Datenpannen und die Meldepflicht

Modul 8: Wenn es schiefgeht · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie beurteilen, ob etwas eine Datenpanne ist, ob Sie sie innerhalb von 72 Stunden bei der zuständigen Datenschutzaufsichtsbehörde melden müssen und ob Sie die Betroffenen informieren müssen, und Sie können sie in einem internen Verzeichnis der Datenpannen dokumentieren.

Kernbegriffe: personenbezogene Daten, Datenpanne (Verletzung des Schutzes personenbezogener Daten), Verantwortlicher, Auftragsverarbeiter, DSGVO Artikel 33 und 34, Meldeverfahren für Datenpannen, 72 Stunden, Risiko und hohes Risiko, internes Verzeichnis der Datenpannen

Was ist eine Datenpanne?

Bei dem Wort „Datenpanne" denken Menschen an Hacker, die eine Datenbank stehlen. Das ist eine Form davon. Die DSGVO verwendet eine breitere Beschreibung: eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmässig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt (Artikel 4 Nummer 12).

Personenbezogene Daten sind alle Daten über eine erkennbare Person: ein Name, eine E-Mail-Adresse wie jan.jansen@..., eine Telefonnummer, eine Adresse, eine Kundennummer mit Bestellverlauf, ein Foto, eine IP-Adresse in Kombination mit anderen Daten. Daten über ein Unternehmen als solches (Handelsregisternummer, allgemeine Adresse) sind das nicht, Daten über die Kontaktperson jedoch schon.

Damit sind all dies Datenpannen:

• eine E-Mail mit einer Kundenliste, die an den falschen Empfänger geht;
• ein Newsletter, bei dem alle Empfänger sichtbar im An- oder CC-Feld stehen;
• ein verlorener USB-Stick oder Laptop mit Personaldaten, wenn dieser nicht verschlüsselt war;
• Ransomware, die die Kundenverwaltung verschlüsselt (die Daten sind dann nicht verfügbar, auch wenn nichts kopiert wurde);
• ein übernommenes Postfach, in dem Rechnungen mit Namen und Adressen stehen;
• ein geteilter Link zu einem Ordner mit Bewerbungsschreiben, der für jeden offen zugänglich ist.

Der Begriff „Verletzung der Sicherheit" zeigt, dass es nicht nur um Vertraulichkeit geht. Auch Verlust (die Daten sind weg) und Veränderung (jemand hat Kontonummern angepasst) zählen.

Wer ist verantwortlich: Sie oder Ihr Dienstleister?

Die DSGVO kennt zwei Rollen.

• Der Verantwortliche bestimmt, warum und wie personenbezogene Daten verarbeitet werden. Für Ihre Kunden und Personaldaten sind Sie das, als Unternehmer.
• Ein Auftragsverarbeiter verarbeitet Daten in Ihrem Auftrag: Ihr Hostinganbieter, Ihre Buchhaltungssoftware in der Cloud, Ihr Newsletter-Dienst, Ihr IT-Dienstleister.

Kommt es bei einem Auftragsverarbeiter zu einem Vorfall, muss dieser es Ihnen ohne unangemessene Verzögerung melden (Artikel 33 Absatz 2). Sie beurteilen dann, ob Sie bei der Datenschutzaufsichtsbehörde und bei den Betroffenen melden müssen, und grundsätzlich melden Sie auch selbst (es sei denn, Sie haben vereinbart, dass der Auftragsverarbeiter dies in Ihrem Namen tut). Die Verpflichtung bleibt also bei Ihnen, auch wenn der Fehler bei einem anderen lag. Deshalb stehen in einem Auftragsverarbeitungsvertrag (AVV) Vereinbarungen darüber, wie schnell und wie ein Auftragsverarbeiter Sie informiert (Lektion 7.2).

Die 72-Stunden-Uhr

Artikel 33 der DSGVO besagt, dass Sie eine Datenpanne ohne unangemessene Verzögerung und, wenn möglich, binnen 72 Stunden bei der zuständigen Datenschutzaufsichtsbehörde melden, nachdem Sie davon Kenntnis erlangt haben. Die Ausnahme: Es ist nicht wahrscheinlich, dass die Panne ein Risiko für die Rechte und Freiheiten von Personen mit sich bringt.

