Source: https://www.exali.de/Info-Base/datenpanne-melden
Timestamp: 2020-01-18 07:22:13
Document Index: 336456791

Matched Legal Cases: ['Art. 4', 'Art. 33', 'Art. 34', 'Art. 34', 'Art. 33', 'Art. 34']

DSGVO Datenpanne melden: Das ist zu beachten
Auch wer sensibel und verantwortungsvoll mit überlassenen Daten umgeht, ist nicht vor einer Datenpanne geschützt. Jedem kann es passieren, dass Daten verlorengehen oder gestohlen werden. Dann ist richtiges Handeln wichtig – auch im Hinblick auf ein eventuelles Bußgeld! Hier erfahren Sie, wie Sie mit einer Datenpanne richtig umgehen, an wen und wann sie gemeldet werden muss und wann überhaupt ein meldepflichtiger Verstoß vorliegt…
Damit Sie bei einer Datenpanne richtig reagieren können, müssen Sie erst einmal wissen, wann eine Datenpanne vorliegt. Gemäß Art. 4 DSGVO ist eine „Verletzung des Schutzes personenbezogener Daten“ eine
"Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden"
Einfach gesagt ist eine Datenpanne also ein Vorfall, bei dem personenbezogene Daten verlorengehen, offengelegt, verändert oder vernichtet werden und der ein Risiko für Betroffene darstellt. Hier einige Beispiele für eine Datenpanne:
Sie verlieren Ihr Smartphone, Ihren Laptop oder einen USB-Stick auf dem Kundendaten gespeichert sind
Sie werden Opfer eines Hackerangriffs und bei diesem werden Kundendaten erbeutet
Sie versenden eine wichtige E-Mail an Ihre Kunden und schreiben deren Mail-Adressen in „cc“ statt „bcc“, sodass alle Mail-Adressen für jeden Empfänger sichtbar sind.
Welche Datenpannen müssen gemeldet werden und an wen?
Ein Hinweis vorab: Sie sollten jede Datenpanne dokumentieren, egal ob sie sich letztendlich als meldepflichtig herausstellt oder nicht. Zudem sollten Sie Ihre Überlegungen bezüglich einer Meldepflicht und Ihre Entscheidung ebenso dokumentieren, um diese später nachweisen zu können.
Gemäß DSGVO müssen Unternehmen Datenpannen an zwei „Stellen“ melden, und zwar
an die zuständige Datenschutzbehörde gemäß Art. 33 DSGVO, wenn die Datenpanne voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Person führt. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat
an die betroffenen Personen gemäß Art. 34 DSGVO, wenn die Datenpanne voraussichtlich ein hohes Risiko für deren persönlichen Rechte und Freiheiten zur Folge hat.
Die Formulierung zeigt, dass bereits „normale“ Datenschutzverstöße an die zuständige Behörde gemeldet werden müssen. Für die Meldung an die Betroffenen muss jedoch ein „hohes“ Risiko bestehen. Die Meldepflicht an die Betroffenen entfällt gemäß Art. 34 Abs. 3, wenn
Sie geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen haben (zum Beispiel Verschlüsselung) oder
Sie nach dem Vorfall Maßnahmen getroffen haben, damit das hohe Risiko für die Betroffenen aller Wahrscheinlichkeit nach nicht mehr besteht oder
die Information der Betroffenen mit einem unverhältnismäßigen Aufwand verbunden wäre (weil es sich zum Beispiel um zu viele Betroffene handelt). Dann müssen Sie jedoch die betroffenen Personen anderweitig informieren, zum Beispiel durch öffentliche Bekanntmachung.
Die Einordnung, ob ein meldepflichtiger Verstoß vorliegt, oder nicht, ist nicht einfach. Daher sollten Sie auf jeden Fall den Rat eines Experten einholen, bevor Sie handeln. Für eine erste Einschätzung, ob ein „hohes“ Risiko für Betroffene besteht, hilft jedoch die Überlegung, welche Schäden der Betroffene durch die Datenpanne erleiden könnte und welche Auswirkungen diese für ihn haben könnten.
Wenn beispielsweise durch eine Sicherheitslücke Kundendaten unverschlüsselt im Netz landen, sind die Auswirkungen enorm, da jeder die Daten abgreifen und sie weiterverwenden kann. Dann liegt in jedem Fall eine meldepflichtige Datenpanne – sowohl an die Datenschutzbehörde als auch an die Betroffenen – vor.
Wann muss eine Datenpanne gemeldet werden?
Für die Meldung an die Datenschutzbehörde gibt es eine klare zeitliche Vorgabe: Sie müssen diese innerhalb von 72 Stunden melden!
Die Meldung an Betroffene muss „unverzüglich“ erfolgen. Das bedeutet, Sie müssen diese so schnell wie möglich „ohne schuldhafte Verzögerung“ informieren. Sobald Ihnen die Datenpanne bekannt ist und Sie erkannt haben, dass sie ein hohes Risiko für andere darstellt, müssen Sie die Betroffenen also informieren.
Wie muss eine Datenpanne gemeldet werden?
