Source: https://www.compliance-net.de/node/190
Timestamp: 2018-12-16 11:46:41
Document Index: 350656050

Matched Legal Cases: ['EuG', 'Art. 4', '§42', '§2', '§27', '§3', 'Art. 33', 'Art. 34', 'Art. 34', 'Art. 34', 'Art. 34', 'Art. 33', 'Art. 33', 'Art. 34', 'Art. 83', 'Art. 82', 'Art. 83', 'Art. 33', 'Art. 33']

Die „Datenpanne“ und was ist zu tun…? | compliance-net
"Datenpanne": Was ist zu tun?
EuGH Urteil: Facebook-Seiten Betreiber
Startseite » Datenschutz » Die „Datenpanne“ und was ist zu tun…?
Per Begriffsbestimmung ist gemäß Art. 4 Nr. 12 DSGVO eine Datenpanne eine Verletzung des Schutzes personenbezogener Daten, die
zur Vernichtung (Daten existieren nicht mehr),
zum Verlust (Kontroll-oder Zugangsverlust),
zur Veränderung (Beschädigung, Unvollständigkeit),
zur unbefugten Offenlegung beziehungsweise zum unbefugten Zugang
dieser personenbezogenen Daten führt, nachdem sie übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
Eine Datenpanne liegt also zum Beispiel vor, wenn Kundendaten gestohlen wurden oder Daten innerhalb gesetzlicher Aufbewahrungsfristen gelöscht wurden.
Was ist im Fall einer Datenpanne zu tun?
1) Artikel 33 Abs. 1 DSGVO regelt die „Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“. Hiernach hat der Verantwortliche unverzüglich, möglichst binnen 72 Stunden, nach Bekanntwerden der Panne diese an die zuständige Aufsichtsbehörde zu melden.
2) Ausnahme: Die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Es muss also immer eine Risikoeinschätzung vorgenommen werden, ob die Gefahr der Verletzung von Grundrechten bzw. Grundfreiheiten möglich erscheint.
3) Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, muss die Verzögerung begründet werden.
Warum muss ich eine Datenpanne melden?
Eine Verletzung des Schutzes personenbezogener Daten kann — wenn nicht rechtzeitig und angemessen reagiert wird — einen
materiellen oder
Schaden für natürliche Personen nach sich ziehen (vgl. Erwägungsgrund 85 DSGVO).
Beispiele für mögliche Schäden: Diskriminierung, Identitätsdiebstahl, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, Rufschädigung etc.
Bisheriges Recht (BDSG-alt)
Meldepflicht nach §42a BDSG-alt:
Stellt eine nichtöffentliche Stelle im Sinne des §2 Absatz 4 oder eine öffentliche Stelle nach §27 Absatz 1 Satz 1 Nummer 2 fest, dass bei ihr gespeicherte sensible Daten, dazu zählen
1. besondere Arten personenbezogener Daten (§3 Absatz 9),
4. personenbezogene Daten zu Bank-oder Kreditkartenkonten
unrechtmäßig übermittelt wurden oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen.
Was ist neu ab 25.05.2018?
Meldung aller Datenschutzverstöße, nicht mehr nur bei „sensiblen“ Daten
Jegliches Risiko für eine natürliche Person reicht für Meldepflicht aus.
Meldepflicht auch bei versehentlicher Löschung oder Vernichtung von Daten
Das Kurzpapier Nr. 18 der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) hat zum Ziel, das Risiko im Kontext der DSGVO zu definieren und aufzuzeigen, wie Risiken für die Rechte und Freiheiten natürlicher Personen bestimmt und in Bezug auf ihre Rechtsfolgen bewertet werden können.
Risiken im Sinne der DSGVO
Ein Risiko im Sinne der DSGVO ist das Bestehen der Möglichkeit des Eintritts eines Ereignisses, das
selbst einen Schaden für eine natürliche Person darstellt oder
zu einem weiteren Schaden für eine oder mehrere natürliche Personen führen
Es hat zwei Dimensionen: erstens die
Schwere des Schadens und zweitens die
Wahrscheinlichkeit, dass das Ereignis und die Folgeschäden eintreten.
Hieraus folgt, dass bei einer negativen Risikoprognose die Meldepflicht entfällt!
Für jeden möglichen Schaden werden die Eintrittswahrscheinlichkeit und Schwere abgeschätzt. Diese lassen sich nur in ganz wenigen Ausnahmefällen mathematisch fassen.
Eine Risikobewertung sollte in Anwendung des Kurzpapiers Nr. 18 nach folgendem Schema erfolgen:
Die Meldung an die zuständige Aufsichtsbehörde muss nach Art. 33 Abs. 3 DSGVO zumindest folgende Informationen enthalten:
Benachrichtigung betroffener Personen – wann ist zu benachrichtigen?
