Eine Datenschutzverletzung ist passiert: Was Sie in 72 Stunden tun müssen

Wann beginnen die 72 Stunden?

Hier passiert der häufigste Lesefehler. Die Frist beginnt, wenn der Verantwortliche von der Verletzung **erfährt**, nicht wenn sie geschah. Bei einem Leck, das vor Monaten entstand und heute bemerkt wurde, laufen die 72 Stunden ab heute.

Die praktische Folge: Eine Organisation ohne Erkennungsfähigkeit kann nicht fristgerecht melden — weil der Moment des Erfahrens entweder nie eintritt oder viel zu spät. Und genau das ist eine der Fragen in einer Prüfung: Wie und wann haben Sie die Verletzung bemerkt?

Welche Vorfälle gelten als Datenschutzverletzung?

Eine Verletzung liegt vor, wenn personenbezogene Daten unrechtmäßig durch andere erlangt werden. Diese Definition ist weiter als angenommen: nicht nur ein Angriff von außen, sondern auch eine an den falschen Empfänger gesendete E-Mail, ein verlorener unverschlüsselter Laptop, eine unbefugt heruntergeladene Kundenliste und in offenem Speicher vergessene Sicherungen fallen darunter.

In manchen Fällen — etwa beim Verlust eines verschlüsselten Geräts — lässt sich argumentieren, das Risiko habe sich nicht verwirklicht; diese Bewertung muss aber im Moment des Vorfalls getroffen und dokumentiert werden. Im Nachhinein zu sagen \"es war ohnehin nicht riskant\" ist ohne diese Dokumentation keine Verteidigung.

Was, wenn unser Dienstleister die Verletzung entdeckt?

Bemerkt Ihr Cloud-Anbieter, Softwarelieferant oder Ihr Callcenter eine Verletzung, ist er verpflichtet, Sie unverzüglich zu informieren. Die Frist beginnt weiterhin mit Ihrer Kenntnis, doch eine Verzögerung in dieser Kette entlastet Sie nicht: Eine Prüfung fragt, ob eine solche Meldepflicht zwischen Ihnen und dem Lieferanten schriftlich vereinbart war.

Deshalb enthalten Auftragsverarbeitungsverträge einen Satz: Die Partei, die von einer Verletzung erfährt, informiert die andere unverzüglich und in jedem Fall innerhalb von vierundzwanzig Stunden nach Kenntnisnahme schriftlich. Ohne diese Klausel liegen Ihre 72 Stunden faktisch in der Hand Ihres Lieferanten.

Kann man melden, solange Informationen fehlen?

Die Meldung kann in Stufen erfolgen. Können nicht alle Angaben zugleich geliefert werden, wird mit dem Vorhandenen gemeldet und der Rest nachgereicht, sobald er vorliegt. Das ist keine Ausnahme, sondern der vorgesehene Weg — lesen Sie die 72 Stunden als Zeit für die erste Meldung, nicht für den Abschluss der Untersuchung.

Konnte die Frist aus einem berechtigten Grund gar nicht eingehalten werden, werden die Gründe der Verzögerung zusammen mit der Meldung erläutert. Eine unerklärte Verzögerung wird schwerer bewertet als die Verzögerung selbst.

Wie informiert man Kundinnen und Kunden über eine Datenpanne?

Die Meldung an die Behörde und die Benachrichtigung der Betroffenen sind zwei getrennte Pflichten, und die zweite wird in den meisten Unternehmen übersprungen. Der Zweck beider ist derselbe: Menschen in die Lage zu versetzen, sich zu schützen. Der Text sollte deshalb wie eine Warnung klingen und nicht wie ein Rechtsdokument — welche Daten betroffen sind, welches Risiko daraus entsteht und was die Person tun sollte, klar gesagt.

Ist keine Kontaktadresse bekannt, kann die Benachrichtigung auf geeignetem Weg erfolgen, etwa durch eine Bekanntmachung auf der eigenen Website. Maßstab für die Eignung ist, ob die Nachricht eine reale Chance hat anzukommen; ein Link im Fußbereich erfüllt das nicht.

Wie bereitet man einen Notfallplan für Datenschutzverletzungen vor?

• Ein Reaktionsplan: wer entscheidet, wer meldet, wer die Kommunikation führt — namentlich schriftlich festgehalten.
• Erkennung: Zugriffsprotokolle, Warnungen bei ungewöhnlichen Downloads und regelmäßige Prüfung der Sicherungs- und Speicherberechtigungen.
• Eine Meldeklausel mit Frist in den Verträgen mit Auftragsverarbeitern.
• Ein Verzeichnis: welche Daten in welchem System liegen — der einzige Weg, den Umfang binnen 72 Stunden zu bestimmen.
• Vorbereitete Meldungen: eine interne Vorlage für das Behördenformular und ein Entwurf des Textes an die Betroffenen.

Wie hoch ist das Bußgeld bei einer Datenschutzverletzung?

Die Beträge werden jährlich angepasst, deshalb steht hier keine Zahl — bestätigen Sie den geltenden Betrag auf der Seite der Behörde. Wichtiger ist, woran das Bußgeld bemessen wird: nicht an der Verletzung selbst, sondern an der Angemessenheit der getroffenen Maßnahmen und daran, ob fristgerecht gemeldet wurde. Fristgerechte Meldung und dokumentierte Maßnahmen wirken zu Ihren Gunsten; Verschweigen wirkt gegen Sie.

Wenn ein Mitarbeiter die Daten geleakt hat, muss trotzdem gemeldet werden?

Ja. Ob die Quelle intern oder extern ist, ändert die Pflicht nicht; maßgeblich ist, dass personenbezogene Daten unrechtmäßig durch andere erlangt wurden. In diesem Fall läuft das Arbeitsrecht parallel, das ist aber ein eigenes Verfahren und kein Grund, die Meldung binnen 72 Stunden zu verzögern.

Muss gemeldet werden, wenn die geleakten Daten verschlüsselt waren?

Können Sie zeigen, dass die Verschlüsselung tatsächlich geschützt hat, fällt die Bewertung anders aus: Ist der Schlüssel nicht abgeflossen und war das Verfahren aktuell, lässt sich argumentieren, das Risiko habe sich nicht verwirklicht. Diese Bewertung muss jedoch im Moment getroffen und dokumentiert werden. Ein nachträgliches \"es war ja verschlüsselt\" wird in einer Prüfung ohne zeitnahe Dokumentation nicht akzeptiert.

Ab wie vielen Betroffenen muss gemeldet werden?

Die Zahl der Betroffenen ist keine Schwelle. Die Pflicht entsteht auch dann, wenn die Daten einer einzigen Person betroffen sind; die Zahl beeinflusst nur die Schwere und die Art der Benachrichtigung. \"Es waren nur wenige, melden wir es nicht\" ist der häufigste Fehler, der in einer Prüfung als Verschweigen gelesen wird.

“Die 72 Stunden sind Zeit für die erste Meldung, nicht für den Abschluss der Untersuchung.”