Datenpannen und die Meldepflicht

Modul 8: Wenn es schiefgeht · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie beurteilen, ob etwas eine Datenpanne ist, ob Sie sie innerhalb von 72 Stunden bei der zuständigen Datenschutzaufsichtsbehörde melden müssen und ob Sie die Betroffenen informieren müssen, und Sie können sie in einem internen Verzeichnis der Datenpannen festhalten.

Kernbegriffe: personenbezogene Daten, Datenpanne (Verletzung des Schutzes personenbezogener Daten), Verantwortlicher, Auftragsverarbeiter, DSGVO Artikel 33 und 34, Meldung bei der Datenschutzaufsichtsbehörde, 72 Stunden, Risiko und hohes Risiko, internes Verzeichnis der Datenpannen

Was ist eine Datenpanne?

Bei "Datenpanne" denken viele an Hacker, die eine Datenbank stehlen. Das ist eine Form davon. Die DSGVO verwendet eine breitere Umschreibung: eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt (Artikel 4 Nr. 12).

Personenbezogene Daten sind alle Daten über eine erkennbare Person: ein Name, eine E-Mail-Adresse wie jan.jansen@..., eine Telefonnummer, eine Adresse, eine Kundennummer mit Bestellverlauf, ein Foto, eine IP-Adresse in Kombination mit anderen Daten. Daten über ein Unternehmen als solches (Handelsregisternummer, allgemeine Adresse) sind das nicht, Daten über die Kontaktperson hingegen schon.

Damit sind dies alles Datenpannen:

• eine E-Mail mit einer Kundenliste, die an den falschen Empfänger geht;
• ein Newsletter, bei dem alle Empfänger sichtbar im An- oder CC-Feld stehen;
• ein verlorener USB-Stick oder Laptop mit Personaldaten, wenn dieser nicht verschlüsselt war;
• Ransomware, die die Kundenverwaltung verschlüsselt (die Daten sind dann nicht verfügbar, auch wenn nichts kopiert wurde);
• ein übernommenes Postfach, in dem Rechnungen mit Namen und Adressen stehen;
• ein geteilter Link zu einem Ordner mit Bewerbungsschreiben, der für jeden offensteht.

Das Wort "Verletzung der Sicherheit" zeigt, dass es nicht nur um Vertraulichkeit geht. Auch Verlust (die Daten sind weg) und Veränderung (jemand hat Kontonummern angepasst) zählen dazu.

Wer ist verantwortlich: Sie oder Ihr Dienstleister?

Die DSGVO kennt zwei Rollen.

• Der Verantwortliche bestimmt, warum und wie personenbezogene Daten verarbeitet werden. Für Ihre Kunden- und Personaldaten sind Sie das, als Unternehmer.
• Ein Auftragsverarbeiter verarbeitet Daten in Ihrem Auftrag: Ihr Hostingunternehmen, Ihr Buchhaltungsprogramm in der Cloud, Ihr Newsletter-Dienst, Ihr IT-Dienstleister.

Kommt es bei einem Auftragsverarbeiter zu einem Datenleck, muss dieser es Ihnen unverzüglich melden (Artikel 33 Absatz 2). Sie beurteilen dann, ob Sie es der Datenschutzaufsichtsbehörde und den Betroffenen melden müssen, und grundsätzlich melden Sie auch selbst (außer Sie haben vereinbart, dass der Auftragsverarbeiter das in Ihrem Namen übernimmt). Die Pflicht bleibt also bei Ihnen, auch wenn der Fehler bei jemand anderem lag. Deshalb stehen in einem Auftragsverarbeitungsvertrag (AVV) Vereinbarungen darüber, wie schnell und wie ein Auftragsverarbeiter Sie informiert (Lektion 7.2).

Die 72-Stunden-Uhr

Artikel 33 der DSGVO besagt, dass Sie eine Datenpanne unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen diese bekannt wurde, bei der zuständigen Datenschutzaufsichtsbehörde melden. Die Ausnahme: es ist unwahrscheinlich, dass die Panne ein Risiko für die Rechte und Freiheiten von Personen darstellt.

