Source: https://www.netsystem.at/data-breach-teil-3-von-4-wann-muss-ein-data-breach-gemeldet-werden-und-wann-muessen-die-betroffenen-informiert-werden/
Timestamp: 2019-08-25 19:13:34
Document Index: 260507518

Matched Legal Cases: ['Art 33', '§ 18', 'Art 51', 'Art 33', 'Art 55', 'Art 56', 'Art 33', 'Art 5', '§ 6', 'Art 34', 'Art 34', 'Art 4', 'Art 56', 'Art 33', 'Art 43', 'Art 34']

Data Breach Teil 3 von 4: Wann muss ein Data Breach gemeldet werden und wann müssen die Betroffenen informiert werden? » Ing. Mag. Michael Furtlehner Netsystem
Data Breach Teil 3 von 4: Wann muss ein Data Breach gemeldet werden und wann müssen die Betroffenen informiert werden?
Veröffentlicht 8. August 2019 10. August 2019 netsystem
Art 33 Abs 1 verpflichtet den Verantwortlichen im Falle einer Verletzung des Schutzes personenbezogener Daten grds. zur unverzüglichen Meldung an die Aufsichtsbehörde.
Gem § 18 DSG ist die österreichische Datenschutzbehörde die nationale Aufsichtsbehörde iSd Art 51 DSGVO an die der Verantwortliche eine Meldung der Datenschutzverletzung einzubringen hat.
Bei grenzüberschreitender[1] Verarbeitung personenbezogener Daten ist gem Art 33 Abs 1 iVm. Art 55 und Art 56 Abs 1 und 6 die federführende Aufsichtsbehörde[2] zu informieren.
Ausnahme der Meldung
Besteht durch die Datenschutzverletzung kein Risiko für die Rechte und Freiheiten von natürlichen Personen, so ist eine Meldung gem Art 33 Abs 1 nicht erforderlich. Eine Ausnahme von der Verpflichtung zur Meldung besteht nur dann, wenn der Verantwortliche iSd Rechenschaftsplicht (Art 5 Abs 2) nachweisen kann, dass die Verletzung voraussichtlich zu keinem Risiko für die persönlichen Rechte und Freiheiten von natürlichen Personen führt.
Die Ausnahme greift nur dann, wenn keine oder nur vernachlässigbar geringe Risiken für betroffene Personen bestehen.[3]
Ob die Datenschutzverletzung ein Risiko für die Betroffenen darstellt, ist immer im Einzelfall zu prüfen. Der Verantwortliche hat in jedem Fall eine Prognoseentscheidung zu treffen. Details siehe in Furtlehner, Data Breach | Erkennen – Melden – Dokumentieren ab Seite 54.
Kommt der Verantwortliche zum Ergebnis, dass voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht, ist dies entsprechend zu dokumentieren, um auch der Aufsichtsbehörde im Bedarfsfall nachweisen zu können, warum der Vorfall nicht gemeldet wurde.
Beispiele für grds.[4] nicht meldepflichtige Datenschutzverletzungen:
unerlaubte Offenlegung der Daten, wenn diese bereits öffentlich verfügbar sind,
E-Mail an einen falschen Empfänger, wenn dieser zusichert, dass er die Mail löscht und die Daten nicht weiter verarbeitet und der Verantwortliche darauf vertrauen kann (Bspl.: E-Mail anstatt an Lieferant A irrtümlich an Lieferant B gesandt)
Verlust/Diebstahl eines verschlüsselten USB-Sticks
Mitarbeiter lässt Ausdrucke im Stockwerksdrucker liegen und Kollegen von anderen Abteilungen können personenbezogene Daten einsehen (vgl Verpflichtung zum Datengeheimnis gem § 6 DSG)
Im Zweifel sollte die Datenschutzverletzung sicherheitshalber der Aufsichtsbehörde gemeldet werden.
Gem Art 34 ist der Verantwortliche verpflichtet, die betroffenen Personen über die Datenschutzverletzung zu benachrichtigen, sofern voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht.
Der Schwellenwert für die Benachrichtigung der Betroffenen ist also höher als jener für die Meldung einer Datenschutzverletzung an die Aufsichtsbehörde. Es muss nicht bei allen Data Breach-Vorfällen, die der Behörde gemeldet werden auch automatisch eine Benachrichtigung an die Betroffenen erfolgen. Ausschlaggebend ist das Ergebnis der vom Verantwortlichen durchzuführenden Risikobewertung.
Die Verpflichtung besteht somit nur, wenn voraussichtlich ein hohes Risiko besteht.
Die Information hat grds. an die Betroffenen direkt zuzugehen, es sei denn, die Benachrichtigung ist mit einem unverhältnismäßigem Aufwand verbunden.[5] In diesem Fall reicht auch eine öffentliche Bekanntmachung aus.
Beispiele für eine transparente Benachrichtigung können sein:
E-Mail oder SMS an die Betroffenen
Briefe an die Betroffenen
bei vielen Betroffenen (vgl Abs 3 lit c) evtl. auch Veröffentlichung in Printmedien oder Benachrichtigung über Website, DIV-Layer oder Werbebanner
Es sollte jedoch vermieden werden einen durch die Datenschutz-verletzung kompromittierten Kanal zu verwenden, da dieser Kanal ggf auch von Angreifern verwendet werden könnte.[6]
Art 34 Abs 3 regelt abschließend drei Fallkonstellationen, nach denen die Berichtspflicht entfällt.
Lesen Sie im letzten Teil 4/4 ob tatsächliche jeder Data Breach dokumentiert werden muss und welchen Inhalt diese Dokumentation aufweisen sollte.
[1] Art 4 Z 23 DSGVO.
[2] Zur Bestimmung der federführenden Aufsichtsbehörde siehe Art 56 sowie Artikel-29-Datenschutzgruppe, Leitlinien zur Bestimmung der federführenden Aufsichtsbehörde vom 31.10.2017 (WP244 rev.01), abrufbar unter http://ec.europa.eu/newsroom/ article29/item-detail.cfm?item_id=611235 (abgefragt am 9.7.2019).
[3] Vgl Martini in Paal/Pauly, DS-GVO/BDSG2 Art 33 Rz 22.
[4] Es sind immer die jeweiligen Umstände des Einzelfalls zu berücksichtigen.
[5] Art 43 Abs 3 lit c DSGVO.
[6] Vgl König/Schaupp in Knyrim, DatKomm Art 34 DSGVO Rz 14 (Stand 1.10.2018, rdb.at).
⟵Data Breach Teil 2 von 4: Wie erkenne ich einen Data Breach?
Data Breach Teil 4 von 4: Muss jeder Data Breach dokumentiert werden?⟶