Was Unternehmen und Mitarbeiter wissen müssen

Eine DateDatenpanne – im rechtlichen Deutsch als „Verletzung des Schutzes personenbezogener Daten“ bezeichnet – kann jedes Unternehmen völlig unerwartet treffen. Ob durch menschliches Versagen, technische Defekte oder gezielte Cyberangriffe: Wenn sensible Daten in falsche Hände geraten, ist schnelles, strukturiertes Handeln gefragt. Die Datenschutz-Grundverordnung (DSGVO) lässt hier keinen Spielraum für Zögern oder Abwarten.

In diesem Beitrag erfahren Sie Schritt für Schritt, wie Sie im Ernstfall richtig reagieren, warum jede Minute zählt und wie Sie drakonische Bußgelder vermeiden.

1. Warum Eile geboten ist: Die 72-Stunden-Frist

Die Bearbeitung von Datenpannen ist stets äußerst zeitkritisch. Gemäß Art. 33 Abs. 1 DSGVO beträgt die gesetzliche Frist zur Meldung des Vorfalls bei der zuständigen Datenschutzaufsichtsbehörde nur 72 Stunden.

Diese Frist beginnt ab dem Zeitpunkt, an dem das Unternehmen Kenntnis von der Verletzung erlangt hat.

Achtung vor Fristüberschreitungen: Das Verstreichenlassen dieser Frist ohne triftigen Grund stellt einen schweren Verstoß gegen die DSGVO dar und führt regelmäßig zu empfindlichen Bußgeldern durch die Aufsichtsbehörden. Ein eingespielter interner Notfallprozess ist daher für jedes Unternehmen überlebenswichtig.

 

2. Der Ernstfall: Wie läuft die Bearbeitung einer Datenpanne ab?

Tritt ein Sicherheitsvorfall ein, greift ein klar definierter Handlungsstrang. Folgende sechs Schritte sind für alle Mitarbeiter und Verantwortlichen bindend:

Ein Datenschutzvorfall hat sich ereignet:

Der erste Schritt ist das Erkennen des Vorfalls. Klassische Beispiele aus der Praxis sind:

• Eine unbefugte Person hatte Zugriff auf sensible Kundendaten.

• Der Fehlversand einer E-Mail mit vertraulichen Inhalten an den falschen Empfänger.

Nicht abwarten, nicht beschönigen:
Versuchen Sie als Mitarbeiter niemals, einen Datenschutzvorfall auf eigene Faust im stillen Kämmerlein zu bereinigen. Vertuschungsversuche, das Löschen von Spuren oder die Haltung „Das merkt schon keiner“ verschlimmern die Situation drastisch und gefährden das gesamte Unternehmen.

Sofortige interne Meldung an:
Informieren Sie unverzüglich die internen Anlaufstellen:

• Ihre Führungskraft

• Den Datenschutzbeauftragten

• Den Datenschutzkoordinator

• Die IT-Abteilung
  

Vorbehaltlose und ehrliche Schilderung des Sachverhaltes:

Legen Sie die Fakten offen, ehrlich und ohne Einschränkungen auf den Tisch. Nur auf Basis einer transparenten Informationsgrundlage können die Experten das Risiko adäquat einschätzen.

Niemals die Schwere des Vorfalls selbst beurteilen:

Maßen Sie sich nicht an, zu entscheiden, ob der Vorfall „schlimm genug“ für eine Meldung ist. Diese juristische und fachliche Bewertung obliegt den Datenschutzbeauftragten und der Geschäftsführung.

Bei Unsicherheit sofort nachfragen:

Wenn Sie auch nur den Hauch eines Zweifels haben, ob ein Vorfall relevant ist: Fragen Sie sofort Ihre Führungskraft, Ihren internen Datenschutzbeauftragten oder gegebenenfalls Ihren externen Datenschutzberater um Rat.

3. Der vollständige Faktencheck

Bevor die offizielle und fristgerechte Meldung an die Aufsichtsbehörde erfolgen kann, müssen die internen Verantwortlichen einen strukturierten Faktencheck durchführen. Dabei müssen folgende Kernfragen geklärt werden:

• Was hat sich genau ereignet? (Tathergang, technischer Hintergrund, Art der Verletzung)

• Wie viele Personen sind betroffen? (Ausmaß des betroffenen Personenkreises)

• Welche Daten sind konkret von dem Vorfall betroffen? (Kategorien wie Kundendaten, Passwörter, Finanz- oder Gesundheitsdaten)

• Welche Maßnahmen wurden und werden zur Minimierung des Schadens getroffen? (Sofortige technische und organisatorische Maßnahmen wie Passworteindämmung, Systemisolierung oder der Widerruf versendeter E-Mails)

 

Wichtiger Hinweis zur zeitlichen Abfolge: Die eigentliche, tiefe und umfassende Aufarbeitung sowie Ursachenanalyse der Datenschutzverletzung beginnt im Regelfall erst nach der erfolgten Erstmeldung bei der Aufsichtsbehörde. In den ersten 72 Stunden hat die Schadensbegrenzung und Fristwahrung absolute Priorität!