Datenschutzpannen sind weit gefächert. Kurz gesagt erhalten Unbefugte Zugriff auf personenbezogene Daten oder Betriebsinterna. Auch unerwünschtes Löschen von Daten gehört dazu. Das Eindringen Unbefugter und die mögliche Verbreitung sensibler Daten aufgrund eines Datenlecks kann für ein Unternehmen wirtschafts- und imageschädigend sein. Betroffenen können dadurch persönliche, finanzielle Schäden bis hin zum Identitätsdiebstahl entstehen. Je nach Schwere des Vorfalls ist dieser meldepflichtig an die Aufsichtsbehörde.
Hier einige Beispiele für Datenpannen:
Es gibt verschiedene Möglichkeiten, Datenpannen festzustellen. Diese können zum Beispiel bei der regulären Nutzung oder Kontrolle des IT-Systems auffallen oder Kunden oder Dritte melden merkwürdige E-Mails. Möglicherweise meldet sich ein Mitarbeiter, dass eine E-Mail an den falschen Empfänger versendet wurde oder ein Laptop oder Handy mit sensiblen Daten wurde gestohlen. Die genannten Beispiele sind nur einige Möglichkeiten eine Datenschutzverletzung aufzudecken.
Nach Feststellen einer Datenpanne müssen bestimmte Maßnahmen ergriffen werden. Ein meldepflichtiger Verstoß muss der Aufsichtsbehörde innerhalb der ersten 72 Stunden nach Bekanntwerden des Datenschutzvorfalls gemeldet werden. Aus diesem Grund sollte umgehend der Datenschutzbeauftragte und die Geschäftsführung informiert werden, um eine sofortige Analyse zu starten.
Die Verantwortlichen, unter anderem der Datenschutzbeauftragte, müssen nun die Datenschutzverletzung genau analysieren und dafür bestimmte Informationen sammeln. Folgende Fragen müssen geklärt werden:
Wie groß ist das Problem? Wie viele Betroffene und wie viele Datensätze?
Welche Systeme sind betroffen?
Was für Daten sind betroffen?
Wurde die Datenschutzverletzung schon gestoppt oder eingedämmt?
Wie hoch ist das entstandene Risiko?
Ist bereits ein Schaden entstanden?
Nach ausführlicher Analyse muss entschieden werden, ob eine Meldepflicht an die Aufsichtsbehörde besteht oder der Datenschutzvorfall bereits eingedämmt ist und keine „Gefahr“ besteht. Sind Risiken für die Betroffenen feststellbar, müssen auch diese informiert werden.
Wenn z. B. die Daten auf einem Laptop aufgrund von vorher getroffenen technischen Maßnahmen stark verschlüsselt waren, ist eine Kommunikation an die Betroffenen vermutlich nicht notwendig.
Wenn Sie sich fragen, welcher Sachverhalt meldepflichtig ist, sollten Sie sich folgende Fragen stellen:
Wenn Sie eine dieser Fragen mit „Ja“ beantworten können, dann handelt es sich um eine Datenschutzpanne und die oben genannten Maßnahmen müssen ergriffen werden.
Wenn Sie einen meldepflichtigen Datenschutzvorfall nicht der Aufsichtsbehörde melden und dies rauskommt, kann ein Bußgeld verhängt werden. Es reicht bereits ein verärgerter Kunde oder ehemaliger Mitarbeiter, der Sie anschwärzt.
Die Höhe des Bußgeldes hängt von der jeweiligen Datenschutzbehörde ab. Es sollte abschreckend wirken, aber nicht existenzbedrohend. Schadenshöhe, Risiko, Verstoßdauer und andere Faktoren werden in die Berechnung einbezogen und ergeben einen individuellen zu zahlenden Betrag.
Nicht jeder Datenschutzvorfall kann vollständig verhindert werden, aber im besten Fall können Bußgelder, rechtliche Sanktionen und Negativpresse verhindert werden. Der Datenschutzbeauftragte kann dafür sorgen, dass entsprechende Konzepte bereits im Vorhinein ergriffen werden und die EU-Datenschutzgrundverordnung befolgt wird.
Sie sollten sich über die möglichen Datenschutzverletzungen im Klaren sein, damit sie Ihnen auffallen. Auch die Mitarbeiter sollten über potenzielle Datenpannen und ihre Vermeidung Bescheid wissen. Zudem sollte Ihr Unternehmen einen Reaktionsplan haben, wie im Falle eines Datenlecks zu verfahren ist, damit möglichst schnell gehandelt und der Schaden begrenzt werden kann.
Sie und Ihre Mitarbeiter sollten sensibilisiert sein, damit mögliche Datenschutzpannen innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden können.
Stellen Sie bereits jetzt ein Datenpannen-Team zusammen und beherrschen Sie Ihr Risiko-Management-System.
Die unmittelbare Reaktion und Kooperation wird von der Aufsichtsbehörde in Ihrer Bußgeldentscheidung positiv bewertet. Seien Sie also konsequent und handeln umgehend.
Fraunhoferstraße 9
85221 Dachau
Tel: +49 8142 42050 20
E-Mail: info@ituso.de
