Ein verlorener USB-Stick mit Kundendaten. Eine Mail mit dem falschen Verteiler im An-Feld. Ein verschlüsselter Server. Alle drei sind Datenschutzverletzungen im Sinne der DSGVO, und für alle drei läuft dieselbe Uhr.
Was meldepflichtig ist
Art. 4 Nr. 12 DSGVO definiert die Verletzung weit: jede Vernichtung, jeder Verlust, jede Veränderung, jede unbefugte Offenlegung personenbezogener Daten. Auch versehentlich, auch intern.
Gemeldet werden muss nach Art. 33 DSGVO, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Diese Ausnahme ist enger, als sie klingt. Ein verlorener, aber vollständig verschlüsselter Laptop fällt darunter. Ein unverschlüsselter nicht.
Ist das Risiko hoch, müssen zusätzlich die Betroffenen selbst informiert werden (Art. 34).
Wann die Uhr läuft
Ab Kenntnis — nicht ab dem Vorfall. Kenntnis heißt: Jemand im Betrieb weiß mit hinreichender Sicherheit, dass etwas passiert ist.
72 Stunden sind kalendarisch, nicht in Werktagen. Ein Vorfall am Freitagnachmittag ist am Montagnachmittag fällig.
Die Frist ist keine Ermittlungsfrist. Man meldet mit dem, was man weiß, und reicht nach. Eine unvollständige Meldung innerhalb der Frist ist besser als eine vollständige danach.
Die ersten Stunden
Nicht ausschalten. Bei einem Angriff enthält ein laufendes System Spuren, die nach dem Neustart weg sind. Netzwerkkabel ziehen, WLAN aus, aber Strom drauf lassen.
Aufschreiben. Wer hat wann was bemerkt, was wurde getan. Diese Notizen sind später die Grundlage der Meldung und der internen Dokumentation, die Art. 33 Abs. 5 ohnehin verlangt — auch bei Vorfällen, die nicht gemeldet werden müssen.
Eingrenzen. Welche Daten, wie viele Personen, welche Kategorien. Ohne diese Angaben ist die Meldung kaum ausfüllbar.
Nicht überschreiben. Der Reflex, sofort aus dem Backup zurückzuspielen, vernichtet die Beweislage. Erst sichern, dann wiederherstellen.
Wohin gemeldet wird
An die Aufsichtsbehörde des eigenen Sitzes. Für Betriebe in Niedersachsen ist das die Landesbeauftragte für den Datenschutz in Hannover; sie hat ein Online-Formular.
Was vorher hilft
Ein Blatt Papier mit drei Angaben, ausgedruckt und nicht nur auf dem Server:
- Wer im Betrieb entscheidet, ob gemeldet wird.
- Die Adresse der zuständigen Aufsichtsbehörde.
- Die Nummer des IT-Dienstleisters und die des Anwalts.
Das klingt banal. Am Tag des Vorfalls ist es der Unterschied zwischen einer Meldung am Montag und einer Woche voller Rückfragen.
Ob dein konkreter Fall meldepflichtig ist, entscheidet ein Anwalt. Wir sorgen dafür, dass die technischen Angaben vorliegen, die er dafür braucht.