DSGVO: Wie Datenpannen zu melden sind

Datenschutzverletzungen müssen den Behörden innerhalb von 72 Stunden gemeldet werden. Hier erfahren sie, in welchen Fällen und wie sie das tun. [...]

Datenpannen sind weiterhin meldungspflichtig (c) Pixabay
Datenpannen sind weiterhin meldungspflichtig (c) Pixabay

Mit 25.05.2018 ist die DSGVO verpflichtend, kurz davor wurde im Nationalrat das Datenschutz-Deregulierungs-Gesetz 2018 beschlossen. In den Medien gab es flächendeckendes Echo, da durch diese Deregulierung die Datenschutzbehörde angehalten ist, nicht sofort zu Strafen, sondern vorerst Verwarnungen auszusprechen. Was ändert dies nun?

Dass in Österreich Strafen in Millionenhöhe ausgesprochen werden würden war nie zu erwarten, damit will die Europäische Kommission nicht „den Bäcker ums Eck“ oder andere KMU treffen, sondern eine Handhabe gegen die Giganten Amazon, Facebook, Google und Co haben.
Die Zukunft wird es noch weisen, wie sich die Datenschutzbehörde bei den ersten Vorkommnissen verhalten wird. Es gibt jedoch einige Punkte der DSGVO, auf die das Datenschutz-Deregulierungs-Gesetz keinen Einfluss hat. Einer davon ist die Datenschutz-Verletzung.

Bei Datenpannen hat die Gesetzesanpassung nichts geändert

Grundsätzlich ist jede Datenschutzverletzung der Datenschutzbehörde innerhalb von 72 Stunden zu melden. Nach der Definition des Art. 4 Nr. 12 DSGVO ist für eine Meldepflicht bereits eine Datenschutzverletzung an sich ausreichend (z.B. ein reiner Datenverlust), ein „unrechtmäßiges Übermitteln“ oder eine „unrechtmäßige Kenntnisnahme“ von Dritten ist dabei nicht erforderlich.
Diese Meldung kann nur dann entfallen, wenn kein Risiko für die Betroffenen besteht. Zum Beispiel dann, wenn verlorene Daten so stark verschlüsselt sind, dass sie mit heutigen Methoden nicht entschlüsselt werden können oder wenn die Daten durch beispielsweise biometrische Authentifizierungsverfahren entsprechend abgesichert sind.

Der Datenvorfall wird entweder intern bemerkt oder eine Meldung eines Datenvorfalls langt beispielsweise durch einen Betroffenen, einen Medienbericht oder durch einen Auftragsverarbeiter ein. Die folgende Abbildung veranschaulicht den „Data-Breach-Prozess“, der beim Bekanntwerden einer Datenschutz-Verletzung zu durchlaufen ist.

Welche Informationen sind der Datenschutzbehörde zu melden?

  • Beschreibung der Datenschutzverletzung
  • Name und Kontaktdaten des Datenschutzbeauftragten falls einer benannt ist, sonst Kontaktperson, die über den Vorfall Auskunft geben kann
  • Betroffenen-Kategorien, Daten-Kategorien, ungefähre Zahl der Betroffenen sowie Beschreibung der wahrscheinlichen Folgen für Betroffene
  • Beschreibung der ergriffenen Maßnahmen

Wann und wie sind Betroffene zu verständigen?

Bedeutet die Datenpanne „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten“ des Betroffenen, so ist der Betroffene unverzüglich gem. Art. 34 DSGVO von der Datenschutzverletzung „in klarer und einfacher Sprache“ zu unterrichten. Eine Benachrichtigung des Betroffenen oder eine öffentliche Bekanntmachung kann nach Art. 34 Abs. 3 a oder b DSGVO allerdings ausfallen, wenn insbesondere durch bereits vor der Datenpanne ergriffene TOMs (technische und organisatorische Maßnahmen) eine unbefugte Kenntnisnahme der Daten durch Dritte ausgeschlossen werden kann.

Welche Informationen müssen Betroffenen zur Verfügung gestellt werden?

  1. Beschreibung der Datenschutzverletzung
  2. Name und Kontaktdaten des Datenschutzbeauftragten falls einer benannt ist, sonst Kontaktperson, die über den Vorfall Auskunft geben kann
  3. Betroffene Daten-Kategorien sowie Beschreibung der wahrscheinlichen Folgen für Betroffene

Potenzielle Schwachstellen

  • Verlorene Datenträger (Smartphone, USB-Stick, Notebook, DVD, ausgedruckte Listen)
  • Sicherheitslücken auf Grund fehlerhafter Hard- oder Software
  • ungeeignete Identifikationssysteme, die Unberechtigten Zugriff gewähren
  • fehlerhafte Lösch- und Backup-Prozesse, die keine Wiederherstellung notwendiger Daten erlauben
  • unzureichende Schutzmaßnahmen, die Angriffe durch externe (Hacker) und interne Täter erlauben
  • fehlerhaft adressierte eMails

Schadenersatz-Forderungen Betroffener

Betroffene können Schadenersatz verlangen, dieser ist jedenfalls nachzuweisen. Bei materiellen Schäden, wie z.B. Kosten für die Ausstellung neuer Kreditkarten sollte der Nachweis kein Problem sein. Ansprüche für „immaterielle“ Schäden wie z.B. Reputationsverlust bestehen zwar dem Grunde nach, sind jedoch schwierig zu begründen und nachzuweisen.

Konsequenzen

Nach einer Datenpanne sind Überlegungen anzustellen, wie derartige Pannen in Zukunft verhindert werden können. Dazu gehört die Präzisierung und Verschärfung der TOMs im Sinne eines KVP (Kontinuierliches Verbesserungs-Potential).

 

* Wolfgang Fiala ist Datenschutz-Ziviltechniker und Inhaber des Unternehmens Fiala Informatik Ziviltechniker GmbH.

Werbung


Mehr Artikel

News

IT-Budget in der DACH-Region steigt 2020

Das Budget der IT-Bereiche von Unternehmen im DACH-Raum wird im Jahr 2020 weiter ansteigen – trotz unsicherer Konjunkturaussichten. Der Ausbau der Digitalisierung genießt weiterhin einen hohen Stellenwert, doch auch Effizienzsteigerung und Kostenreduzierung sind vielen Firmen wichtig, wie eine Studie der Beratungsfirma Capgemini zeigt. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*


Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahren Sie mehr darüber, wie Ihre Kommentardaten verarbeitet werden .