Vier Punkte werden häufig missverstanden:

1. Die Uhr beginnt, wenn Sie davon erfahren, nicht wenn die Panne geschah. "Davon erfahren" bedeutet: Sie sind sich hinreichend sicher, dass eine Verletzung vorliegt, bei der personenbezogene Daten betroffen sind. Eine kurze erste Bewertung ist erlaubt, aber wer bewusst wegschaut, verschiebt die Uhr nicht.
2. 72 Stunden sind 72 Stunden, auch am Wochenende und an Feiertagen. Entdecken Sie ein Leck am Freitag um 16:40 Uhr, dann ist die äußerste Frist Montag 16:40 Uhr.
3. Unvollständig melden ist erlaubt. Wissen Sie nach 72 Stunden noch nicht alles, melden Sie mit dem, was Sie wissen, und ergänzen später. Melden Sie später als nach 72 Stunden, müssen Sie die Verzögerung begründen (Artikel 33 DSGVO).
4. Es geht um das Risiko für Menschen, nicht um den Schaden für Ihr Unternehmen.

Entdeckt:  Freitag    16:40   -> Uhr beginnt
           Samstag             (zählt mit)
           Sonntag             (zählt mit)
Spätestens Montag     16:40   -> Meldung bei der Aufsichtsbehörde (eventuell unvollständig)

Die Meldung erfolgt in der Regel über das Online-Meldeformular der zuständigen Datenschutzaufsichtsbehörde; Einzelheiten nennt die jeweilige Behörde auf ihrer Website. Sie können die Meldung vorab vorbereiten. Sie geben unter anderem an, was geschah, wann, welche und wie viele Daten und Personen betroffen sind, welche Folgen zu erwarten sind und welche Maßnahmen Sie ergriffen haben. Hier zahlt sich das Logbuch aus Lektion 8.1 aus.

Wann melden und wann nicht: die Risikoabwägung

Sie beurteilen, wie wahrscheinlich und wie schwerwiegend die Folgen für die Betroffenen sind. Denken Sie an: Identitätsbetrug, finanziellen Schaden, Diskriminierung, Rufschädigung oder Verlust der Kontrolle über ihre Daten. Hilfreiche Fragen:

Zwei Beispiele, die oft wiederkehren:

• Verschlüsselter Laptop gestohlen, starkes Passwort, Schlüssel nicht geleakt, aktuelles Backup: wahrscheinlich kein Risiko. Nicht bei der Aufsichtsbehörde melden, aber in Ihrem Verzeichnis festhalten.
• Onlineshop gehackt, der Angreifer hat E-Mail-Adressen und schwach gespeicherte Passwörter erbeutet: Risiko, also melden. Und weil Menschen ihr Passwort häufig wiederverwenden (Lektion 1.4), besteht ein hohes Risiko: Betroffene informieren.

Sind Sie unsicher? Dann ist Melden meist die sichere Wahl. Auch die Datenschutzaufsichtsbehörden raten im Zweifel zum Melden. Neue Informationen teilen Sie später mit einer Folgemeldung mit.

Betroffene informieren: bei hohem Risiko

Artikel 34 betrifft die Menschen, deren Daten es sind. Stellt die Panne wahrscheinlich ein hohes Risiko dar, informieren Sie diese unverzüglich: so schnell wie vernünftigerweise möglich. Dafür gilt keine Frist von 72 Stunden, aber warten, bis alles geklärt ist, ist ebenfalls nicht der Sinn.

In der Nachricht steht in klarer Sprache, was geschah, was die wahrscheinlichen Folgen sind, was Sie unternehmen und was die Betroffenen selbst tun können (zum Beispiel ihr Passwort anderswo ändern, auf Phishing in Ihrem Namen achten, ihre Bank warnen), plus eine Kontaktperson.

Eine Information ist nicht erforderlich, wenn Sie geeignete Maßnahmen getroffen hatten, die die Daten unlesbar machen (wie eine gute Verschlüsselung), wenn Sie nachträglich Maßnahmen ergriffen haben, durch die das hohe Risiko nicht mehr wahrscheinlich ist, oder wenn dies einen unverhältnismäßigen Aufwand erfordern würde: dann machen Sie eine öffentliche Bekanntmachung (Artikel 34 Absatz 3).

Achtung: Phishing folgt häufig auf eine Datenpanne. Kriminelle wissen dann, wer Ihre Kunden sind, und senden eine E-Mail "von Ihnen". Warnen Sie Ihre Kunden auch davor.

