Datenschutzverletzung in der Kommune: Datenpanne richtig bearbeiten

Einordnung

Datenschutzverletzung in der Kommune: Worum geht es?

Kommunen verarbeiten personenbezogene Daten in nahezu allen Aufgabenbereichen. Dazu zählen unter anderem Meldedaten, Steuerdaten, Personalunterlagen, Bauakten, Gewerbedaten, Sozialdaten, Daten von Kindern, Sitzungsunterlagen und Informationen aus Ordnungswidrigkeitenverfahren.

Eine Datenpanne kann deshalb unterschiedliche Folgen haben. Neben der Vertraulichkeit können auch die Richtigkeit und die Verfügbarkeit der Daten betroffen sein. Ein verschlüsseltes Fachverfahren kann beispielsweise selbst dann eine Datenschutzverletzung darstellen, wenn ein Datenabfluss noch nicht nachgewiesen ist.

Der kommunale Schwerpunkt liegt auf einem funktionierenden Verfahren: Beschäftigte müssen Vorfälle unverzüglich intern melden können. Anschließend sind technische Eindämmung, Sachverhaltsaufklärung, Risikobewertung und rechtliche Entscheidungen parallel zu organisieren.

Nicht jeder Verstoß gegen eine Datenschutzvorschrift ist automatisch eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO. Umgekehrt kann bereits ein unbeabsichtigter Alltagsfehler eine Datenschutzverletzung auslösen.

Definition

Wann liegt eine Datenschutzverletzung vor?

Erforderlich ist eine Sicherheitsverletzung mit einem tatsächlichen Verletzungserfolg. Personenbezogene Daten müssen vernichtet, verloren, verändert, unbefugt offengelegt oder für unbefugte Personen zugänglich geworden sein. Auch eine zeitweise fehlende Verfügbarkeit kann erheblich sein, wenn dadurch Nachteile für betroffene Personen drohen.

Typischerweise wird zwischen drei Erscheinungsformen unterschieden:

Organisation

Wer ist in der Kommune verantwortlich?

Verantwortlicher im Sinne der DSGVO ist die Kommune beziehungsweise die jeweils rechtlich verantwortliche öffentliche Stelle. Sie muss sicherstellen, dass Vorfälle erkannt, intern weitergeleitet, bewertet, eingedämmt und dokumentiert werden.

Der betroffene Fachbereich liefert den Sachverhalt und setzt fachliche Sofortmaßnahmen um. Die IT sichert Systeme, Protokolle und Zugänge. Die Verwaltungsleitung beziehungsweise die intern zuständige Stelle trifft die Entscheidungen des Verantwortlichen und veranlasst erforderliche Meldungen.

Der behördliche Datenschutzbeauftragte sollte frühzeitig eingebunden werden. Er berät insbesondere zur Einordnung, Risikobewertung und Dokumentation. Die Verantwortung für die Entscheidung kann jedoch nicht auf ihn übertragen werden.

Je nach Vorfall können außerdem Informationssicherheitsbeauftragte, Personalstelle, Rechtsamt, Pressestelle, Fachaufsicht, Polizei oder weitere Stellen einzubeziehen sein. Dabei dürfen Informationen nur bedarfsgerecht weitergegeben werden.

Praxisfälle

Typische Datenschutzverletzungen in Kommunen

Ob ein Vorgang tatsächlich eine Datenschutzverletzung darstellt, hängt vom konkreten Verletzungserfolg ab. Eine bloße Sicherheitslücke ohne feststellbare oder hinreichend anzunehmende Beeinträchtigung personenbezogener Daten ist davon abzugrenzen.

Art. 33 und 34 DSGVO

Das Risiko für betroffene Personen bewerten

Die Risikobewertung richtet sich nicht nach dem möglichen Imageschaden der Kommune. Maßgeblich sind die wahrscheinlichen körperlichen, materiellen oder immateriellen Nachteile für die betroffenen Personen.

Zu berücksichtigen sind insbesondere Sensibilität und Umfang der Daten, Identifizierbarkeit, Zahl und Schutzbedürftigkeit der Betroffenen, Art des Empfängers, mögliche Weiterverwendung, Dauer der Beeinträchtigung, bereits eingetretene Folgen sowie die Wirksamkeit der Gegenmaßnahmen.