Vier Punkte werden häufig falsch verstanden:

1. Die Uhr beginnt, sobald Sie davon wissen, nicht, als die Panne geschah. „Davon wissen" bedeutet: Sie sind sich vernünftigerweise sicher, dass eine Verletzung vorliegt, bei der personenbezogene Daten betroffen sind. Eine kurze erste Prüfung ist erlaubt, aber wer bewusst nicht hinschaut, verschiebt die Uhr nicht.
2. 72 Stunden sind 72 Stunden, auch am Wochenende und an Feiertagen. Entdecken Sie eine Panne am Freitag um 16:40 Uhr, ist die äusserste Frist Montag 16:40 Uhr.
3. Unvollständig melden ist erlaubt. Wissen Sie nach 72 Stunden noch nicht alles, melden Sie mit dem, was Sie wissen, und ergänzen Sie später. Melden Sie später als 72 Stunden, müssen Sie erklären, warum; die Datenschutzaufsichtsbehörde akzeptiert das nur in Ausnahmefällen.
4. Es geht um das Risiko für Menschen, nicht um den Schaden für Ihr Unternehmen.

Entdeckt:  Freitag    16:40   -> Uhr startet
           Samstag             (zählt mit)
           Sonntag             (zählt mit)
Spätestens Montag    16:40   -> Meldung bei der Aufsichtsbehörde (eventuell unvollständig)

Die Meldung erfolgt in der Regel über das Online-Meldeformular der zuständigen Datenschutzaufsichtsbehörde; Einzelheiten nennt die jeweilige Behörde auf ihrer Website. Die Aufsichtsbehörden stellen häufig einen Fragebogen bereit, mit dem Sie die Meldung vorab vorbereiten können. Sie geben unter anderem an, was geschah, wann, welche und wie viele Daten und Personen betroffen sind, was die Folgen sein könnten und welche Massnahmen Sie ergriffen haben. Hier zahlt sich das Logbuch aus Lektion 8.1 aus.

Wann melden und wann nicht: die Risikoabwägung

Sie beurteilen, wie wahrscheinlich und wie schwerwiegend die Folgen für die Betroffenen sind. Denken Sie an: Identitätsbetrug, finanziellen Schaden, Diskriminierung, Reputationsschaden, oder Verlust der Kontrolle über ihre Daten. Fragen, die helfen:

Zwei Beispiele, die häufig vorkommen:

• Verschlüsselter Laptop gestohlen, starkes Passwort, Schlüssel nicht geleakt, aktuelles Backup: wahrscheinlich kein Risiko. Keine Meldung bei der Aufsichtsbehörde, aber Dokumentation in Ihrem Verzeichnis.
• Onlineshop gehackt, der Angreifer hat E-Mail-Adressen und schwach gespeicherte Passwörter erbeutet: Risiko, also melden. Und weil Menschen ihr Passwort oft wiederverwenden (Lektion 1.4), besteht ein hohes Risiko: Betroffene informieren.

Zweifeln Sie? Dann ist Melden meist die sichere Wahl. Auch die Aufsichtsbehörden raten im Zweifel zur Meldung. Neue Informationen geben Sie später mit einer Folgemeldung durch.

Betroffene informieren: bei hohem Risiko

Artikel 34 betrifft die Personen, deren Daten es sind. Birgt die Panne wahrscheinlich ein hohes Risiko, informieren Sie diese unverzüglich: so schnell wie vernünftigerweise möglich. Dafür gilt keine Frist von 72 Stunden, aber warten, bis alles geklärt ist, ist auch nicht beabsichtigt.

In der Mitteilung steht in klarer Sprache, was geschah, was die wahrscheinlichen Folgen sind, was Sie tun und was die Betroffenen selbst tun können (zum Beispiel ihr Passwort anderswo ändern, auf Phishing in Ihrem Namen achten, ihre Bank warnen), plus eine Kontaktperson.

Informieren ist nicht nötig, wenn Sie geeignete Massnahmen ergriffen hatten, die die Daten unlesbar machen (wie eine gute Verschlüsselung), wenn Sie im Nachhinein Massnahmen ergriffen haben, durch die das hohe Risiko nicht mehr wahrscheinlich ist, oder wenn es einen unverhältnismässigen Aufwand erfordert: dann machen Sie eine öffentliche Bekanntmachung (Artikel 34 Absatz 3).

Beachten Sie: Phishing folgt häufig auf eine Datenpanne. Kriminelle wissen dann, wer Ihre Kunden sind, und senden eine E-Mail „von Ihnen". Warnen Sie Ihre Kunden auch davor.