Die DSGVO schreibt nicht vor, dass Sie eine Datenpanne schriftlich melden müssen. Das sollten Sie aber allein aus Beweisgründen tun! Gemäß Art. 33 DSGVO muss die Meldung an die Datenschutzbehörde folgende Angaben enthalten:
eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten (wurden Daten gestohlen oder sind sie verloren gegangen?)
die Kategorie der Betroffenen (um wen handelt es sich bei den Betroffenen? Zum Beispiel Kunden, Mitarbeiter, Geschäftspartner)
die ungefähre Anzahl der Betroffenen
den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
eine Beschreibung der von Ihnen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenpanne und zur Abmilderung ihrer möglichen Auswirkungen.
Bei manchen Datenschutzbehörden können Sie eine Datenpanne über ein Online-Formular melden (Hier finden Sie das Formular für Bayern und für Baden-Württemberg).
Bei der Meldung an Betroffene gilt gemäß Art. 34 Abs. 2 DSGVO, dass sie in „klarer und einfacher Sprache“ erfolgen und die letzten drei oben genannten Angaben aus der Meldung an die Datenschutzbehörde enthalten muss (Datenschutzbeauftragter, Beschreibung der Folgen und der Maßnahmen).
Hier finden Sie einen Reaktionsplan zur Bewältigung von Datenpannen und eine Muster-Vorlage zur Dokumentation von Datenschutzvorfällen.
Was passiert, wenn eine Datenpanne nicht gemeldet wird?
Wer eine Datenpanne nicht oder verspätet meldet, riskiert ein Bußgeld bzw. ein höheres Bußgeld für das Datenschutzvergehen. Gemäß DSGVO sind Bußgelder bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Vorjahresumsatzes möglich. Bei Festlegung der Bußgeldhöhe beziehen die Behörden das Verhalten und die Kooperationsbereitschaft eines Unternehmens mit ein. Dazu gehört auch, wie transparent das Unternehmen mit dem Verstoß umgeht und inwieweit es seinen Melde- und Informationspflichten nachgekommen ist.
Ein gutes Beispiel dafür ist der Fall Knuddels.de. Das Soziale Netzwerk aus Karlsruhe musste ein Bußgeld von 20.000 Euro zahlen, weil es die Daten seiner Nutzer nicht ausreichend gesichert hatte. In einer Pressemitteilung teilte die zuständige Datenschutzbehörde in Baden-Württemberg mit, dass das Bußgeld nur nicht höher ausfiel, weil Knuddels sehr gut mit der Datenschutzbehörde kooperierte, transparent mit dem Verstoß umging und seiner Meldepflicht nachkam.
Weitere Fälle, in denen Bußgelder wegen DSGVO-Verstößen verhängt wurden, können Sie in unserem DSGVO-Faktencheck nachlesen.
Neue Berechnungsformel für DSGVO-Bußgelder zum selber rechnen:
PGlmcmFtZSB3aWR0aD0iNTYwIiBoZWlnaHQ9IjMxNSIgc3JjPSJodHRwczovL3d3dy55b3V0dWJlLW5vY29va2llLmNvbS9lbWJlZC94TmZlc2hJNTlJSSIgZnJhbWVib3JkZXI9IjAiIGFsbG93PSJhY2NlbGVyb21ldGVyOyBhdXRvcGxheTsgZW5jcnlwdGVkLW1lZGlhOyBneXJvc2NvcGU7IHBpY3R1cmUtaW4tcGljdHVyZSIgYWxsb3dmdWxsc2NyZWVuPjwvaWZyYW1lPg==
DSGVO-Verstoß: Berufshaftpflicht schützt bei Abmahnungen
Die Höhe eines Bußgeldes können Sie also selbst positiv mit Ihrem Verhalten bei einer Datenpanne beeinflussen. Leider sind es nicht nur Bußgelder, die beim Thema DSGVO ein Loch in die Unternehmenskasse reißen können, sondern auch Abmahnungen. Denn solange sich Gerichte darüber uneinig sind, ob DSGVO-Verstöße abmahnbar sind oder nicht und bis diesbezüglich Rechtssicherheit besteht, werden weiterhin (Pseudo-)Wettbewerber und Abmahnanwälte ihr Unwesen treiben.
Bei Abmahnungen wegen eines DSGVO-Verstoßes sind Sie mit der Berufshaftpflicht über exali.de auf der sicheren Seite. Denn dann prüft der Versicherer auf eigene Kosten, ob die Forderung berechtigt ist und bezahlt im Ernstfall die Schadenersatzsumme. Das Gleiche gilt für den Fall, dass auf Grund Ihres Versäumnisses ein anderer ein Bußgeld erhält (beispielsweise Ihr Kunde). Dann bezahlt der Versicherer das Bußgeld in Form von Schadenersatz an Ihren Kunden zurück.
Straf- und Bußgelder, die ein Gericht oder eine Datenschutzbehörde wegen einer Datenrechtsverletzung gegen Sie verhängt, sind im Rahmen Ihrer Berufshaftpflicht versichert (sofern dies nach geltendem Recht möglich ist).