Besondere Kategorien personenbezogener Daten, Sozialdaten, Angaben zu Straftaten, Auskunftssperren, Zugangsdaten oder Informationen über besonders schutzbedürftige Personen erhöhen häufig die mögliche Schwere. Dennoch bleibt eine objektive Einzelfallbewertung notwendig.

Frist

Wann beginnt die 72-Stunden-Frist?

Die Frist beginnt, sobald die Kommune hinreichende Gewissheit hat, dass eine Sicherheitsverletzung eingetreten ist und personenbezogene Daten beeinträchtigt wurden. Ein bloß unbestätigter Verdacht löst die Frist nicht zwingend aus. Die notwendige Erstprüfung muss jedoch unverzüglich und ohne vermeidbare Verzögerung erfolgen.

Die vollständige technische oder organisatorische Aufklärung darf nicht abgewartet werden. Sind nach der Erstprüfung Risiken nicht ausgeschlossen und liegt eine Datenschutzverletzung vor, sollte die Kommune mit den verfügbaren Informationen melden.

Fehlende Angaben können nach Art. 33 Abs. 4 DSGVO schrittweise ergänzt werden. Bei komplexen Cyberangriffen kommen Erstmeldung, Zwischenberichte und Abschlussbericht in Betracht. Eine Meldung nach Ablauf von 72 Stunden bleibt erforderlich; die Verzögerung ist dann zu begründen.

Art. 34 DSGVO

Wann müssen betroffene Personen informiert werden?

Die Meldung an den BayLfD und die Benachrichtigung betroffener Personen haben unterschiedliche Schwellen. Eine Benachrichtigung ist grundsätzlich erst erforderlich, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Die Information muss ohne unangemessene Verzögerung, in klarer und einfacher Sprache erfolgen. Sie soll die Art der Verletzung, eine Kontaktmöglichkeit, die wahrscheinlichen Folgen sowie ergriffene oder vorgeschlagene Schutzmaßnahmen erläutern.

Die Benachrichtigung soll Betroffene in die Lage versetzen, sich selbst zu schützen. Je nach Fall können beispielsweise Passwortwechsel, Kontosperren, besondere Aufmerksamkeit gegenüber Betrugsversuchen oder die Kontaktaufnahme mit einer zuständigen Stelle empfohlen werden.

Art. 34 Abs. 3 DSGVO und ergänzende Regelungen können Ausnahmen vorsehen. Eine solche Ausnahme ist jedoch konkret zu prüfen und nachvollziehbar zu dokumentieren.

Sofort handeln

Sofortmaßnahmen nach einer kommunalen Datenpanne

Sofortmaßnahmen dürfen nicht bis zum Abschluss der rechtlichen Bewertung warten. Die Kommune sollte den Schaden begrenzen und gleichzeitig belastbare Informationen sichern.

Ein technischer Rückruf einer E-Mail oder die bloße Hoffnung, dass niemand die Daten gesehen hat, genügt nicht als belastbare Gegenmaßnahme. Entscheidend sind die tatsächlich erreichte Eindämmung und ihre Nachweisbarkeit.

Rechenschaftspflicht

Was muss die Kommune dokumentieren?

Art. 33 Abs. 5 DSGVO verlangt eine Dokumentation jeder festgestellten Datenschutzverletzung. Sie muss der Aufsichtsbehörde ermöglichen, die Einhaltung der gesetzlichen Pflichten zu überprüfen.

Die Dokumentation sollte mindestens den Sachverhalt, Zeitpunkte, Ursache, betroffene Daten und Personen, Auswirkungen, Risikobewertung, Sofort- und Abhilfemaßnahmen, interne Beteiligte sowie die Entscheidungen zu Art. 33 und Art. 34 DSGVO enthalten.

Wird nicht gemeldet, ist gerade die Begründung wichtig, weshalb die Datenschutzverletzung voraussichtlich nicht zu einem Risiko führt. Neue Erkenntnisse können eine erneute Bewertung erforderlich machen.