Das interne Verzeichnis der Datenpannen: immer

Artikel 33 Absatz 5 verpflichtet Sie, jede Datenpanne zu dokumentieren, auch wenn Sie sie nicht melden. Dokumentieren Sie: die Fakten, die Folgen, die Massnahmen, und Ihre Abwägung (warum gemeldet oder nicht, warum informiert oder nicht). Die Form können Sie selbst wählen; viele Aufsichtsbehörden stellen ein Beispielverzeichnis bereit. Eine einfache Tabelle genügt:

Nr | Entdeckt (Datum/Uhrzeit) | Was geschah | Welche Daten, wie viele Menschen
   | Folgen | Massnahmen | Aufsichtsbehörde gemeldet? (ja/nein + warum, Datum)
   | Betroffene informiert? (ja/nein + warum) | Abgeschlossen (Datum)

Das Verzeichnis hilft auch Ihnen selbst: Sehen Sie dreimal im Jahr „E-Mail an falschen Empfänger", wissen Sie, wo Sie sich verbessern müssen (zum Beispiel eine Verzögerung beim Versand, oder keine Kundenlisten mehr als Anhang, Lektion 7.3).

Datenpanne und BSI-Gesetz: zwei unterschiedliche Meldungen

Fällt Ihre Organisation unter das BSI-Gesetz (NIS-2-Umsetzungsgesetz, Lektion 9.1), gilt zusätzlich eine Meldepflicht für erhebliche Sicherheitsvorfälle: eine erste Warnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats, über das BSI-Portal. Das ist eine andere Meldung, mit einem anderen Zweck (die Kontinuität von Diensten) und bei einer anderen Stelle. Ein Ransomware-Angriff kann also unter beide fallen. Die meisten kleinen Unternehmen fallen nicht unter das BSI-Gesetz; die DSGVO-Meldepflicht gilt jedoch für alle.

Diese Lektion bietet eine allgemeine Erläuterung und ist keine Rechtsberatung. Wenden Sie sich im Zweifel an die Website der zuständigen Datenschutzaufsichtsbehörde oder an einen Juristen.

Zusammenfassung

• Eine Datenpanne ist jede Verletzung, durch die personenbezogene Daten verloren gehen, sich verändern, oder bei jemandem landen, der keinen Zugriff haben darf; auch eine E-Mail an den falschen Empfänger oder ein unverschlüsselter Laptop, der verloren gegangen ist.
• Meldung bei der Aufsichtsbehörde: ohne unangemessene Verzögerung und wenn möglich binnen 72 Stunden nach Entdeckung, auch am Wochenende, ausser wenn wahrscheinlich kein Risiko besteht. Unvollständig melden ist erlaubt.
• Betroffene informieren: unverzüglich, wenn wahrscheinlich ein hohes Risiko besteht.
• Kommt es bei Ihrem Auftragsverarbeiter zu einer Panne, muss dieser Sie informieren; die Entscheidung über die Meldung liegt bei Ihnen.
• Dokumentieren Sie jede Datenpanne in Ihrem internen Verzeichnis, mit Ihrer Abwägung.

Quiz

Aufgabe

Aufgabe A8.2: Berechnen Sie die Frist. Sie erhalten vier Entdeckungszeitpunkte. Tragen Sie für jeden Zeitpunkt das späteste Datum und die späteste Uhrzeit für die Meldung bei der Aufsichtsbehörde ein. Das Programm überprüft es.

Aufgabe A8.2b: Melden oder nicht? Sie erhalten acht kurze Fälle. Wählen Sie pro Fall, ob Sie bei der Aufsichtsbehörde melden müssen, ob Sie die Betroffenen informieren müssen, und ob Sie es in Ihrem internen Verzeichnis der Datenpannen vermerken. Das Programm prüft es und gibt pro Fall die Erklärung.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Hilfe! Meine Website wurde gehackt. Wie kann ich das beheben/verhindern?
• Übersicht der Landesdatenschutzbehörden: https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html
• DSGVO (Verordnung (EU) 2016/679), Artikel 4, 33 und 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Europäischer Datenschutzausschuss (EDPB), Mitglieder und nationale Aufsichtsbehörden: https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• BSI, IT-Sicherheitsvorfall melden: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html
• BfDI, Anschriften der Datenschutzaufsichtsbehörden der Länder: https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html