Ein Datenschutzvorfall ist passiert und nun stellt sich die entscheidende Frage: Muss die Datenpanne der Datenschutzaufsichtsbehörde gemeldet werden?
Die kurze Antwort lautet: Nicht jede Datenschutzverletzung muss gemeldet werden. Eine Meldung nach Art. 33 Abs. 1 DSGVO ist erforderlich, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Führt die Verletzung voraussichtlich nicht zu einem solchen Risiko, besteht keine Meldepflicht gegenüber der Aufsichtsbehörde.
Die Entscheidung muss allerdings häufig unter erheblichem Zeitdruck getroffen werden. Eine meldepflichtige Datenschutzverletzung ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden.
Nicht jeder Datenschutzverstoß ist eine meldepflichtige Datenpanne
Zunächst muss begrifflich unterschieden werden.
Nicht jeder Verstoß gegen die DSGVO ist zugleich eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO.
Art. 33 DSGVO betrifft eine Verletzung des Schutzes personenbezogener Daten. Darunter versteht Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die – unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt.
Typische Fälle können beispielsweise sein:
- personenbezogene Daten werden an einen falschen Empfänger versandt,
- Unbefugte erhalten Zugriff auf Kunden- oder Beschäftigtendaten,
- ein Datenträger oder Notebook mit personenbezogenen Daten geht verloren,
- personenbezogene Daten werden durch einen Cyberangriff abgegriffen,
- Daten werden durch Ransomware verschlüsselt und stehen nicht mehr zur Verfügung,
- Dateien mit personenbezogenen Daten werden versehentlich öffentlich zugänglich gemacht.
Ob ein solcher Vorfall auch gegenüber der Aufsichtsbehörde gemeldet werden muss, hängt von einer Risikobewertung des konkreten Einzelfalls ab.
Welche Datenschutzverletzungen müssen nach Art. 33 DSGVO gemeldet werden?
Für die Prüfung lassen sich drei Fallgruppen unterscheiden:
1. Voraussichtlich kein Risiko: keine Meldung an die Aufsichtsbehörde
Führt die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, muss sie nach Art. 33 Abs. 1 DSGVO nicht der Aufsichtsbehörde gemeldet werden.
Das bedeutet jedoch nicht, dass der Vorgang einfach abgelegt werden kann.
Nach Art. 33 Abs. 5 DSGVO muss der Verantwortliche Verletzungen des Schutzes personenbezogener Daten dokumentieren. Die Dokumentation muss insbesondere die mit der Verletzung zusammenhängenden Tatsachen, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen umfassen.
Gerade bei der Entscheidung, einen Vorfall nicht zu melden, ist deshalb eine nachvollziehbare Risikobewertung wichtig.
2. Voraussichtliches Risiko: Meldung an die Aufsichtsbehörde
Kann ein Risiko für die Rechte und Freiheiten der betroffenen Personen nicht ausgeschlossen werden und führt die Verletzung voraussichtlich zu einem solchen Risiko, ist sie nach Art. 33 Abs. 1 DSGVO der zuständigen Datenschutzaufsichtsbehörde zu melden.
Die Meldung muss unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem die Verletzung dem Verantwortlichen bekannt geworden ist.
Wird die Meldung erst nach Ablauf von 72 Stunden abgegeben, muss die Verzögerung gegenüber der Aufsichtsbehörde begründet werden.
Mehr zur Meldefrist und zum richtigen Vorgehen nach Bekanntwerden einer Datenpanne erläutern wir in unserem Beitrag „72 Stunden sind schnell vorbei“.
3. Voraussichtlich hohes Risiko: zusätzlich Betroffene informieren
Hat die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, kommt eine weitere Verpflichtung hinzu.
Nach Art. 34 Abs. 1 DSGVO muss der Verantwortliche die betroffenen Personen grundsätzlich unverzüglich über die Verletzung informieren.
Art. 34 Abs. 3 DSGVO enthält allerdings Ausnahmen von dieser Benachrichtigungspflicht. Deshalb muss die Frage, ob die betroffenen Personen informiert werden müssen, gesondert geprüft werden.