Das interne Verzeichnis der Datenpannen: immer

Artikel 33 Absatz 5 verpflichtet Sie, jede Datenpanne festzuhalten, auch wenn Sie sie nicht melden. Halten Sie fest: die Fakten, die Folgen, die Maßnahmen und Ihre Abwägung (warum gemeldet oder nicht, warum informiert oder nicht). Die Form können Sie selbst wählen; die Datenschutzaufsichtsbehörden bieten Musterverzeichnisse an. Eine einfache Tabelle genügt:

Nr | Entdeckt (Datum/Uhrzeit) | Was geschah | Welche Daten, wie viele Menschen
   | Folgen | Maßnahmen | Bei der Aufsichtsbehörde gemeldet? (ja/nein + warum, Datum)
   | Betroffene informiert? (ja/nein + warum) | Abgeschlossen (Datum)

Das Verzeichnis hilft auch Ihnen selbst: sehen Sie dreimal im Jahr "E-Mail an falschen Empfänger", wissen Sie, wo Sie verbessern müssen (zum Beispiel eine Verzögerung beim Versenden, oder keine Kundenlisten mehr als Anhang, Lektion 7.3).

Datenpanne und BSI-Gesetz: zwei verschiedene Meldungen

Fällt Ihre Organisation unter das BSI-Gesetz (NIS-2-Umsetzungsgesetz, Lektion 9.1), gilt daneben eine Meldepflicht für erhebliche Sicherheitsvorfälle: eine erste Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats, über das Meldeportal des BSI. Das ist eine andere Meldung, mit einem anderen Zweck (die Kontinuität von Diensten) und bei einer anderen Stelle. Ein Ransomwareangriff kann also unter beide fallen. Die meisten kleinen Unternehmen fallen nicht unter das BSI-Gesetz; die DSGVO-Meldepflicht gilt hingegen für alle.

Diese Lektion bietet eine allgemeine Erläuterung und ist keine Rechtsberatung. Wenden Sie sich im Zweifel an die Website der zuständigen Datenschutzaufsichtsbehörde oder an einen Juristen.

Zusammenfassung

• Eine Datenpanne ist jede Verletzung, durch die personenbezogene Daten verloren gehen, sich verändern oder bei jemandem landen, der keinen Zugriff haben darf; auch eine E-Mail an den falschen Empfänger oder ein unverschlüsselter, verlorener Laptop.
• Melden bei der zuständigen Datenschutzaufsichtsbehörde: unverzüglich und möglichst binnen 72 Stunden nach Entdeckung, auch am Wochenende, außer wenn wahrscheinlich kein Risiko besteht. Unvollständig melden ist erlaubt.
• Betroffene informieren: unverzüglich, wenn wahrscheinlich ein hohes Risiko besteht.
• Kommt es bei Ihrem Auftragsverarbeiter zu einem Leck, muss dieser Sie informieren; die Entscheidung über die Meldung liegt bei Ihnen.
• Halten Sie jede Datenpanne in Ihrem internen Verzeichnis fest, mit Ihrer Abwägung.

Quiz

Aufgabe

Aufgabe A8.2: Berechnen Sie die Frist. Sie erhalten vier Entdeckungszeitpunkte. Tragen Sie pro Zeitpunkt das äußerste Datum und die äußerste Uhrzeit für die Meldung bei der Aufsichtsbehörde ein. Das Programm prüft es nach.

Aufgabe A8.2b: Melden oder nicht? Sie erhalten acht kurze Fälle. Wählen Sie pro Fall, ob Sie bei der Aufsichtsbehörde melden müssen, ob Sie die Betroffenen informieren müssen und ob Sie den Fall in Ihrem internen Verzeichnis festhalten. Das Programm prüft nach und gibt pro Fall die Erklärung.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• Datenschutzkonferenz, Übersicht der Landesdatenschutzbehörden: https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html
• BSI, IT-Sicherheitsvorfall melden: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html
• DSGVO (Verordnung (EU) 2016/679), Artikel 4, 33 und 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Europäischer Datenschutzausschuss (EDPB), Mitglieder und nationale Aufsichtsbehörden: https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• BSI, Allianz für Cyber-Sicherheit: https://www.allianz-fuer-cybersicherheit.de/