Bei einer Datenpanne, auch Datenschutzvorfall oder Datenschutzverletzung genannt, müssen Sie den Vorfall unverzüglich und möglichst innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden, es sei denn, er führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen (Art. 33 DSGVO). Besteht ein hohes Risiko, müssen Sie zusätzlich die Betroffenen benachrichtigen (Art. 34 DSGVO). Jede Datenpanne dokumentieren Sie intern, auch wenn sie nicht meldepflichtig ist.
Was ist ein Datenschutzvorfall nach der DSGVO?
Die DSGVO spricht von einer "Verletzung des Schutzes personenbezogener Daten". Im Alltag heißt das Datenpanne, Datenschutzvorfall oder Datenschutzverletzung. Gemeint ist jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang zu ihnen führt, ob unbeabsichtigt oder unrechtmäßig (Art. 4 Nr. 12 DSGVO). Betroffen sein kann die Vertraulichkeit, die Integrität oder die Verfügbarkeit der Daten.
Typische Datenpannen:
- E-Mail mit Kundendaten an den falschen Empfänger oder mit offenem Verteiler
- Verlorener oder gestohlener Laptop, USB-Stick oder Aktenordner
- Ransomware verschlüsselt Server, Daten sind nicht verfügbar oder abgeflossen
- Phishing: ein E-Mail-Postfach wird übernommen
- Falsch konfigurierter Cloud-Speicher ist öffentlich erreichbar
- Unbefugter Zugriff durch Beschäftigte auf Daten, die sie nicht brauchen
Sofortplan: Die ersten 72 Stunden
- Erkennen und intern melden: Beschäftigte melden Auffälligkeiten sofort an eine festgelegte Stelle.
- Eindämmen: Zugänge sperren, Passwörter ändern, Geräte vom Netz nehmen, Fehlversand zurückrufen und den Empfänger um Löschung bitten.
- Sachverhalt klären: Welche Daten, wie viele Personen, seit wann, welche Ursache?
- Risiko bewerten: Welche Folgen drohen den Betroffenen, und wie wahrscheinlich sind sie?
- Melden: an die Aufsichtsbehörde, wenn ein Risiko besteht.
- Benachrichtigen: die Betroffenen, wenn ein hohes Risiko besteht.
- Dokumentieren: Fakten, Auswirkungen, Maßnahmen und Ihre Entscheidung (Art. 33 Abs. 5 DSGVO).
Beziehen Sie Ihren Datenschutzbeauftragten von Anfang an ein.
Melden oder nicht? Die Risikobewertung
| Ergebnis der Bewertung | Aufsichtsbehörde | Betroffene | Dokumentation |
|---|---|---|---|
| Voraussichtlich kein Risiko | keine Meldung | keine Benachrichtigung | ja |
| Risiko | Meldung binnen 72 Stunden | keine Pflicht | ja |
| Hohes Risiko | Meldung binnen 72 Stunden | unverzügliche Benachrichtigung | ja |
Bewerten Sie Schwere und Eintrittswahrscheinlichkeit möglicher Folgen, etwa Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, Diskriminierung oder der Verlust der Vertraulichkeit von Berufsgeheimnissen (EG 85 DSGVO). Sensible Daten, Zugangsdaten, Bankdaten und große Zahlen von Betroffenen sprechen für ein hohes Risiko. Waren die Daten nach dem Stand der Technik verschlüsselt und ist der Schlüssel sicher, kann das Risiko gering sein. Im Zweifel melden Sie.
Art. 33 DSGVO: Die Meldung an die Aufsichtsbehörde
Frist: unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde. Bekannt ist sie, sobald Sie mit hinreichender Sicherheit wissen, dass ein Vorfall personenbezogene Daten betrifft. Wochenenden und Feiertage verlängern die Frist nicht. Melden Sie später, müssen Sie die Verzögerung begründen.
Inhalt (Art. 33 Abs. 3 DSGVO):
- Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
- wahrscheinliche Folgen
- ergriffene oder vorgeschlagene Maßnahmen zur Behebung und zur Abmilderung
Fehlen noch Informationen, melden Sie fristgerecht und reichen den Rest schrittweise nach (Art. 33 Abs. 4 DSGVO).
Geplante Änderung: Die EU-Kommission hat mit dem sogenannten Digital Omnibus vorgeschlagen, die Meldefrist auf 96 Stunden zu verlängern und die Meldung an die Behörde auf Fälle mit hohem Risiko zu beschränken. Das ist noch kein geltendes Recht. Bis zu einer Änderung der DSGVO gelten 72 Stunden und die Meldepflicht schon bei einfachem Risiko.
Zuständig ist die Aufsichtsbehörde Ihres Sitzlandes. Für Unternehmen in Bayern ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Die meisten Behörden bieten ein Online-Formular an. Die Wege zu den Behörden und eine Hilfe für die ersten Stunden finden Sie unter Datenpanne melden.
