Handelt es sich hierbei um ein Datenleck und muss ich es melden?

Als Unternehmer sind Sie für die personenbezogenen Daten Ihrer Kunden und Mitarbeiter verantwortlich. In der DSGVO heißen Sie dann Verantwortlicher. Hier erfahren Sie, wann eine Datenpanne vorliegt, wann Sie sie melden müssen und was Sie sofort tun. Dies ist eine allgemeine Erläuterung und keine Rechtsberatung. Im Zweifel schauen Sie auf der Website der Autoriteit Persoonsgegevens (AP), der niederländischen Datenschutzbehörde, nach oder fragen einen Juristen.

Was ist eine Datenpanne?

Laut DSGVO, dem europäischen Datenschutzgesetz, ist es eine Verletzung der Sicherheit, durch die personenbezogene Daten verloren gehen, vernichtet oder verändert werden oder bei jemandem landen, der keinen Zugriff darauf haben darf (Artikel 4, Nummer 12). Personenbezogene Daten sind Daten über eine erkennbare Person, etwa ein Name, eine E-Mail-Adresse, eine Anschrift oder ein Bestellverlauf. Es geht also nicht nur um Hacker. Beispiele:

• eine E-Mail oder ein Anhang mit personenbezogenen Daten, die an den falschen Empfänger geht;
• ein verlorener oder gestohlener Laptop, ein Telefon oder ein USB-Stick mit personenbezogenen Daten, die nicht verschlüsselt waren;
• ein gehacktes Postfach, in dem Rechnungen, Angebote oder Bewerbungsschreiben liegen;
• eine Website oder ein Webshop, aus dem Kundendaten gestohlen wurden;
• Ransomware, durch die Sie nicht mehr auf Ihre Kundenverwaltung zugreifen können, auch wenn nichts kopiert wurde.

Die ersten Schritte

1. Stoppen Sie das Leck. Bitten Sie den falschen Empfänger, die E-Mail zu löschen und dies zu bestätigen. Ändern Sie das Passwort eines übernommenen Postfachs von einem Gerät aus, dem Sie vertrauen (siehe Sichere Passwörter und was Sie bei einem geleakten Passwort tun).
2. Halten Sie fest, was passiert ist. Was ist die Ursache, wann hat es begonnen, um welche Daten geht es, von wie vielen Personen, wer hat Zugriff darauf und waren die Daten verschlüsselt? Schreiben Sie alles auf, mit Datum und Uhrzeit.
3. Schätzen Sie das Risiko ein für die Personen, deren Daten betroffen sind (siehe unten).
4. Melden Sie es der AP, wenn das nötig ist, innerhalb von 72 Stunden.
5. Informieren Sie die Betroffenen, wenn das Risiko für sie hoch ist.
6. Tragen Sie es in Ihr Register für Datenpannen ein. Das tun Sie immer.

Muss ich der Autoriteit Persoonsgegevens Meldung machen?

Sie melden eine Datenpanne unverzüglich und möglichst innerhalb von 72 Stunden, nachdem Sie sie entdeckt haben. Das ist nicht nötig, wenn sie voraussichtlich kein Risiko für die Personen darstellt, deren Daten betroffen sind (Artikel 33 DSGVO).

• Die Frist beginnt, sobald Sie davon wissen, nicht wenn das Leck entstand. Das Wochenende zählt mit: Entdecken Sie es am Freitag um 16:40, dann melden Sie spätestens am Montag um 16:40.
• Eine unvollständige Meldung ist erlaubt. Wissen Sie nach 72 Stunden noch nicht alles, melden Sie mit dem, was Sie wissen, und ergänzen die Meldung später.
• Nur online. Sie melden über das Meldeformular der AP, nicht per Telefon, E-Mail oder Post. Mit dem Fragebogen der AP bereiten Sie die Meldung vor.
• Sind Sie unsicher? Die AP empfiehlt, dann trotzdem zu melden.

Diese Fragen helfen bei der Abwägung:

Ein Beispiel: Wird ein gut verschlüsselter Laptop gestohlen, besteht wahrscheinlich kein Risiko. Eine Meldung ist dann nicht nötig, Sie tragen den Vorfall aber in Ihr Register ein. Auf einem unverschlüsselten Laptop kann der Finder alles lesen; dann besteht meist doch ein Risiko.

Wann informieren Sie die Betroffenen?

Stellt das Leck voraussichtlich ein hohes Risiko für die Personen dar, deren Daten betroffen sind, informieren Sie diese unverzüglich (Artikel 34 DSGVO). Erklären Sie in einfacher Sprache, was passiert ist, welche Folgen es haben kann, was Sie unternehmen und was die Betroffenen selbst tun können, etwa ein Passwort ändern oder besonders auf Phishing in Ihrem Namen achten.

Das ist nicht nötig, wenn die Daten durch gute Verschlüsselung unlesbar waren oder wenn Sie anschließend Maßnahmen ergriffen haben, durch die das hohe Risiko nicht mehr wahrscheinlich ist. Wäre es unverhältnismäßig aufwendig, alle zu erreichen, machen Sie eine öffentliche Bekanntmachung.

Das Register für Datenpannen: immer führen

Jede Datenpanne dokumentieren Sie, auch wenn Sie sie nicht melden (Artikel 33 Absatz 5). Notieren Sie die Fakten, die Folgen, die Maßnahmen und Ihre Abwägung: warum Sie gemeldet haben oder nicht und warum Sie die Betroffenen informiert haben oder nicht. Die AP stellt ein Muster-Register für Datenpannen bereit.

Und wenn das Leck bei einem Dienstleister liegt?

Ihr Hostinganbieter, Ihre Buchhaltungssoftware in der Cloud oder Ihr Newsletter-Dienst ist laut DSGVO ein Auftragsverarbeiter: eine Partei, die personenbezogene Daten in Ihrem Auftrag verarbeitet. Ein Auftragsverarbeiter muss Sie unverzüglich informieren, wenn er eine Datenpanne entdeckt (Artikel 33 Absatz 2). Danach beurteilen Sie, ob Sie melden müssen, und grundsätzlich melden Sie auch selbst.

Das gilt auch, wenn WebOké Ihr Auftragsverarbeiter ist. Die Vereinbarungen dazu stehen in unserem Auftragsverarbeitungsvertrag, siehe Auftragsverarbeitungsvertrag: Wo finde ich ihn? Vermuten Sie, dass das Leck bei uns liegt, zum Beispiel auf unseren Servern? Dann nehmen Sie bitte sofort über ein Ticket im Support-Center Kontakt mit uns auf und teilen uns mit, was Sie gesehen haben und wann.

Weiterlesen

• WebOké Backups: ein Backup ansehen, wiederherstellen oder herunterladen
• Autoriteit Persoonsgegevens: melden oder nicht
• Autoriteit Persoonsgegevens: wie Sie eine Datenpanne melden
• Autoriteit Persoonsgegevens: Fragebogen zum Meldeformular
• Autoriteit Persoonsgegevens: Muster-Register für Datenpannen
• Die DSGVO, Artikel 4, 33 und 34 (EUR-Lex)

Möchten Sie mehr erfahren? Besuchen Sie den kostenlosen Kurs Sicher online für Unternehmer, Lektion 8.2 Datenpannen und die Meldepflicht.