Spielregeln für den Umgang mit Datenpannen
Eine Verletzung des Datenschutzes „beichten“ zu müssen, ist immer unangenehm. Jeder weiß, dass es Folgen haben kann, im schlimmsten Fall auch arbeitsrechtliche. Deshalb schweigen manche lieber. Doch Vorsicht!
 |
| Achtung bei Datenpannen! |
Der verschwundene Laptop
Ein Laptop mit Kundendaten ist weg. Wahrscheinlich blieb er vor ein paar Tagen schlicht im Zug liegen. Das Gerät ist schon fünf Jahre alt und wurde nur noch ausnahmsweise benutzt. Also vermisst es niemand wirklich. Und die Kundendaten sind im EDV-System natürlich noch vorhanden. Da wird auch keiner misstrauisch. Also lieber mal einfach nichts sagen nach dem Motto „wird schon gut gehen“? Das ist keine gute Idee.
Meldepflicht gegenüber der Datenschutzaufsicht
Unternehmen müssen „Verletzung des Schutzes personenbezogener Daten“ der Datenschutzaufsicht melden. So regelt es Art. 33 EU-DSGVO.
Sehr knappe Meldefrist von 72 Stunden
Das Brisante dabei: Bei der Meldung an die Datenschutzaufsicht ist eine Frist von 72 Stunden zu beachten. Wird sie grundlos überschritten, droht dem Unternehmen schon deshalb ein Bußgeld. Ausreden von der Art „Unser Mitarbeiter hat uns die Panne intern nicht verraten“ gelten dabei nicht. Die Antwort darauf wäre: „Dann bringen Sie Ihren Mitarbeitern eben bei, dass Datenpannen gleich zu melden sind.“ Wird die Frist versäumt, kann die Aufsicht gegen das Unternehmen eine Geldbuße verhängen.
Online-Formulare für die Meldung einer Datenschutzverletzung
Alle Aufsichtsbehörden stellen auf ihren Homepages Online-Formulare zur Verfügung, mit denen Unternehmen Datenschutzverletzungen melden können. Das hat sich bewährt und hilft vor allem auch dabei, die kurze Meldefrist von 72 Stunden zuverlässig einzuhalten. Solche Meldungen sind keine gesetzliche Aufgabe der betrieblichen Datenschutzbeauftragten. Nur wenn ihnen diese Aufgabe besonders zugewiesen wurde, müssen sie sich darum kümmern.
Ausnahme: Benachrichtigung der Betroffenen
Ob den betroffenen Personen, um deren Daten es geht, „etwas passieren“ kann, spielt bei der Meldepflicht gegenüber der Aufsichtsbehörde keine Rolle. Dieser Aspekt wird erst wichtig, wenn es um die Benachrichtigung der Betroffenen geht.
Diese Benachrichtigung ist in der EUDSGVO gesondert geregelt (Art. 34 EUDSGVO). Demnach müssen die Betroffenen nur dann benachrichtigt werden, wenn ihnen „voraussichtlich ein hohes Risiko droht“. Hier gilt also ein völlig anderer Maßstab als bei der Benachrichtigung der Aufsichtsbehörde. Am Beispiel des verschlüsselten Laptops wird wieder deutlich, was das bedeutet:
Sind die Daten auf dem Laptop nach dem Stand der Technik verschlüsselt, droht kein hohes Risiko, wenn er Unbefugten in die Hände gerät. Die Folge: Die Betroffenen müssen nicht benachrichtigt werden. Daten auf mobilen Datenträgern zu verschlüsseln, „lohnt“ sich also für Unternehmen! Es erspart ihnen im Ernstfall die Benachrichtigung der Betroffenen.
Die Spielregeln der EU-DSGVO im Überblick Die Spielregeln für den Umgang mit Datenpannen lassen sich so zusammenfassen:
• Jeder Mitarbeiter, dem eine Datenpanne unterläuft, muss möglichst sofort seine Vorgesetzten einschalten.
• Nur so lässt sich vermeiden, dass dem Unternehmen ein teures Bußgeldverfahren droht.
• Meldungen von Unternehmen an die Datenschutzaufsicht müssen bei Datenpannen erfolgen.
• Für diese Meldungen gilt eine Frist von 72 Stunden! Sie lässt sich nur einhalten, wenn jeder Mitarbeiter Pannen sofort intern meldet. Sonntage und Feiertage verlängern sie nicht.
• Eine Meldung an die Datenschutzaufsicht hat für sich allein noch keine negativen Konsequenzen. Es kann aber
natürlich vorkommen, dass die Datenschutzaufsicht nachfragt, was eigentlich genau passiert ist.
• Eine Meldung an die Datenschutzaufsicht führt nicht automatisch dazu, dass die Betroffenen über die Datenpanne benachrichtigt werden müssen.
• Eine solche Benachrichtigung der Betroffenen ist an enge Voraussetzungen geknüpft.
• Die Benachrichtigung der Betroffenen lässt sich in der Regel vermeiden, wenn die Daten verschlüsselt sind.
Benötigen Sie zum Thema Datenpannen Hilfe? Kein Problem!
Das könnte Sie auch interessieren:
- 01.03.2019: Meldung von Datenpannen nach EU-DSGVO
