Datenpanne: 72 Stunden, und was in dieser Frist zu tun ist
Die Meldefrist beginnt mit der Kenntnis, nicht mit der Klärung. Wer wartet, bis alles verstanden ist, hat die Frist meist schon versäumt – dabei ist eine unvollständige Meldung ausdrücklich vorgesehen.
Eine Verletzung des Schutzes personenbezogener Daten ist mehr als ein Hackerangriff. Sie umfasst jede Vernichtung, jeden Verlust, jede Veränderung und jede unbefugte Offenlegung – ob absichtlich oder versehentlich.
Damit fällt der Großteil der Fälle nicht unter „Angriff“, sondern unter „Missgeschick“: die E-Mail an den falschen Verteiler, der offene Ordner auf dem Server, der verlorene Laptop, die versehentlich gelöschte Datenbank ohne Sicherung.
Die ersten 72 Stunden
- EindämmenZuerst den Abfluss stoppen: Zugang sperren, Freigabe zurücknehmen, Passwörter wechseln. Vor jeder Dokumentation.
- FeststellenWelche Daten, wie viele Personen, welcher Zeitraum, wer hatte Zugriff. Auch grobe Angaben genügen zunächst.
- Risiko einschätzenAus Sicht der betroffenen Personen. Verschlüsselte Daten mit sicherem Schlüssel bergen ein anderes Risiko als offene Klarnamen.
- MeldenAn die zuständige Aufsichtsbehörde, sofern ein Risiko besteht. Unvollständige Meldungen sind zulässig und werden nachgereicht.
- DokumentierenJede Panne, auch die nicht gemeldete. Die Entscheidung gegen eine Meldung ist selbst dokumentationspflichtig.
Zwei Schwellen, nicht eine
Meldung an die Behörde und Information der Betroffenen
An die Aufsichtsbehörde
An die betroffenen Personen
Schwelle: ein Risiko besteht
Schwelle: ein <em>hohes</em> Risiko besteht
Frist: 72 Stunden ab Kenntnis
Frist: unverzüglich
Inhalt: Art der Verletzung, Umfang, Folgen, Maßnahmen, Kontaktstelle
Inhalt: dasselbe, aber in klarer und einfacher Sprache
Entfällt nur, wenn ein Risiko unwahrscheinlich ist
Entfällt auch bei wirksamer Verschlüsselung oder nachträglichen Maßnahmen
Was sich vorher vorbereiten lässt
- Die zuständige Behörde und ihr Meldeformular – herauszufinden, während die Uhr läuft, kostet Stunden.
- Ein Verzeichnis der Verarbeitungen – ohne es lässt sich nicht sagen, welche Daten betroffen sind.
- Eine Meldekette, die auch am Samstagabend funktioniert, samt einer Vertretung.
- Ein Textbaustein für die Information der Betroffenen – geschrieben in Ruhe, nicht unter Druck.