Datenschutzverletzungen und Meldepflichten

Art. 4 Z 12 DSGVO erfasst eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten führt. Ebenfalls umfasst ist die unbefugte Offenlegung oder der unbefugte Zugang. Das Ereignis kann unbeabsichtigt oder rechtswidrig verursacht worden sein.

Ein falscher E-Mail-Empfänger ist daher ebenso zu prüfen wie ein Hackerangriff. Auch wenn ein Mitarbeiter eine Datei nur kurzzeitig an die falsche Person übermittelt hat oder ein Cloud-Konto für kurze Zeit offenstand kann eine Datenschutzverletzung vorliegen. Ob tatsächlich eine Meldepflicht besteht ist eine zweite Frage.

Der Begriff betrifft nicht nur digitale Systeme. Ein verlorener Papierakt, ein offen zugänglicher Ausdruck oder ein falsch versandter Brief können denselben Prüfprozess auslösen. Maßgeblich ist die konkrete Gefährdung der in den Daten beschriebenen Personen.

Die Uhrzeit der Kenntnis ist ein zentraler Ankerpunkt. Dokumentieren Sie, wann eine Person im Unternehmen erstmals von Tatsachen erfahren hat, die eine Datenschutzverletzung wahrscheinlich machen. Ein bloßer Verdacht ohne konkrete Anhaltspunkte ist davon zu unterscheiden. Sobald die maßgeblichen Informationen vorliegen beginnt die Organisation der Bewertung.

Sofortmaßnahmen sollen weiteren Schaden begrenzen. Dazu können die Sperre eines Kontos, die Rückholung einer Nachricht, die Trennung eines Systems oder die Sicherung von Protokollen gehören. Technische Maßnahmen sollten mit einer rechtlichen Zeitlinie verbunden werden. Eine spätere Analyse muss erkennen lassen, was wann bekannt war und weshalb eine Handlung gesetzt wurde.

Für die interne Koordination braucht es eine verantwortliche Person. Bei einem Auftragsverarbeiter muss dieser den Verantwortlichen ohne unangemessene Verzögerung informieren. Die Rollen und Abläufe bei Dienstleistern sollten deshalb bereits im Vertrag und im Incident-Prozess klar festgelegt sein.

Eine pauschale Regel wie jede Datenpanne müsse gemeldet werden ist falsch. Art. 33 DSGVO knüpft die Meldung an die Wahrscheinlichkeit eines Risikos für die Rechte und Freiheiten natürlicher Personen. Die Bewertung darf nicht nur auf die Anzahl der Datensätze schauen. Sensible Inhalte können auch bei wenigen Personen erheblich sein. Umgekehrt kann ein großer Datensatz durch starke Verschlüsselung anders zu beurteilen sein.

Prüfen Sie insbesondere die Art der Daten, den Umfang, die Zahl und den Kreis der betroffenen Personen sowie die möglichen Folgen. Fragen sind etwa ob Kontaktdaten für Betrug genutzt werden können, ob Gesundheitsdaten oder Informationen über finanzielle Verhältnisse betroffen sind und ob ein Empfänger die Daten tatsächlich lesen konnte. Auch die Dauer des Zugriffs und die vorhandenen Schutzmaßnahmen gehören in die Bewertung.

Die Entscheidung sollte eine nachvollziehbare Begründung enthalten. Das Unternehmen muss nicht jede denkbare Folge beweisen. Es muss aber zeigen können, welche Tatsachen berücksichtigt wurden und weshalb ein Risiko bejaht oder verneint wurde. Die erste Risikoeinordnung bei Datenpannen kann die Sammlung dieser Fragen strukturieren.

Ist ein Risiko wahrscheinlich muss der Verantwortliche die zuständige Aufsichtsbehörde ohne unangemessene Verzögerung informieren. Soweit möglich soll die Meldung spätestens 72 Stunden nach der Kenntnis erfolgen. Wird diese Zeit überschritten muss die Verzögerung begründet werden. Die Frist ist deshalb kein Anlass, mit der ersten Prüfung bis zum Abschluss der Forensik zu warten.

Eine erste Meldung darf auf dem gesicherten Zwischenstand beruhen. Fehlen einzelne Informationen können diese nachgereicht werden. Nach Art. 33 Abs 3 DSGVO gehören insbesondere die Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie bereits gesetzte oder geplante Gegenmaßnahmen in die Meldung. Außerdem ist eine Kontaktstelle für Rückfragen anzugeben.

