Eine Panne erkennen
- Schutz verletzt
- Personendaten
- Unbefugter Zugriff
Die Datenschutz-Grundverordnung spricht von einer Verletzung des Schutzes personenbezogener Daten. Gemeint ist jeder Fall, in dem solche Daten vernichtet werden, verloren gehen, verändert werden oder Unbefugte sie sehen oder abrufen können, ob durch einen Angriff oder aus Versehen.
- Über die WebseiteEin Angreifer nutzt eine Lücke und liest Anfragen aus dem Kontaktformular, Kundenkonten oder Bestellungen eines Shops.
- Im AlltagEine Mail mit Kundendaten geht an den falschen Verteiler, oder ein Laptop mit unverschlüsselten Daten wird gestohlen.
Binnen 72 Stunden
- Ab Kenntnis
- Aufsichtsbehörde
- Begründung
Nach Artikel 33 der Verordnung melden Sie eine Datenpanne unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde. Die Frist beginnt, sobald Ihnen die Panne bekannt wird, nicht erst, wenn alles aufgeklärt ist.
In Deutschland ist das in der Regel die Datenschutzbehörde Ihres Bundeslandes; die meisten bieten dafür ein Formular im Netz an. Melden Sie später als nach 72 Stunden, müssen Sie die Verzögerung begründen.
Eine Meldung entfällt nur, wenn die Panne voraussichtlich zu keinem Risiko für die Betroffenen führt. Diese Einschätzung sollten Sie gut begründen und festhalten.
Was in die Meldung gehört
- Vier Angaben
- Ansprechpartner
- Nachreichen
Die Verordnung nennt vier Angaben, die eine Meldung mindestens enthält.
- Was geschehen istDie Art der Panne, wenn möglich mit den Arten der Daten und der ungefähren Zahl der Betroffenen und Datensätze.
- Wer ansprechbar istName und Kontakt Ihres Datenschutzbeauftragten oder einer anderen Stelle für Rückfragen.
- Welche Folgen drohenDie wahrscheinlichen Folgen für die Betroffenen.
- Was Sie tunDie Maßnahmen, die Sie ergriffen haben oder vorschlagen, um die Panne zu beheben und ihre Folgen zu mildern.
Liegen noch nicht alle Angaben vor, dürfen Sie sie schrittweise nachreichen. Wichtig ist, dass die erste Meldung rechtzeitig eingeht.
Wann Betroffene es erfahren
- Hohes Risiko
- Klare Sprache
- Ausnahmen
Führt die Panne voraussichtlich zu einem hohen Risiko für die Betroffenen, informieren Sie auch sie unverzüglich (Artikel 34). Das gilt etwa, wenn Zugangsdaten, Bankdaten oder Gesundheitsangaben in fremde Hände geraten sind.
Die Nachricht beschreibt in klarer und einfacher Sprache, was geschehen ist, und enthält dieselben Angaben zu Ansprechpartner, Folgen und Maßnahmen wie die Meldung an die Behörde. Sie entfällt, wenn die Daten etwa durch Verschlüsselung für Unbefugte unbrauchbar sind.
Alles dokumentieren
- Jede Panne
- Fakten
- Abhilfe
Jede Datenpanne gehört in Ihre Unterlagen, auch die, die Sie nicht melden müssen. Festgehalten werden die Fakten, die Auswirkungen und die ergriffenen Maßnahmen, so dass die Aufsichtsbehörde später nachvollziehen kann, wie Sie gehandelt haben.
Notieren Sie von Anfang an mit Datum und Uhrzeit, wann Sie von der Panne erfahren haben und was Sie wann unternommen haben. Das hilft auch, die Frist von 72 Stunden sicher einzuhalten.
Wenn ein Dienstleister beteiligt ist
- Webhosting
- Vertrag
- Sofort informieren
Betreut ein Dienstleister Ihre Webseite oder hostet er sie, verarbeitet er Daten in Ihrem Auftrag. Bemerkt er eine Panne, muss er Sie unverzüglich informieren. Die Meldung an die Behörde bleibt aber Ihre Aufgabe, denn verantwortlich ist, wer die Webseite betreibt.
Wie und wie schnell Ihr Dienstleister Sie benachrichtigt, regelt der Vertrag zur Auftragsverarbeitung. Prüfen Sie, ob es diesen Vertrag gibt und wer im Ernstfall Ihre Anlaufstelle ist.
Vorbeugen ist besser
- Updates
- Wenige Daten
- Bußgeld
Die meisten Angriffe auf Webseiten nutzen bekannte Lücken, für die es längst Updates gibt, wie zuletzt bei PHP2Shell. Eine aktuelle Technik und eine unterstützte PHP-Version sind deshalb der beste Schutz.
Speichern Sie nur die Daten, die Sie wirklich brauchen, und löschen Sie alte Anfragen regelmäßig. Was nicht gespeichert ist, kann auch nicht abfließen. Verstöße gegen die Melde- und Benachrichtigungspflicht können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Im Einzelfall hilft Ihr Datenschutzbeauftragter oder eine Kanzlei.
