Datenschutzvorfall: Was ist jetzt zu tun?
Falsch versendete E-Mail, verlorene Unterlagen, offene Berechtigungen oder ein Cyberangriff: Bei einem möglichen Datenschutzvorfall zählt eine schnelle, geordnete Reaktion. Dieser Beitrag zeigt den allgemeinen Ablauf von der ersten Sicherung bis zur Dokumentation.
Kurzantwort
Nach einem möglichen Datenschutzvorfall muss zuerst weiterer Schaden begrenzt und der Sachverhalt gesichert werden. Danach ist zu klären, ob personenbezogene Daten tatsächlich in ihrer Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigt wurden.
Liegt eine Datenschutzverletzung vor, folgt die Risikobewertung: Bei voraussichtlich keinem Risiko genügt die interne Dokumentation. Bei einem Risiko ist grundsätzlich eine Meldung nach Art. 33 DSGVO erforderlich. Bei einem voraussichtlich hohen Risiko kommt zusätzlich die Benachrichtigung nach Art. 34 DSGVO hinzu.
Der Verantwortliche entscheidet und dokumentiert. Datenschutzbeauftragter, IT, Fachbereich und Leitung unterstützen entsprechend ihrer Aufgaben.
Einordnung
Datenschutzvorfall oder bereits Datenschutzverletzung?
„Datenschutzvorfall“ ist ein praktischer Sammelbegriff. Er beschreibt zunächst einen Sachverhalt, bei dem personenbezogene Daten betroffen sein könnten. Erst die Prüfung zeigt, ob rechtlich eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO vorliegt.
Eine solche Verletzung kann die Vertraulichkeit betreffen, etwa bei einer Offenlegung an falsche Empfänger. Sie kann außerdem die Integrität beeinträchtigen, wenn Daten unbefugt verändert werden. Schließlich kann auch ein Verlust der Verfügbarkeit relevant sein, beispielsweise wenn notwendige personenbezogene Daten durch einen Angriff zeitweise nicht erreichbar sind.
Typische Fälle sind falsch versendete Nachrichten, offene Verteiler, verlorene Akten oder Geräte, ungeschützte Freigaben, fehlerhafte Berechtigungen, versehentliche Veröffentlichungen, unbefugte Einsichtnahmen und Cyberangriffe.
Wichtig: Nicht jeder Verdacht bestätigt sich als Datenschutzverletzung. Dennoch sollte jeder plausible Vorfall sofort gesichert, geprüft und bis zur belastbaren Einordnung dokumentiert werden.
Sofort handeln
Was in den ersten Minuten zu tun ist
Zuerst geht es um Schadensbegrenzung, nicht um Schuldzuweisung. Die zuständige Stelle sollte den Vorfall aufnehmen, Uhrzeit und Meldeweg festhalten und die erforderlichen Personen einbinden.
Je nach Fall kommen insbesondere folgende Sofortmaßnahmen infrage:
- falsche Empfänger um Nichtverwendung, Löschung und Bestätigung bitten,
- Freigaben, Benutzerkonten oder Zugänge sperren,
- Passwörter und kompromittierte Zugangsdaten ändern,
- veröffentlichte Dateien oder Inhalte entfernen,
- Protokolle, E-Mail-Verläufe, Dateistände und sonstige Nachweise sichern,
- IT-Systeme isolieren, ohne notwendige Spuren vorschnell zu vernichten,
- bei Papierunterlagen Rückgabe, Sicherung oder datenschutzgerechte Vernichtung veranlassen.
Ein technischer Rückruf einer E-Mail ist keine verlässliche alleinige Maßnahme. Entscheidend ist, ob der Zugriff tatsächlich verhindert oder die Löschung nachvollziehbar bestätigt werden konnte.
Rechtsgrundlagen
Welche Pflichten gelten?
