Datenpanne: Was Sie binnen 72 Stunden melden müssen

Ja. Die Datenschutz-Grundverordnung nennt das eine Verletzung des Schutzes personenbezogener Daten, und dazu zählt jede unbefugte Offenlegung, auch eine versehentliche.

Nein, auch Verlust, Vernichtung oder Veränderung von Daten zählen, ob unbeabsichtigt oder durch einen Angriff. So steht es in Artikel vier, Nummer zwölf.

Grundsätzlich ja: unverzüglich und möglichst binnen zweiundsiebzig Stunden an die Aufsichtsbehörde, so verlangt es Artikel dreiunddreißig. Ausgenommen ist nur eine Panne, die voraussichtlich zu keinem Risiko für die Betroffenen führt.

Bei einem voraussichtlich hohen Risiko, nach Artikel vierunddreißig. Das ist eine deutlich höhere Schwelle als für die Meldung an die Behörde.

Nicht ganz. Nach Artikel dreiunddreißig, Absatz fünf dokumentieren Sie jede Panne intern, mit Fakten, Auswirkungen und Abhilfe, auch wenn Sie nicht melden.

Sie legen jeden Vorfall in eine von drei Schubladen: nur dokumentieren, an die Behörde melden oder zusätzlich die Betroffenen informieren. Dafür gehen wir drei typische Fälle durch.

Schauen Sie zuerst, was drinsteht. Nach der Entgeltbescheinigungsverordnung enthält jede Abrechnung Geburtsdatum, Sozialversicherungsnummer, Steuer-Identifikationsnummer und die Merkmale für den Kirchensteuerabzug.

Daraus lässt sich die Religionszugehörigkeit ablesen, und die gehört nach Artikel neun zu den besonders geschützten Daten. Zusammen mit Gehalt und Sozialversicherungsnummer lässt sich ein Risiko kaum verneinen.

Sobald Ihr Unternehmen hinreichend sicher weiß, dass eine Panne passiert ist. So legt es der Europäische Datenschutzausschuss in seiner Leitlinie zur Meldung von Datenpannen aus.

Kurz, und Sie beginnen sofort damit. Im Beispiel der Leitlinie zu einem falsch verschickten Kontoauszug ist die Prüfung binnen vierundzwanzig Stunden abgeschlossen.

Ob schon ihr Wissen zählt, regelt die Verordnung nicht ausdrücklich, Stand heute ist das nicht abschließend geklärt. Die Leitlinie hält es aber für wichtig, dass entdeckte Vorfälle zügig an die zuständige Leitungsebene gehen.

Das zählt mit. Nach der EU-Verordnung über Fristen umfassen Fristen auch Samstage, Sonntage und Feiertage, und eine Stundenfrist rutscht nicht auf den nächsten Arbeitstag.

An die Datenschutzaufsicht Ihres Bundeslandes, für Unternehmen sind nach Paragraf vierzig Bundesdatenschutzgesetz die Landesbehörden zuständig. Mehrere bieten dafür ein Onlineformular, etwa Hamburg und Sachsen-Anhalt.

Pflicht sind vier Punkte: was passiert ist, wer Ansprechpartner ist, welche Folgen drohen und was Sie dagegen tun. Was noch fehlt, dürfen Sie nach Absatz vier schrittweise nachreichen.

Dafür gibt es eine Schutzregel: Nach Paragraf dreiundvierzig, Absatz vier Bundesdatenschutzgesetz darf Ihre Meldung im Bußgeldverfahren gegen Sie nur mit Ihrer Zustimmung verwendet werden. Sie deckt aber nur die Meldung selbst, und ob die Regel neben der Datenschutz-Grundverordnung Bestand hat, ist nicht abschließend geklärt.

Dann melden Sie trotzdem und begründen die Verzögerung, das verlangt Artikel dreiunddreißig ausdrücklich. Ein Verstoß gegen die Meldepflicht kann bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes kosten, je nachdem, was höher ist.

In Hamburg zahlte ein Onlinehändler sechstausend Euro, weil er eine Datenpanne deutlich verspätet gemeldet hatte. Das meldete die Behörde in ihrer Zwischenbilanz zweitausendvierundzwanzig.

Bei harmlosen Daten manchmal schon. Ein Fallbeispiel des Datenschutzausschusses zeigt eine Teilnehmerliste mit Namen und Essenswünschen, die an fünfzehn falsche Empfänger ging: Dort genügte die interne Dokumentation.

Genau das, und wie viele Menschen betroffen sind. Eine Abrechnung mit Steuer-Identifikationsnummer und Religionsmerkmal wiegt deutlich schwerer.

Pflicht ist das nur bei hohem Risiko. Die Leitlinie nennt einen ähnlichen Fall, einen Kontoauszug beim falschen Kunden: Meldung an die Behörde ja, Benachrichtigung nur bei hohem Risiko.

Fordern Sie ihn auf, die Mail zu löschen, und lassen Sie sich die Löschung bestätigen. So empfiehlt es die Landesbeauftragte für den Datenschutz in Sachsen-Anhalt.

Dieselbe Behörde nennt das elektronische Adressbuch statt Tippen, verschlüsselte Anhänge oder gleich ein Portal. Bei Briefen hilft ein Vier-Augen-Blick vor dem Versand.

Dann entscheidet eine Frage fast alles: War das Gerät verschlüsselt? Mit sicherer Verschlüsselung, geschütztem Schlüssel und Datensicherung ist das laut Leitlinie nicht meldepflichtig.

