Selbst mit guten Gewohnheiten geht etwas schief. Dann kommt es darauf an, schnell zu reagieren. Die Regeln stehen in Artikel 33 und 34 der Datenschutz-Grundverordnung.
Was ist eine Verletzung?
Eine Verletzung des Schutzes personenbezogener Daten (kurz: Datenpanne) ist eine Sicherheitsverletzung, die zu einer unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum Zugang zu personenbezogenen Daten führt (Artikel 4 Nr. 12). Sie kann drei Dinge treffen:
- Die Vertraulichkeit: Unbefugte erhalten Zugang. Beispiel: Eine E-Mail mit Gehaltslisten wird an den falschen Empfänger geschickt.
- Die Integrität: Daten werden ohne Erlaubnis oder durch einen Fehler verändert.
- Die Verfügbarkeit: Daten gehen verloren oder können nicht genutzt werden. Beispiel: Ransomware verschlüsselt die Dateien, oder eine Sicherung fehlt.
Weitere Beispiele: ein verlorener Laptop oder ein verlorenes Handy mit Daten, ein Hackerangriff, Papiere in einem offenen Container, eine Tabelle, die mit zu vielen geteilt wurde, ein Mitarbeiter, der ohne dienstlichen Bedarf im System nachschaut, und eine Fehlsendung, bei der ein Brief bei einem Fremden landet.
Ihre Verantwortung: Sagen Sie es sofort
Als Beschäftigte müssen Sie:
- Den Vorfall sofort melden, an die Kontaktperson oder das System, das das Unternehmen benannt hat. Warten Sie nicht ab, ob er sich als ernst erweist.
- Sagen, was Sie wissen: was passiert ist, wann und welche Daten und wie viele Personen es betreffen kann.
- Versuchen, den Schaden zu begrenzen, wenn Sie können, zum Beispiel indem Sie einen irrtümlichen Empfänger bitten, die E-Mail zu löschen. Tun Sie das jedoch nur nach Absprache, und löschen Sie selbst keine Beweise.
- Den Fehler nicht verschweigen oder heimlich korrigieren.
Das Unternehmen, nicht Sie, beurteilt, ob der Vorfall gemeldet werden muss.
Die Pflichten des Unternehmens
- Meldung an die Datatilsynet (Artikel 33 Abs. 1): Sobald dem Verantwortlichen eine Verletzung bekannt wurde, muss er sie der Datatilsynet unverzüglich und möglichst binnen 72 Stunden melden. Ausgenommen ist der Fall, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von Personen führt. Die Meldung erfolgt digital über das Formular der Datatilsynet auf virk.dk. Erfolgt sie später als nach 72 Stunden, ist der Grund für die Verzögerung anzugeben. Angaben können schrittweise gemacht werden.
- Benachrichtigung der Betroffenen (Artikel 34): Führt die Verletzung voraussichtlich zu einem hohen Risiko für die Personen, müssen auch sie unverzüglich in klarer und einfacher Sprache benachrichtigt werden.
- Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren (Artikel 33 Abs. 2).
- Dokumentation (Artikel 33 Abs. 5): Das Unternehmen muss eine Übersicht über alle Verletzungen führen, auch über die, die nicht gemeldet werden, mit Fakten, Folgen und Maßnahmen. Die Datatilsynet kann verlangen, sie einzusehen.
Die Frist von 72 Stunden wird ab dem Zeitpunkt gerechnet, zu dem dem Unternehmen die Verletzung bekannt wird, und sie zählt auch Wochenenden. Das ist eines der wichtigsten Argumente dafür, intern schnell zu melden: Jede Stunde, die Sie warten, geht von der Zeit des Unternehmens ab.
Nach der Verletzung
Das Unternehmen sollte aus dem Vorfall lernen: Was ist schiefgegangen, und wie verhindern wir es beim nächsten Mal? Ein offen gemeldeter Fehler ist eine Gelegenheit, die Abläufe zu verbessern.
Merken Sie sich: 72 Stunden. Ihre schnelle Meldung ist das erste Glied in der Frist des Unternehmens.