Datenpanne: Meldepflicht

Was das ist

Eine Datenpanne ist jede Verletzung der Sicherheit, die zu Verlust, Veränderung oder unbefugter Offenlegung personenbezogener Daten führt: die E-Mail an den falschen Empfänger, der verlorene Laptop, der Ransomware-Angriff, der offene Cloud-Ordner. Die DSGVO verlangt, dass Sie solche Vorfälle der Aufsichtsbehörde melden, und bei hohem Risiko auch die Betroffenen informieren.

Was das für Sie heißt

• Die Frist beträgt 72 Stunden ab dem Moment, in dem Sie von der Panne wissen. Wochenenden zählen mit. Eine Meldung mit vorläufigen Angaben ist besser als eine verspätete vollständige.
• Nicht jede Panne ist meldepflichtig, nur die mit Risiko für Betroffene. Ein verschlüsselter Laptop ohne Zugriff Dritter ist es meist nicht. Aber jede Panne, auch die nicht gemeldete, muss intern mit Bewertung und Begründung dokumentiert werden.
• Bei hohem Risiko, etwa bei Bankdaten oder Gesundheitsdaten, müssen Sie zusätzlich die Betroffenen unverzüglich benachrichtigen. Das ist die teure Pflicht, weil sie öffentlich wird.

Der typische Fehler

Ein Mitarbeiter schickt eine Excel-Liste mit 300 Kundendaten an einen falschen Empfänger, bittet ihn um Löschung und erzählt niemandem davon. Vier Monate später erwähnt der Empfänger den Vorfall gegenüber einem der Betroffenen, der sich bei der Behörde beschwert. Jetzt ist es keine Panne mehr, sondern eine verschwiegene Panne, und das Bußgeld richtet sich nach dem Verschweigen. Die Meldung wäre ein Formular gewesen.