Doch, dokumentieren. Der Datenschutzausschuss empfiehlt außerdem, schriftlich zu begründen, warum Sie nicht melden.

Dann wird es ernst: Für ein ungeschütztes Notebook mit Daten von über hunderttausend Kunden sieht der Datenschutzausschuss ein hohes Risiko, etwa durch Identitätsbetrug. Dort verlangt er Meldung an die Behörde und Benachrichtigung der Kunden.

Ja. Für einen verlorenen, unverschlüsselten USB-Stick sagt die Leitlinie: Das Unternehmen gilt als informiert, sobald es den Verlust bemerkt.

Fragen Sie nach, wann genau. Die Leitlinie warnt, dass manche Geräte nur ausgeschaltet verschlüsselt sind, nicht im Ruhezustand, und dass voreingestellte Schlüssel wenig schützen.

Deshalb klären Sie das vorher mit der IT. Im Zweifel rät die Leitlinie, lieber zu melden.

Das Gerät aus der Ferne löschen, wenn das eingerichtet ist, und bei Diebstahlverdacht Anzeige bei der Polizei erstatten. Beides nennt die Landesbeauftragte in Sachsen-Anhalt als Sofortmaßnahme.

Dokumentieren müssen Sie den Vorfall trotzdem, denn Artikel dreiunddreißig, Absatz fünf gilt für jede Panne. Halten Sie fest, wie lange das Gerät weg war und ob es gesperrt war.

Nein. Artikel vierunddreißig, Absatz drei nimmt die Benachrichtigung aus, wenn die Daten etwa durch Verschlüsselung für Unbefugte unzugänglich sind.

So ist es, solange der Schlüssel sicher bleibt. Wird er später bekannt, ändert sich das Risiko, und laut Leitlinie kann die Meldung dann doch nötig werden.

Ab seiner Nachricht laufen bei Ihnen die zweiundsiebzig Stunden. Laut Leitlinie gilt Ihr Unternehmen grundsätzlich als informiert, sobald der Dienstleister Bescheid gegeben hat.

Ja. Ein Auftragsverarbeiter, also ein Dienstleister, der Daten in Ihrem Auftrag verarbeitet, muss Ihnen nach Artikel dreiunddreißig, Absatz zwei unverzüglich Bescheid geben.

Eine feste Stundenzahl nennt die Verordnung für Dienstleister nicht. Die Leitlinie erwartet eine prompte erste Nachricht und Einzelheiten, sobald sie vorliegen.

Das kann er, wenn Sie es im Vertrag so vereinbaren. Verantwortlich für die Meldung bleiben laut Leitlinie trotzdem Sie.

Nicht unbedingt. Der hessische Datenschutzbeauftragte meldet für zweitausendfünfundzwanzig erstmals Bußgelder gegen Auftragsverarbeiter, in einem Fall zweimal zehntausend Euro, auch wegen unvollständiger Meldung.

Ja. Betrifft ein Vorfall mehrere Auftraggeber, muss der Dienstleister laut Leitlinie jeden einzelnen informieren.

Nein. Die Risikobewertung ist laut Leitlinie Ihre Aufgabe, der Dienstleister muss nur feststellen, dass eine Panne vorliegt, und Ihnen Bescheid geben.

Welche Daten welcher Personen betroffen sind, über welchen Zeitraum und ob sie abgeflossen sind. Das brauchen Sie ohnehin für die vier Pflichtangaben Ihrer Meldung.

Dann melden Sie mit Schätzwerten und reichen nach. Die Verordnung verlangt ausdrücklich nur die ungefähre Zahl der Betroffenen und der Datensätze.

Über den Vertrag zur Auftragsverarbeitung. Nach Artikel achtundzwanzig unterstützt Sie der Dienstleister bei den Meldepflichten, und laut Leitlinie können Sie dort eine frühe erste Nachricht vereinbaren.

Beginnen Sie mit denen, die Personal-, Gesundheits- oder Kundendaten verarbeiten. Die übrigen holen Sie bei der nächsten Vertragsverlängerung nach.

In einem internen Register aller Pannen, das empfiehlt die Leitlinie ausdrücklich. Es darf auch Teil Ihres Verzeichnisses der Verarbeitungstätigkeiten sein, solange sich die Pannen auf Anfrage herauslösen lassen.

Legen Sie eine Person mit Vertretung fest, bei der jeder Verdacht aus dem Haus landet. Laut Leitlinie gehören solche Hinweise an eine zuständige Person, die das Risiko bewertet.

Erstens: Die zweiundsiebzig Stunden laufen ab Kenntnis, auch übers Wochenende. Legen Sie eine Person mit Vertretung fest, bei der jeder Verdacht sofort landet.

Ordnen Sie jeden Fall ein: nur dokumentieren, an die Behörde melden oder zusätzlich die Betroffenen informieren. Verschlüsselte Geräte ersparen Ihnen oft die beiden letzten Schritte.

Vereinbaren Sie mit jedem wichtigen Dienstleister eine feste Frist für die erste Nachricht. Die Bewertung des Risikos bleibt trotzdem bei Ihnen.

Mit einem festen Ablauf, den Sie einmal trocken durchspielen. Einen Ablauf für Datenpannen mit Erfassung, Bewertung, Zweiundsiebzig-Stunden-Frist und Dokumentation finden Sie bei frag.hugo.