Handelt es sich hierbei um eine Datenpanne und muss ich diese melden?

Als Unternehmer sind Sie für die personenbezogenen Daten Ihrer Kunden und Mitarbeiter verantwortlich. In der DSGVO werden Sie dann als Verantwortlicher bezeichnet. Hier erfahren Sie, wann etwas eine Datenschutzverletzung ist, wann Sie sie melden müssen und was Sie sofort tun sollten. Dies ist eine allgemeine Erläuterung und keine Rechtsberatung; bei Zweifeln schauen Sie auf der Website der Autoriteit Persoonsgegevens (AP) nach oder fragen Sie einen Juristen.

Was ist eine Datenschutzverletzung?

Nach der DSGVO, dem europäischen Datenschutzgesetz, handelt es sich dabei um eine Verletzung der Sicherheit, die dazu führt, dass personenbezogene Daten verloren gehen, vernichtet oder verändert werden, oder bei jemandem landen, der keinen Zugriff darauf haben darf (Artikel 4, Nummer 12). Personenbezogene Daten sind Angaben über eine identifizierbare Person, wie ein Name, eine E-Mail-Adresse, eine Adresse oder eine Bestellhistorie. Es geht also nicht nur um Hacker. Beispiele:

• eine E-Mail oder ein Anhang mit personenbezogenen Daten, die an den falschen Empfänger geht;
• ein verlorener oder gestohlener Laptop, ein Telefon oder ein USB-Stick mit personenbezogenen Daten, die nicht verschlüsselt waren;
• ein gehacktes Postfach, in dem Rechnungen, Angebote oder Bewerbungsschreiben liegen;
• eine Website oder ein Webshop, aus dem Kundendaten gestohlen wurden;
• Ransomware, durch die Sie keinen Zugriff mehr auf Ihre Kundenverwaltung haben, auch wenn nichts kopiert wurde.

Die ersten Schritte

1. Stoppen Sie das Datenleck. Bitten Sie den falschen Empfänger, die E-Mail zu löschen und dies zu bestätigen. Ändern Sie das Passwort eines übernommenen Postfachs von einem Gerät aus, dem Sie vertrauen (siehe Sichere Passwörter und was Sie bei einem geleakten Passwort tun).
2. Erfassen Sie, was passiert ist. Was ist die Ursache, wann begann es, um welche Daten handelt es sich, von wie vielen Personen, wer hat Zugriff darauf und waren die Daten verschlüsselt? Schreiben Sie alles auf, mit Datum und Uhrzeit.
3. Schätzen Sie das Risiko ein für die Personen, deren Daten betroffen sind (siehe unten).
4. Melden Sie es bei der AP, falls erforderlich, innerhalb von 72 Stunden.
5. Informieren Sie die Betroffenen, wenn das Risiko für sie hoch ist.
6. Tragen Sie es in Ihr Datenschutzverletzungsregister ein. Das tun Sie immer.

Muss ich bei der Autoriteit Persoonsgegevens melden?

Sie melden eine Datenschutzverletzung ohne unangemessene Verzögerung und möglichst innerhalb von 72 Stunden, nachdem Sie sie entdeckt haben. Das ist nicht erforderlich, wenn voraussichtlich kein Risiko für die Personen besteht, deren Daten betroffen sind (Artikel 33 DSGVO).

• Die Frist beginnt, sobald Sie es wissen, nicht, als das Datenleck passierte. Das Wochenende zählt mit: Entdecken Sie es am Freitag um 16:40 Uhr, melden Sie es spätestens am Montag um 16:40 Uhr.
• Unvollständig melden ist erlaubt. Wissen Sie nach 72 Stunden noch nicht alles, melden Sie mit dem, was Sie wissen, und ergänzen Sie die Meldung später.
• Nur online. Sie melden über das Meldeformular der AP, nicht per Telefon, E-Mail oder Post. Mit dem Fragebogen der AP bereiten Sie die Meldung vor.
• Sind Sie unsicher? Die AP rät, im Zweifel trotzdem zu melden.

Diese Fragen helfen bei der Abwägung:

Ein Beispiel: Wird ein gut verschlüsselter Laptop gestohlen, besteht wahrscheinlich kein Risiko. Eine Meldung ist dann nicht erforderlich, aber Sie tragen es dennoch in Ihr Register ein. Bei einem unverschlüsselten Laptop kann der Finder alles lesen; dann besteht in der Regel ein Risiko.

Wann informieren Sie die Betroffenen?

Stellt die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Personen dar, deren Daten betroffen sind, informieren Sie diese unverzüglich (Artikel 34 DSGVO). Erklären Sie in einfacher Sprache, was passiert ist, welche Folgen es haben kann, was Sie tun und was die Betroffenen selbst tun können, etwa ein Passwort ändern oder verstärkt auf Phishing in Ihrem Namen achten.

Das ist nicht erforderlich, wenn die Daten durch gute Verschlüsselung unleserlich waren, oder wenn Sie anschließend Maßnahmen ergriffen haben, durch die das hohe Risiko nicht mehr wahrscheinlich ist. Erfordert es einen unverhältnismäßigen Aufwand, alle zu erreichen, geben Sie eine öffentliche Mitteilung heraus.

Das Datenschutzverletzungsregister: immer führen

Jede Datenschutzverletzung halten Sie fest, auch wenn Sie sie nicht melden (Artikel 33 Absatz 5). Notieren Sie die Fakten, die Folgen, die Maßnahmen und Ihre Abwägung: warum Sie gemeldet oder nicht gemeldet haben und warum Sie die Betroffenen informiert oder nicht informiert haben. Die AP stellt ein Beispiel-Datenschutzverletzungsregister zur Verfügung.

Und wenn das Datenleck bei einem Dienstleister liegt?

Ihr Hostinganbieter, Ihre Buchhaltungssoftware in der Cloud oder Ihr Newsletterdienst gilt nach der DSGVO als Auftragsverarbeiter: eine Partei, die personenbezogene Daten in Ihrem Auftrag verarbeitet. Ein Auftragsverarbeiter muss Sie ohne unangemessene Verzögerung informieren, wenn er eine Datenschutzverletzung entdeckt (Artikel 33 Absatz 2). Anschließend beurteilen Sie, ob Sie melden müssen, und grundsätzlich melden Sie auch selbst.

Das gilt auch, wenn WebOké Ihr Auftragsverarbeiter ist. Vermuten Sie, dass das Datenleck bei uns liegt, zum Beispiel auf unseren Servern? Kontaktieren Sie uns dann sofort über ein Ticket im Support-Center mit Angaben dazu, was Sie beobachtet haben und wann.

Weiterführende Informationen

• WebOké Backups: ein Backup ansehen, wiederherstellen oder herunterladen
• Autoriteit Persoonsgegevens: melden oder nicht melden
• Autoriteit Persoonsgegevens: so melden Sie eine Datenschutzverletzung
• Autoriteit Persoonsgegevens: Fragebogen des Meldeformulars
• Autoriteit Persoonsgegevens: Beispiel-Datenschutzverletzungsregister
• Die DSGVO, Artikel 4, 33 und 34 (EUR-Lex)