Wie wird das Risiko einer Datenpanne bewertet?
Ob eine Datenschutzverletzung meldepflichtig ist, lässt sich regelmäßig nicht allein anhand der Art des Vorfalls beurteilen.
Für die Risikobewertung sind insbesondere die konkreten Umstände maßgeblich. Zu berücksichtigen sind unter anderem:
- Art der Datenschutzverletzung,
- Art und Sensibilität der betroffenen personenbezogenen Daten,
- Umfang der betroffenen Daten,
- Zahl der betroffenen Personen,
- Möglichkeit, die betroffenen Personen anhand der Daten zu identifizieren,
- mögliche materielle oder immaterielle Folgen für die Betroffenen,
- besondere Schutzbedürftigkeit betroffener Personen,
- bereits bestehende technische Schutzmaßnahmen, beispielsweise eine wirksame Verschlüsselung,
- Person und Stellung eines unberechtigten Empfängers sowie
- bereits ergriffene Maßnahmen zur Begrenzung möglicher Folgen.
Entscheidend ist deshalb nicht allein, was technisch passiert ist, sondern welche konkreten Auswirkungen der Vorfall für die betroffenen Personen haben kann und mit welcher Wahrscheinlichkeit diese eintreten können.
Ein falscher E-Mail-Empfänger bedeutet nicht automatisch eine Meldepflicht
Dies zeigt sich beispielsweise beim Fehlversand einer E-Mail.
Dass personenbezogene Daten versehentlich an einen falschen Empfänger übermittelt wurden, begründet zunächst eine Verletzung des Schutzes personenbezogener Daten. Ob zusätzlich eine Meldung an die Aufsichtsbehörde erforderlich ist, hängt jedoch von den Umständen ab.
Von Bedeutung kann beispielsweise sein, welche Daten versandt wurden, wer sie erhalten hat, ob der Empfänger als vertrauenswürdig angesehen werden kann, ob er die Nachricht ungeöffnet löschen konnte und welche möglichen Folgen für die betroffenen Personen bestehen.
Eine pauschale Aussage, dass jeder Fehlversand gemeldet werden müsse oder niemals meldepflichtig sei, wäre daher falsch.
Auch Ransomware muss im Einzelfall bewertet werden
Gleiches gilt bei einem Ransomware-Angriff.
Der Europäische Datenschutzausschuss behandelt in seinen Leitlinien unterschiedliche Ransomware-Szenarien. Die Beurteilung hängt unter anderem davon ab, ob personenbezogene Daten lediglich verschlüsselt wurden oder zusätzlich abgeflossen sind, ob geeignete Sicherungskopien vorhanden sind, welche Daten betroffen sind und welche Auswirkungen deren Nichtverfügbarkeit haben kann.
Damit kann auch bei technisch ähnlichen Angriffen die datenschutzrechtliche Bewertung unterschiedlich ausfallen.
Der EDSA gibt Orientierung für typische Datenschutzverletzungen
Der Europäische Datenschutzausschuss hat seine Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten inzwischen in endgültiger Fassung veröffentlicht.
Die Leitlinien behandeln anhand konkreter Fallgestaltungen insbesondere die Risikobewertung sowie die Frage, ob
- der Vorfall lediglich intern dokumentiert werden muss,
- eine Meldung an die Aufsichtsbehörde erforderlich ist oder
- zusätzlich die betroffenen Personen informiert werden müssen.
Für die allgemeine Beurteilung von Datenschutzverletzungen sind daneben die Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO von Bedeutung.
Die Beispiele des EDSA können bei der Einordnung helfen. Sie ersetzen jedoch nicht die Bewertung des konkreten Datenschutzvorfalls.
Was muss bei einer meldepflichtigen Datenpanne mitgeteilt werden?
Art. 33 Abs. 3 DSGVO bestimmt, welche Angaben die Meldung mindestens enthalten muss.
