Umgang mit Datenschutzverletzungen

Zweck

Die europäische Datenschutzgrundverordnung schreibt vor, dass bei einer Datenschutzverletzung, die ein Risiko für die betroffenen Personen bedeutet, die Aufsichtsbehörden innerhalb von 72 Stunden von diesem Vorfall in Kenntnis zu setzen sind. Damit dieser Vorgang fristgerecht und korrekt ablaufen kann, wird er in diesem Dokument detailliert beschrieben.

Da jeder Datenschutzvorfall ein Informationssicherheitsvorfall ist, sind außerdem die Anweisungen aus der „Richtlinie zum Umgang mit Sicherheitsvorfällen“ (ISMS, 02_26) zu beachten. Sollte es sich außerdem um einen Cyber-Angriff handeln, so gelten zusätzlich die in der ”Arbeitsanweisung für den Umgang mit Cyber Crime” (ISMS, 03_14) beschriebenen Maßnahmen.

Diese Arbeitsanweisung konzentriert sich auf die Einhaltung der gesetzlichen Vorschriften der DSGVO und des BDSG.

Geltungsbereich

Diese Arbeitsanweisung gilt verbindlich für Mitarbeiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Prozessübersicht

Nach der Erkennung eines Datenschutzvorfalls gelten gesetzlich vorgeschriebene Meldepflichten. Die folgende Abbildung zeigt die dabei zu treffenden Entscheidungen. Für die Gesamtübersicht zur Behandlung von Sicherheitsvorfällen siehe „Richtlinie zum Umgang mit Sicherheitsvorfällen“ (ISMS, 02_26).

Erkennen von Datenschutzverletzungen

Die europäische Datenschutzgrundverordnung definiert eine Datenschutzverletzung wie folgt (Art 4 Satz 12):

"eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden."

Wurde eine Datenschutzverletzung erkannt, ist diese umgehend an

die Geschäftsführung (in Person von Philip Hansen) und
den Datenschutzbeauftragten

zu melden. Bei Verletzungen, die bereits auf den ersten Blick als schwerwiegend zu betrachten sind oder bei denen das Risiko für die betroffenen Personen nicht direkt als vernachlässigbar zu betrachten ist, beinhaltet dieser Akt auch, sicherzugehen, dass die Meldung zeitnah vorgenommen wird. Das heißt, dass in diesen Fällen der direkte Kontakt zu suchen ist, da nicht davon ausgegangen werden kann, dass eine E-Mail o.ä. umgehend gelesen wird.

Analyse und Risikoeinschätzung

Sofort nach der Erkennung der Datenschutzverletzung kümmern sich Geschäftsführung und Datenschutzbeauftragter unter Hinzuziehen geeigneter Mitarbeiter (wie z.B. den IT-Administratoren oder eventuell an der Verletzung beteiligten Personen) um die Analyse und die Risikoeinschätzung. Dabei sollte aus Datenschutzsicht insbesondere das Risiko für die betroffene(n) Person(en) im Vordergrund stehen.

Vorlage „Risikoabschätzung bei Datenschutzverstößen“ (ISMS, 06_08)

Meldung an Aufsichtsbehörde

Basierend auf der Risikoabschätzung entscheidet die Geschäftsführung in Abstimmung mit dem Datenschutzbeauftragten, ob eine Meldung an die Aufsichtsbehörde erfolgen soll. Die DSGVO schreibt eine Meldung innerhalb von 72 Stunden vor, wenn ein Risiko für die betroffenen Personen besteht.

Die Meldung erfolgt online über die Seite der Landesbeauftragten für Datenschutz und Informationssicherheit (https://www.ldi.nrw.de/) und kann von jeder Person (auch ohne Account) vorgenommen werden.

Informieren der betroffenen Personen

Stellt die Datenschutzverletzung ein hohes Risiko für die betroffene(n) Person(en) dar, so sind auch diese zu informieren. Sollte die Aufsichtsbehörde dies verlangen, so ist dem ebenfalls Folge zu leisten. Sollte es sich allerdings um eine Straftat handeln, so ist dies mit den Strafverfolgungsbehörden abzustimmen, um eventuelle Ermittlungen nicht zu gefährden. Eine solche Information sollte folgendes enthalten:

eine Beschreibung der Datenschutzverletzung,
Name und Kontaktdaten des Datenschutzbeauftragten
voraussichtliche (negative) Folgen der Datenschutzverletzung für die betroffene Person
eine Beschreibung der Maßnahmen, die getroffen wurden oder werden, um die Auswirkungen möglichst gering zu halten.