Ob eine Meldung an die österreichische Datenschutzbehörde erforderlich ist hängt vom Sitz, der Zuständigkeit und der konkreten Verarbeitung ab. Unternehmen sollten den vorgesehenen Meldeweg der zuständigen Behörde verwenden. Eine interne Notiz mit dem Wort „gemeldet“ reicht nicht als Nachweis. Bewahren Sie die übermittelte Fassung und alle späteren Ergänzungen geordnet auf.

Die Benachrichtigung nach Art. 34 DSGVO ist von der Behördenmeldung zu unterscheiden. Sie kommt grundsätzlich in Betracht wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dann müssen betroffene Personen ohne unangemessene Verzögerung in klarer und einfacher Sprache informiert werden.

Eine Benachrichtigung kann entbehrlich sein wenn geeignete technische und organisatorische Maßnahmen das Risiko praktisch ausschließen. Das kann bei wirksamer Verschlüsselung eine Rolle spielen. Auch nachträgliche Maßnahmen können entscheidend sein wenn dadurch das hohe Risiko voraussichtlich nicht mehr besteht. Die Begründung gehört in die Dokumentation.

Die Nachricht sollte nicht nur den Vorfall nennen. Sie sollte die Kontaktstelle beschreiben und die wahrscheinlichen Folgen sowie die bereits ergriffenen Maßnahmen erklären. Wenn eine individuelle Benachrichtigung mit unverhältnismäßigem Aufwand nicht möglich ist kann eine öffentliche Information erforderlich sein. Die konkrete Gestaltung hängt vom Ereignis und von den betroffenen Personen ab.

Art. 33 Abs 5 DSGVO verpflichtet den Verantwortlichen zur Dokumentation jeder Datenschutzverletzung. Das gilt auch wenn nach der Risikobewertung keine Meldung an die Behörde erfolgt. Die Dokumentation muss den Sachverhalt die Auswirkungen und die ergriffenen Abhilfemaßnahmen enthalten. Sie soll der Aufsichtsbehörde ermöglichen die Einhaltung der Vorgaben zu überprüfen.

Praktisch bewährt sich eine einheitliche Akte mit Zeitlinie, betroffenen Systemen, Datenkategorien, Empfängern, Schutzmaßnahmen, Bewertung und Freigaben. Ergänzen Sie die Akte wenn neue Informationen hinzukommen. Ein Incident-Register darf nicht zum Ersatz für eine Einzelfallprüfung werden. Es soll Entscheidungen nachvollziehbar machen und wiederkehrende Schwachstellen sichtbar machen.

Die Datenschutz-Governance im Unternehmen sollte festlegen wer die technische Eindämmung steuert wer die rechtliche Bewertung freigibt und wer mit Dienstleistern sowie betroffenen Personen kommuniziert. Für die praktische Erstaufnahme hilft die Checkliste zur Dokumentation einer Datenpanne.

Fehler entstehen häufig nicht durch fehlendes Fachwissen sondern durch unklare Zuständigkeiten und eine lückenhafte Zeitlinie. Die folgenden Punkte sollten in jedem Incident-Prozess ausdrücklich adressiert werden.

Ein Unternehmen kann die Reaktionszeit verkürzen wenn die notwendigen Informationen bereits im laufenden Betrieb auffindbar sind. Dazu gehören aktuelle Kontaktwege, Rollenbeschreibungen, Dienstleisterlisten und ein Verfahren zur Sicherung technischer Protokolle. Die Vorbereitung muss zur Größe und zum Risiko der Verarbeitung passen.

Bei einer konkreten Datenpanne sind besonders die betroffenen Systeme, Datenfelder, Empfänger, Zugriffsdauer, Schutzmaßnahmen und Kommunikationsschritte festzuhalten. Bewahren Sie auch die Entscheidung auf warum eine Meldung oder Benachrichtigung nicht erforderlich war. So wird aus einer hektischen Einzelreaktion ein prüfbarer Vorgang.

Eine Datenschutzverletzung kann außerdem Hinweise auf ein strukturelles Problem geben. Nach der akuten Bearbeitung sollten Zugriffsrechte, Schulungen, Löschkonzepte und Verträge mit Dienstleistern überprüft werden. Die Begriffe Datenschutzverletzung und Meldung an die Aufsichtsbehörde sollten im Unternehmen einheitlich verwendet werden. Die Checkliste zur Datenpanne unterstützt die gemeinsame Dokumentation.