurzpapier Risiko.

Beispiel für eine Datenpanne: Fehlversand einer E-Mail

Eine fehlerhafte Eingabe einer E-Mail-Adresse führte zu einem ungewollten Fehlversand. In diesem Fall wurde der Betroffene:

Persönlich informiert.
Die Aufsichtsbehörde in NRW nach Art. 33 DSGVO benachrichtigt.
Interne Prozesse überprüft, um solche Fehler künftig zu vermeiden.

Fazit

Schnelles Handeln ist entscheidend, um Datenschutzverletzungen korrekt zu melden.
Interne Zuständigkeiten sollten klar definiert sein.
Transparenz gegenüber Betroffenen hilft, das Vertrauen zu erhalten.

Tipps für die Praxis

Schulung der Mitarbeiter: Sensibilisieren Sie Ihre Mitarbeiter für den Umgang mit Datenschutzverletzungen und die Bedeutung des Datenschutzes. Regelmäßige Schulungen können helfen, das Bewusstsein für die rechtlichen Anforderungen zu schärfen.
Interne Richtlinien: Entwickeln Sie klare Richtlinien für den Umgang mit Datenschutzverletzungen. Diese Richtlinien sollten die rechtlichen Anforderungen abdecken und sicherstellen, dass alle Mitarbeiter die notwendigen Kenntnisse und Fähigkeiten besitzen.
Regelmäßige Überprüfung: Überprüfen Sie regelmäßig die Maßnahmen und Richtlinien zum Umgang mit Datenschutzverletzungen und passen Sie diese bei Bedarf an. Dies stellt sicher, dass Ihr Unternehmen den aktuellen Anforderungen entspricht und effektiv auf neue Entwicklungen reagieren kann.

Mögliche Fragen, die zu diesem Artikel führen könnten:

Was ist bei einer Datenschutzverletzung zu tun?
Wann muss eine Datenschutzverletzung gemeldet werden?
Wann beginnt die 72-Stunden-Frist für die Meldung einer Datenschutzverletzung?
Besteht eine Meldepflicht auch bei nur einer betroffenen Person?
Warum ist schnelles Handeln bei einer Datenschutzverletzung entscheidend?

Vorgehen bei einer Datenschutzverletzung (Datenpanne): Ein umfassender Leitfaden