Ein verlorener USB-Stick mit Kundendaten. Eine Mail mit dem falschen Verteiler im An-Feld. Ein verschlüsselter Server. Alle drei sind Datenschutzverletzungen im Sinne der DSGVO, und für alle drei läuft dieselbe Uhr.
Was meldepflichtig ist
Art. 4 Nr. 12 DSGVO definiert die Verletzung weit: jede Vernichtung, jeder Verlust, jede Veränderung, jede unbefugte Offenlegung personenbezogener Daten. Auch versehentlich, auch intern.
Gemeldet werden muss nach Art. 33 DSGVO, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Diese Ausnahme ist enger, als sie klingt. Ein verlorener, aber vollständig verschlüsselter Laptop fällt darunter. Ein unverschlüsselter nicht.
Ist das Risiko hoch, müssen zusätzlich die Betroffenen selbst informiert werden (Art. 34).
Fälle aus der Praxis
Meldepflichtig, auch wenn es harmlos wirkt:
- Ein Serienbrief mit allen Empfängern im An- statt im Bcc-Feld. Der Klassiker, und einer der häufigsten gemeldeten Vorfälle überhaupt.
- Eine Rechnung an den falschen Kunden geschickt.
- Ein Mitarbeiterkonto, das nach dem Ausscheiden weiterlief und benutzt wurde.
- Ein verlorenes Notizbuch mit Patienten- oder Mandantennamen. Papier zählt genauso.
Nicht meldepflichtig:
- Ein Laptop weg, Festplatte vollverschlüsselt, Passwort nicht dabei.
- Ein Datensatz gelöscht, aus dem Backup vollständig wiederhergestellt, ohne dass jemand Zugriff hatte.
Fast immer meldepflichtig und dazu Art. 34: Ransomware. Selbst wenn nichts abgeflossen zu sein scheint, ist der Zugriff Dritter auf die Systeme das Risiko — und moderne Angriffe kopieren Daten grundsätzlich, bevor sie verschlüsseln. Was das für einen kleinen Betrieb bedeutet, steht in Ransomware im Kleinbetrieb.
Wann die Uhr läuft
Ab Kenntnis — nicht ab dem Vorfall. Kenntnis heißt: Jemand im Betrieb weiß mit hinreichender Sicherheit, dass etwas passiert ist.
72 Stunden sind kalendarisch, nicht in Werktagen. Ein Vorfall am Freitagnachmittag ist am Montagnachmittag fällig.
Die Frist ist keine Ermittlungsfrist. Man meldet mit dem, was man weiß, und reicht nach. Eine unvollständige Meldung innerhalb der Frist ist besser als eine vollständige danach.
Die ersten Stunden
Nicht ausschalten. Bei einem Angriff enthält ein laufendes System Spuren, die nach dem Neustart weg sind. Netzwerkkabel ziehen, WLAN aus, aber Strom drauf lassen.
Aufschreiben. Wer hat wann was bemerkt, was wurde getan. Diese Notizen sind später die Grundlage der Meldung und der internen Dokumentation, die Art. 33 Abs. 5 ohnehin verlangt — auch bei Vorfällen, die nicht gemeldet werden müssen.
Eingrenzen. Welche Daten, wie viele Personen, welche Kategorien. Ohne diese Angaben ist die Meldung kaum ausfüllbar.
Nicht überschreiben. Der Reflex, sofort aus dem Backup zurückzuspielen, vernichtet die Beweislage. Erst sichern, dann wiederherstellen.
Was in die Meldung gehört
Art. 33 Abs. 3 nennt vier Punkte. Wer sie kennt, kann das Formular in zwanzig Minuten ausfüllen statt in drei Stunden:
- Art der Verletzung — was ist passiert, dazu die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze. „Ungefähr" steht so im Gesetz; eine Schätzung ist zulässig.
- Ansprechpartner — Datenschutzbeauftragter oder eine andere Stelle, bei der Rückfragen möglich sind.
- Wahrscheinliche Folgen für die Betroffenen.
- Ergriffene und vorgeschlagene Maßnahmen, einschließlich solcher zur Abmilderung.
Fehlt etwas davon, meldet man trotzdem und liefert nach — Art. 33 Abs. 4 sieht das ausdrücklich vor.
Das Verzeichnis, das niemand führt
Art. 33 Abs. 5 verlangt, jede Verletzung zu dokumentieren. Auch die, die nicht gemeldet wird, und gerade die: Die Entscheidung gegen eine Meldung muss begründet und nachvollziehbar sein.
In der Praxis ist das eine Tabelle mit sechs Spalten — Datum, was passiert ist, welche Daten, wie viele Betroffene, was getan wurde, gemeldet ja/nein mit Begründung.
Wer sie nicht führt, hat im Prüfungsfall zwei Probleme statt einem: den Vorfall und die fehlende Dokumentation. Die zweite Pflicht wird unabhängig von der ersten sanktioniert.
Wohin gemeldet wird
An die Aufsichtsbehörde des eigenen Sitzes. Für Betriebe in Niedersachsen ist das die Landesbeauftragte für den Datenschutz in Hannover; sie hat ein Online-Formular.
Eine Meldung ist kein Schuldeingeständnis. Die Behörden werten sie regelmäßig als das, was sie ist: ein Zeichen funktionierender Abläufe. Nicht zu melden und später aufzufliegen ist der deutlich schlechtere Weg — und der Bußgeldrahmen für Verstöße gegen Art. 33 reicht bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Was vorher hilft
Ein Blatt Papier mit drei Angaben, ausgedruckt und nicht nur auf dem Server:
- Wer im Betrieb entscheidet, ob gemeldet wird.
- Die Adresse der zuständigen Aufsichtsbehörde.
- Die Nummer des IT-Dienstleisters und die des Anwalts.
Das klingt banal. Am Tag des Vorfalls ist es der Unterschied zwischen einer Meldung am Montag und einer Woche voller Rückfragen.
Und eine Übung, die eine halbe Stunde dauert: Spiel den Fall einmal gedanklich durch. Wer bemerkt es? Wen ruft diese Person an? Erreicht sie ihn am Samstag? An dieser Stelle scheitern die meisten Notfallpläne, und zwar bevor irgendetwas Technisches passiert.
Ob dein konkreter Fall meldepflichtig ist, entscheidet ein Anwalt. Wir sorgen dafür, dass die technischen Angaben vorliegen, die er dafür braucht.