Hat die Datenschutzverletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Person zur Folge, hat der Verantwortliche den Verstoß nicht nur der zuständigen Aufsichtsbehörde zu melden, sondern muss darüber hinaus die betroffene Person unverzüglich benachrichtigen (vgl. Art. 34 Abs. 1 DSGVO).
Hieraus folgt, dass eine Benachrichtigungspflicht nur bei positiver Risikoprognose besteht.
Wegfall der Benachrichtigungspflicht – welche Bedingungen gibt es?
Eine Benachrichtigung des Betroffenen kann unterbleiben, wenn insbesondere durch bereits vor der Datenpanne ergriffene technische und organisatorische Maßnahmen eine unbefugte Kenntnisnahme der Daten durch Dritte ausgeschlossen werden kann (vgl. Art. 34 Abs. 3 Buchst. a DSGVO).
Beispiel: Ein Datenträger mit hierauf gespeicherten personenbezogenen Daten geht verloren, die personenbezogenen Daten sind aber ausreichend verschlüsselt. Der Finder kann die gespeicherten personenbezogenen Daten nicht auslesen.
Eine Benachrichtigung des Betroffenen ist auch dann nicht erforderlich, wenn durch nach der Datenpanne ergriffene Maßnahmen das „hohe Risiko für die Rechte und Freiheiten der betroffenen Personen“ nicht mehr besteht (vgl. Art. 34 Abs. 3 Buchst. b DSGVO).
Ferner kann die Benachrichtigung unterbleiben, wenn diese mit einem unverhältnismäßigen Aufwand verbunden wäre. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden (vgl. Art. 34 Abs. 3 Buchst. c DSGVO).
Zu beachten ist allerdings, dass, auch wenn der Betroffene aus o.g. Gründen nicht zu benachrichtigen ist, eine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO nach wie vor besteht.
Dokumentationspflichten nach Art. 33 Abs.5 DSGVO
Kommt man zu dem Ergebnis, dass bei einer Verletzung des Schutzes personenbezogener Daten kein Risiko besteht, dann ist der zugrundliegende Vorgang und die datenschutzrechtliche Beurteilung inklusive der Risikobeurteilung vollständig zu dokumentieren.
Auch bei einer negativen Meldepflicht ist eine vollständige Dokumentation notwendig. Nur so kann eine Aufsichtsbehörde im Bedarfsfall nachvollziehen, auf welcher Grundlage die Entscheidung getroffen wurde.
Auf den Internetportalen der jeweiligen Landesdatenschutzbehörden stehen Onlineformulare zur Meldung von Datenschutzverstößen zur Verfügung.
Beispiel – Landesdatenschutzbehörde Niedersachsen: https://www.lfd.niedersachsen.de/startseite/fortbildung_service/formulare_und_hinweise/uebersicht_meldungen/
Folgen bei unterlassener Meldung
Die Aufsichtsbehörde kann bei einem Verstoß gegen Art. 34 DSGVO gegen den Verantwortlichen eine Geldbuße verhängen.
Sanktionsrahmen alt:
Sanktionsrahmen neu:
bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes
Verstoß Betroffenenrechte
Konsequenzen bei Datenschutzverletzungen
Nach Erwägungsgrund 87 DSGVO kann die Meldung einer Datenschutzverletzung zum Tätigwerden der Aufsichtsbehörde im Einklang mit ihren in der DSGVO festgelegten Aufgaben und Befugnissen führen.
Die durch die Aufsichtsbehörden verhängten Geldbußen sollen wirksam, verhältnismäßig, abschreckend sein (vgl. Art. 83 Abs. 1 DSGVO). Unabhängig davon regelt Art. 82 DSGVO die Schadenersatzansprüche der Betroffenen. Nach Art. 83 Abs. 4 lit. a DSGVO kann der Verstoß gegen die Meldepflicht (Art. 33 Abs. 1 DSGVO) oder Dokumentationspflicht (Art. 33 Abs. 5 DSGVO) zu Sanktionen führen. Die Folgen sind Geldbußen bis zu 10.000.000 € oder im Fall eines Unternehmens 2 % des gesamten weltweit erzielten Jahresumsatzes.
Die dargestellte Abhandlung zeigt, dass Datenpannen ein vielschichtiges Thema bilden und mit weitreichenden finanziellen Konsequenzen verbunden sein können.
Eine Risikobewertung mit ausführlicher Dokumentation einer möglichen Datenpanne schützt vor eventuellen Geldbußen, erspart aber auch ggf. unnötige Meldungen an die Datenschutzbehörden.