Freitag, 17:04 Uhr. Ein Mitarbeiter öffnet den Anhang einer täuschend echten E-Mail. Kurz darauf sind Kundendaten verschlüsselt. Ab dem Moment, in dem Ihr Unternehmen davon Kenntnis hat, läuft eine Frist: In der Regel müssen Sie die Datenpanne unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden.
Was ist eine Datenpanne?
Die DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten. Gemeint ist jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12 DSGVO). Typische Beispiele:
- eine E-Mail mit Kundendaten an den falschen Empfänger
- ein verlorener Laptop oder USB-Stick ohne Verschlüsselung
- ein Phishing- oder Ransomware-Angriff
- ein offener Verteiler mit sichtbaren E-Mail-Adressen
Die fünf Schritte
1. Erkennen und dokumentieren
Halten Sie fest, was passiert ist, welche Daten betroffen sind und wie viele Personen. Notieren Sie vor allem den Zeitpunkt, zu dem Ihr Unternehmen Kenntnis erlangt hat. Ab hier läuft die Frist.
2. Eindämmen
Sperren Sie Zugänge, ändern Sie Passwörter, isolieren Sie betroffene Systeme. Begrenzen Sie den Schaden und sichern Sie Beweise. Diese Maßnahmen gehören später auch in die Meldung.
3. Risiko bewerten
Entscheidend ist das Risiko für die betroffenen Personen:
| Risiko | Was ist zu tun? | Grundlage |
|---|---|---|
| Voraussichtlich kein Risiko | Intern dokumentieren, keine Meldung | Art. 33 Abs. 1, 5 DSGVO |
| Risiko | Meldung an die Aufsichtsbehörde | Art. 33 DSGVO |
| Hohes Risiko | Zusätzlich Betroffene benachrichtigen | Art. 34 DSGVO |
4. Melden
Die Meldung erfolgt an die zuständige Aufsichtsbehörde, in Bayern für nicht-öffentliche Stellen an das Bayerische Landesamt für Datenschutzaufsicht. Fehlen noch Informationen, dürfen Sie diese schrittweise nachreichen (Art. 33 Abs. 4 DSGVO). Erfolgt die Meldung nach mehr als 72 Stunden, ist die Verzögerung zu begründen.
5. Lernen und dokumentieren
Analysieren Sie die Ursache und setzen Sie Maßnahmen um, damit sich der Vorfall nicht wiederholt. Dokumentieren Sie jede Datenpanne, auch wenn keine Meldepflicht besteht (Art. 33 Abs. 5 DSGVO).
Drei Punkte, die oft übersehen werden
- Die Frist läuft auch am Wochenende. 72 Stunden sind 72 Stunden, ohne Rücksicht auf Feiertage.
- Kenntnis heißt nicht Aufklärung. Die Frist beginnt, sobald Sie mit hinreichender Sicherheit wissen, dass ein Vorfall vorliegt, nicht erst nach vollständiger Analyse.
- Auch Auftragsverarbeiter sind gefordert. Sie müssen Datenpannen unverzüglich an ihren Auftraggeber melden (Art. 33 Abs. 2 DSGVO).
Fazit
Wer erst im Ernstfall überlegt, wer zuständig ist, verliert wertvolle Zeit. Ein kurzer Notfallplan mit klaren Zuständigkeiten, Kontaktdaten und einer Vorlage für die Meldung macht den Unterschied.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Beratung im Einzelfall.