Datenpanne
Eine Datenpanne liegt vor, wenn Daten von Personen verloren gehen, gestohlen werden, unbrauchbar werden oder an Falsche geraten. Dazu zählt schon ein Rundschreiben, bei dem alle Adressen offen im An-Feld stehen. Besteht dabei ein Risiko für die Betroffenen, muss die Aufsichtsbehörde binnen 72 Stunden informiert werden. Diese Frist läuft ab dem Moment, in dem Sie davon erfahren.
Das hier ist keine Rechtsberatung. Wir erklären, was der Begriff bedeutet und wie man sich vorbereitet. Ob ein konkreter Vorfall meldepflichtig ist, ist eine Bewertung im Einzelfall und gehört sofort in die Hand einer Kanzlei für IT-Recht oder einer Datenschutzberatung. Wenn Sie gerade mitten in einem Vorfall stecken, rufen Sie dort an, bevor Sie weiterlesen.
Was das genau bedeutet
Der Begriff klingt nach Hackerangriff, und genau das ist das Missverständnis. Die häufigsten Fälle in kleinen Betrieben sind banal. Ein Rundschreiben geht an achtzig Adressen, alle stehen offen im An-Feld, jeder sieht jeden. Ein Angebot geht an den falschen Empfänger, weil die Autovervollständigung im Postfach zugeschlagen hat. Ein Laptop verschwindet aus dem Auto. Ein Ordner mit Bewerbungen landet im Altpapier statt im Aktenvernichter.
Auch der Verlust ohne fremden Zugriff zählt. Wenn Ihr Server ausfällt, es keine Sicherungskopie gibt und Kundendaten damit weg sind, ist das ebenfalls eine Verletzung. Der Schutz umfasst nicht nur Geheimhaltung, sondern auch Verfügbarkeit. Daten, die niemand mehr hat, sind auch für die Betroffenen verloren.
Entscheidend für das weitere Vorgehen ist die Frage nach dem Risiko. Eine falsch adressierte Terminbestätigung an eine Nachbarin ist etwas anderes als eine abhandengekommene Liste mit Gesundheitsdaten. Je empfindlicher die Daten und je größer der Kreis, desto eher ist zu melden. Diese Einordnung ist der Punkt, an dem Fachleute gebraucht werden, und zwar schnell.
Warum das für Ihr Unternehmen zählt
Die Frist ist der Grund, warum dieses Thema vorher geklärt sein muss. 72 Stunden klingen nach viel und sind es nicht, wenn der Vorfall an einem Freitagnachmittag auffällt. In dieser Zeit muss geklärt werden, was passiert ist, wer betroffen ist, was bereits getan wurde, und es muss eine Meldung geschrieben sein. Wer erst dann anfängt, eine Beratung zu suchen, verliert den ersten Tag mit der Suche.
Der zweite Punkt ist unangenehm, aber wichtig: Verschweigen macht aus einem beherrschbaren Vorfall einen ernsten. Eine gemeldete Panne mit sauberer Aufarbeitung ist ein Verwaltungsvorgang. Dieselbe Panne, die durch eine Beschwerde ans Licht kommt, nachdem der Betrieb nichts gesagt hat, wird ganz anders bewertet.
Und drittens entscheidet die Vorbereitung über den Ausgang. Wer weiß, wo welche Daten liegen, wer sie sieht und wer im Ernstfall anzurufen ist, kann in wenigen Stunden ein vollständiges Bild liefern. Genau dafür sind das Verzeichnis der Verarbeitungen und die Liste der Zugänge da, die man sonst für lästige Bürokratie hält.
So gehen Sie vor
- Legen Sie heute fest, wer im Ernstfall die Führung übernimmt. Eine Person, ein Vertreter, beide mit Telefonnummer auf einem Blatt, das nicht nur digital existiert. Wenn der Vorfall die Technik betrifft, hilft eine Datei auf dem betroffenen Server niemandem.
- Notieren Sie vorab die Nummern, die Sie dann brauchen. Ihre Datenschutzberatung oder Kanzlei, Ihr Hoster, die Person, die Ihre Webseite betreut, und die zuständige Aufsichtsbehörde Ihres Bundeslandes. Diese Recherche im Ernstfall zu machen, kostet einen halben Tag.
- Im Fall der Fälle: erst stoppen, dann dokumentieren. Betroffene Zugänge sperren, Passwörter ändern, den Versand anhalten. Danach aufschreiben, was wann bemerkt wurde und was Sie getan haben, mit Uhrzeiten. Diese Notizen sind später die Grundlage der Meldung.
- Holen Sie die Einschätzung ein, bevor Sie handeln. Ob gemeldet werden muss und ob die Betroffenen zusätzlich informiert werden müssen, ist keine Bauchentscheidung. Rufen Sie an, auch wenn Sie sich unsicher fühlen, ob es schlimm genug ist. Genau diese Unsicherheit ist der Anlass für den Anruf.
- Ziehen Sie danach eine Konsequenz und schreiben Sie sie auf. Blindkopie statt offenem Verteiler, Sicherungskopie außerhalb des Servers, Zugangssperrung am letzten Arbeitstag. Ein Vorfall, aus dem sichtbar etwas gelernt wurde, wird anders bewertet als einer, der folgenlos bleibt.
Typische Fehler
Vier Reaktionen, die die Lage regelmäßig verschlechtern.
Das war doch nur eine E-Mail an den Falschen.
Auch das kann eine meldepflichtige Verletzung sein, je nachdem was darin stand. Ein Angebot über eine Heizung ist harmlos, ein Befund oder eine Gehaltsabrechnung nicht. Die Bewertung hängt am Inhalt, nicht an der Zahl der Empfänger.
Wir schauen erst einmal in Ruhe, wie schlimm es wirklich ist.
Die Frist läuft ab dem Bekanntwerden, nicht ab dem Abschluss der Untersuchung. Eine Meldung darf ausdrücklich unvollständig abgegeben und später ergänzt werden. Abwarten, bis alles geklärt ist, ist der häufigste Fehler.
Wenn wir es melden, bekommen wir erst recht Ärger.
Die Meldung ist der Normalfall und kein Schuldeingeständnis. Behörden bearbeiten sehr viele davon. Was zusätzlichen Ärger erzeugt, ist eine unterlassene Meldung, die später auffällt, weil sich eine betroffene Person beschwert.
Der Hoster war schuld, das ist nicht unser Problem.
Nach außen bleiben Sie verantwortlich. Ihr Dienstleister muss Sie informieren, melden müssen im Regelfall Sie. Genau dafür steht die Informationspflicht im AV-Vertrag, und genau deshalb ist dieser Vertrag mehr als Papier.
Verwandte Begriffe
Wie wir damit umgehen
Vorbeugen können wir bei dem Teil, der die Webseite betrifft: verschlüsselte Formulare, getrennte Zugänge, aktuelle Software, Sicherungskopien außerhalb des Servers und Protokolle, mit denen sich im Zweifel nachvollziehen lässt, was wann passiert ist. Wenn es doch einmal ernst wird, liefern wir die technischen Fakten für Ihre Meldung. Die Meldung selbst und die Bewertung des Risikos gehören zu Ihrer Beratung, nicht zu uns.
Vorbereitet sein kostet einen Nachmittag
Die DSGVO-Checkliste enthält die technischen Punkte, die im Ernstfall den Unterschied machen: Sicherungskopien, Zugänge, Verschlüsselung. Eine rechtliche Prüfung ersetzt sie nicht.