Art. 34 DSGVO: Die Benachrichtigung der Betroffenen
Bei voraussichtlich hohem Risiko benachrichtigen Sie die betroffenen Personen unverzüglich, in klarer und einfacher Sprache. Die Nachricht enthält die Art der Verletzung, den Kontakt zum DSB oder einer Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen (Art. 34 Abs. 2 DSGVO). Geben Sie konkrete Empfehlungen, etwa Passwörter zu ändern oder Kontoauszüge zu prüfen.
Die Benachrichtigung entfällt (Art. 34 Abs. 3 DSGVO), wenn
- die Daten durch Maßnahmen wie Verschlüsselung für Unbefugte unzugänglich waren,
- Sie durch nachfolgende Maßnahmen sichergestellt haben, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht,
- die Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde. Dann informieren Sie öffentlich, etwa auf Ihrer Website.
Die Aufsichtsbehörde kann die Benachrichtigung anordnen, wenn Sie selbst davon abgesehen haben (Art. 34 Abs. 4 DSGVO).
Pflichten des Auftragsverarbeiters
Passiert die Panne bei einem Dienstleister, meldet dieser sie unverzüglich Ihnen, nicht der Behörde (Art. 33 Abs. 2 DSGVO). Die Meldung an die Aufsichtsbehörde bleibt Ihre Aufgabe. Regeln Sie im Auftragsverarbeitungsvertrag kurze Meldefristen und die Unterstützung bei der Aufklärung.
Was passiert, wenn eine Datenpanne nicht gemeldet wird?
- Bußgeld: Verstöße gegen Art. 33 und 34 DSGVO können mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO). Erfährt die Behörde auf anderem Weg von der Panne, etwa durch eine Beschwerde, wirkt sich die fehlende Kooperation bei der Bemessung aus (Art. 83 Abs. 2 lit. f und h DSGVO).
- Schadensersatz: Betroffene, die nicht gewarnt wurden und deshalb einen Schaden erleiden, können Ersatz verlangen (Art. 82 DSGVO).
- Vertrauensverlust: Pannen, die erst später öffentlich werden, schaden dem Ruf meist mehr als eine offene Kommunikation.
Das BDSG schützt Meldende vor Selbstbelastung: Eine Meldung nach Art. 33 oder eine Benachrichtigung nach Art. 34 DSGVO darf in einem Straf- oder Bußgeldverfahren gegen den Meldepflichtigen oder seine Angehörigen nur mit seiner Zustimmung verwendet werden (§ 42 Abs. 4, § 43 Abs. 4 BDSG).
Beispiele
Offener E-Mail-Verteiler an 300 Kunden: Die E-Mail-Adressen wurden gegenseitig offengelegt. In der Regel besteht ein Risiko, also Meldung an die Behörde. Eine Benachrichtigung ist meist nicht nötig, wenn keine sensiblen Zusammenhänge erkennbar sind.
E-Mail mit Gehaltsabrechnung an den falschen Empfänger: Gehaltsdaten sind vertraulich und enthalten oft Bankverbindung und Steuerdaten. In der Regel besteht ein Risiko, also Meldung an die Behörde. Bitten Sie den Empfänger schriftlich um Löschung und dokumentieren Sie seine Bestätigung.
Gestohlener Laptop mit vollständig verschlüsselter Festplatte: Wenn der Schlüssel nicht kompromittiert ist, ist oft kein Risiko gegeben. Sie dokumentieren den Vorfall intern.
Ransomware mit Datenabfluss bei einer Arztpraxis: Gesundheitsdaten, hohes Risiko. Meldung an die Behörde und Benachrichtigung der Patienten.
Was gehört in die interne Dokumentation?
Art. 33 Abs. 5 DSGVO verlangt, dass Sie alle Verletzungen dokumentieren, damit die Aufsichtsbehörde prüfen kann, ob Sie Ihre Pflichten erfüllt haben. Halten Sie mindestens fest:
- Datum und Uhrzeit des Vorfalls und des Bekanntwerdens
- Beschreibung, was passiert ist und welche Daten und Personen betroffen sind
- Ergebnis der Risikobewertung mit Begründung
- Entscheidung über Meldung und Benachrichtigung, mit Datum
- ergriffene Maßnahmen zur Eindämmung und zur Vorbeugung
- beteiligte Personen und Dienstleister
Diese Dokumentation ist auch Ihr wichtigster Nachweis, wenn Betroffene später Schadensersatz verlangen.
Vorbereitung ist alles
- Meldeweg und Verantwortliche festlegen, auch für Wochenenden.
- Vorlagen für Meldung, Benachrichtigung und interne Dokumentation bereithalten.
- Beschäftigte in einer Datenschutzschulung darauf vorbereiten, Vorfälle sofort zu melden.
- Kontaktdaten von DSB, IT-Dienstleister und Aufsichtsbehörde griffbereit halten.
- Je nach Branche weitere Meldepflichten prüfen, etwa gegenüber dem BSI oder der Finanzaufsicht.