Dazu gehören insbesondere:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten und – soweit möglich – Angaben zu Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze,
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle,
- eine Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung sowie
- eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Abmilderung möglicher nachteiliger Auswirkungen.
Sind innerhalb der kurzen Meldefrist noch nicht alle Informationen verfügbar, können Angaben unter den Voraussetzungen des Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden. Die weiteren Informationen sind dann ohne unangemessene weitere Verzögerung zur Verfügung zu stellen.
Was sollten Unternehmen nach einer Datenpanne prüfen?
Bei einem aktuellen Datenschutzvorfall sollte insbesondere kurzfristig geklärt werden:
- Liegt eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO vor?
- Wann ist die Datenschutzverletzung bekannt geworden?
- Welche personenbezogenen Daten und wie viele Personen sind betroffen?
- Welche möglichen Folgen bestehen für die betroffenen Personen?
- Liegt ein Risiko vor, das eine Meldung nach Art. 33 DSGVO erforderlich macht?
- Besteht ein hohes Risiko und müssen deshalb zusätzlich die betroffenen Personen nach Art. 34 DSGVO informiert werden?
- Welche technischen und organisatorischen Maßnahmen müssen unmittelbar ergriffen werden?
- Wie wird der Vorfall und die getroffene Entscheidung dokumentiert?
Gerade die Abgrenzung zwischen keinem Risiko, Risiko und hohem Risiko kann im Einzelfall schwierig sein. Hinzu kommt der erhebliche Zeitdruck durch Art. 33 DSGVO.
Unterstützung bei Datenschutzverletzungen und Datenpannen
Wir unterstützen Unternehmen bei der rechtlichen Bewertung von Datenschutzverletzungen und der Entscheidung, ob eine Datenpanne gemeldet werden muss.
Dabei kann es insbesondere um die
- rechtliche Einordnung des Datenschutzvorfalls,
- Risikobewertung nach Art. 33 und Art. 34 DSGVO,
- Prüfung der Meldepflicht gegenüber der Datenschutzaufsichtsbehörde,
- Vorbereitung und Prüfung der Meldung,
- Prüfung einer Benachrichtigung der betroffenen Personen,
- rechtssichere Dokumentation des Vorfalls sowie
- Kommunikation mit der Datenschutzaufsichtsbehörde
gehen.
Ist in Ihrem Unternehmen aktuell eine Datenpanne aufgetreten, sollte die rechtliche Bewertung wegen der möglichen 72-Stunden-Frist kurzfristig erfolgen. Sprechen Sie uns an.
Häufige Fragen zur Meldung von Datenschutzverletzungen
Muss jede Datenpanne der Aufsichtsbehörde gemeldet werden?
Nein. Eine Verletzung des Schutzes personenbezogener Daten muss nach Art. 33 Abs. 1 DSGVO nicht gemeldet werden, wenn sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Muss eine nicht meldepflichtige Datenpanne dokumentiert werden?
Ja. Nach Art. 33 Abs. 5 DSGVO sind Verletzungen des Schutzes personenbezogener Daten zu dokumentieren. Dies gilt auch dann, wenn nach der Risikobewertung keine Meldung an die Aufsichtsbehörde erfolgt.
Wann muss eine Datenpanne gemeldet werden?
Eine meldepflichtige Datenschutzverletzung muss nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden gemeldet werden, nachdem sie dem Verantwortlichen bekannt geworden ist.
Wann müssen die betroffenen Personen informiert werden?
Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, sind die betroffenen Personen nach Art. 34 Abs. 1 DSGVO grundsätzlich unverzüglich zu benachrichtigen. Die Ausnahmen des Art. 34 Abs. 3 DSGVO sind gesondert zu prüfen.
Was passiert, wenn nach 72 Stunden noch nicht alle Informationen vorliegen?
Art. 33 Abs. 4 DSGVO ermöglicht unter den dort genannten Voraussetzungen eine schrittweise Übermittlung der erforderlichen Informationen. Eine erste Meldung muss daher nicht allein deshalb zurückgestellt werden, weil noch nicht sämtliche Einzelheiten aufgeklärt sind.