Zusätzlich sollte die Kommune festhalten, welche nachhaltigen Maßnahmen beschlossen wurden. Dazu können Schulungen, Vier-Augen-Prüfungen, technische Versandwarnungen, Berechtigungskontrollen, sichere Austauschwege oder angepasste Notfallprozesse gehören.

Auftragsverarbeitung

Vorfall beim Dienstleister oder Cyberangriff

Ein Vorfall bei einem kommunalen IT-Dienstleister, Rechenzentrum oder Fachverfahrensanbieter entlastet die Kommune nicht automatisch. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Die Kommune muss anschließend die Auswirkungen auf ihre eigenen Daten und betroffenen Personen eigenständig bewerten.

Allgemeine Informationsschreiben des Dienstleisters reichen hierfür häufig nicht aus. Benötigt werden unter anderem Angaben zu betroffenen Systemen und Daten, Angriffszeitraum, möglichem Zugriff oder Abfluss, Schutzmaßnahmen, Protokollen, betroffenen Mandanten und verbleibenden Unsicherheiten.

Bei Ransomware ist nicht nur ein möglicher Datenabfluss relevant. Auch die fehlende Verfügbarkeit kann Risiken verursachen, wenn die Kommune wichtige Leistungen oder Entscheidungen nicht rechtzeitig erbringen kann.

Für komplexe Vorfälle empfiehlt sich ein abgestuftes Vorgehen mit Erstmeldung, Ergänzungen und Abschlussbewertung. Die Verträge mit Auftragsverarbeitern sollten bereits vor einem Vorfall klare Informations- und Mitwirkungspflichten festlegen.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD stellt bayerischen öffentlichen Stellen ein strukturiertes Online-Formular für Meldungen nach Art. 33 DSGVO bereit. Er unterscheidet dort vollständige, vorläufige, aktualisierte und abschließende Meldungen. Bei einer verspäteten Meldung ist die Verzögerung zu begründen.

Seine Orientierungshilfe grenzt drei Risikostufen ab. Voraussichtlich kein Risiko führt nicht zur Meldung. Ein datenschutzrechtlich relevantes Risiko löst die Meldepflicht aus. Bei voraussichtlich hohem Risiko kommt grundsätzlich zusätzlich die Benachrichtigung betroffener Personen hinzu.

Für Cyberangriffe hebt der BayLfD hervor, dass die Kommune einen Dienstleistervorfall selbst bewerten muss. Allgemeine Mitteilungen dürfen nicht lediglich an die Aufsicht weitergereicht werden. Wenn Risiken nicht zweifelsfrei ausgeschlossen werden können, soll mit dem bisher bekannten Sachstand gemeldet und später ergänzt werden.

Aus der kommunalen Praxis nennt der BayLfD unter anderem Fehlversendungen, fehlerhafte Tabellen und Hackerangriffe. Dabei bleibt die Meldung nur ein Teil der Reaktion: Eindämmung, Abhilfemaßnahmen und vollständige Dokumentation sind ebenso erforderlich.

Praxisfehler

Typische Fehler bei kommunalen Datenschutzverletzungen

Kommunaler Prozess

Ablauf zur Bearbeitung einer Datenschutzverletzung

Häufige Fragen

FAQ zur Datenschutzverletzung in der Kommune

Ergebnis

Fazit

Eine Datenschutzverletzung in der Kommune verlangt keine vorschnelle Panik, sondern einen vorbereiteten Ablauf. Zunächst muss die Kommune den Vorfall eindämmen, personenbezogene Daten und mögliche Betroffene ermitteln und das Risiko objektiv bewerten.

Bei voraussichtlichem Risiko ist unverzüglich und möglichst innerhalb von 72 Stunden an den BayLfD zu melden. Ein voraussichtlich hohes Risiko löst grundsätzlich zusätzlich die Pflicht aus, betroffene Personen zu informieren.

Die Kommune bleibt für Entscheidungen und Nachweise verantwortlich. Ein frühzeitig eingebundener Datenschutzbeauftragter, klare interne Meldewege und belastbare Vereinbarungen mit Dienstleistern helfen, Fristen und Schutzmaßnahmen zuverlässig einzuhalten.

Weiterlesen

Weiterführende Beiträge und Leistungen

Nachweise

Quellen