Art. 4 Nr. 12 DSGVO definiert die Datenschutzverletzung. Art. 33 DSGVO regelt die Meldung an die zuständige Aufsichtsbehörde. Diese Meldung ist grundsätzlich erforderlich, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die Meldung muss unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem der Verantwortliche von der Datenschutzverletzung Kenntnis erlangt hat. Sind noch nicht alle Informationen verfügbar, können Angaben nach Art. 33 Abs. 4 DSGVO schrittweise nachgereicht werden.
Art. 34 DSGVO betrifft die betroffenen Personen. Eine Benachrichtigung ist grundsätzlich erforderlich, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat.
Unabhängig von einer Meldung verlangt Art. 33 Abs. 5 DSGVO eine Dokumentation des Sachverhalts, seiner Auswirkungen und der ergriffenen Abhilfemaßnahmen. Auch die Begründung, weshalb keine Meldung erforderlich war, sollte nachvollziehbar festgehalten werden.
Ablauf
Datenschutzvorfall in 6 Schritten bearbeiten
Vorfall eindämmen
Weitere Offenlegungen, Zugriffe, Veränderungen oder Datenverluste verhindern. Dabei Beweise und Protokolle erhalten.
Intern melden und koordinieren
Den festgelegten Meldeweg nutzen. Je nach Fall Leitung, Fachbereich, IT, Informationssicherheit und Datenschutzbeauftragten einbinden.
Sachverhalt klären
Festhalten, was wann passiert ist, welche Daten und Personen betroffen sind, wer Zugriff hatte und welche Schutzmaßnahmen bestanden.
Verletzung und Risiko bewerten
Prüfen, ob eine Datenschutzverletzung vorliegt und welche physischen, materiellen oder immateriellen Nachteile für Betroffene eintreten könnten.
Meldung und Benachrichtigung entscheiden
Bei Risiko die Meldung nach Art. 33 DSGVO, bei hohem Risiko zusätzlich Art. 34 DSGVO prüfen. Fehlende Informationen gegebenenfalls nachreichen.
Dokumentieren und verbessern
Entscheidung, Maßnahmen und Abschlussbewertung dokumentieren. Danach technische und organisatorische Verbesserungen umsetzen.
Bewertung
Das Risiko für betroffene Personen richtig bewerten
Maßgeblich ist nicht der mögliche Imageschaden der Organisation. Bewertet werden die möglichen Folgen für die betroffenen Menschen.
Wichtige Kriterien sind insbesondere:
- Art, Sensibilität und Umfang der Daten,
- Zahl und besondere Schutzbedürftigkeit der betroffenen Personen,
- Identifizierbarkeit und mögliche Verknüpfbarkeit der Informationen,
- Vertrauenswürdigkeit und Pflichten des unberechtigten Empfängers,
- Wahrscheinlichkeit einer Nutzung oder weiteren Verbreitung,
- mögliche Folgen wie Diskriminierung, Identitätsmissbrauch, finanzieller Verlust, Rufschädigung oder Verlust der Vertraulichkeit,
- Wirksamkeit von Verschlüsselung, Zugriffssperren, Löschung und weiteren Gegenmaßnahmen.
Eine Löschbestätigung oder wirksame Verschlüsselung kann das Risiko mindern. Sie beseitigt die Datenschutzverletzung jedoch nicht automatisch. Außerdem kann sich eine Bewertung ändern, wenn später neue Tatsachen bekannt werden.
Die praktische Schwelle: Nur wenn die Verletzung voraussichtlich nicht zu einem relevanten Risiko führt, darf die Meldung nach Art. 33 DSGVO unterbleiben. Bei einem voraussichtlich hohen Risiko ist zusätzlich Art. 34 DSGVO zu prüfen.
Organisation
Wer ist intern wofür zuständig?
Die Verantwortung für die datenschutzrechtliche Entscheidung liegt beim Verantwortlichen, also etwa bei der Kommune, Behörde oder dem Unternehmen. Intern sollte klar geregelt sein, welche Stelle den Prozess koordiniert und wer die Entscheidung freigibt.
Der betroffene Fachbereich liefert den Sachverhalt und die fachliche Einordnung. Die IT beziehungsweise Informationssicherheit übernimmt technische Sicherung und Analyse. Der Datenschutzbeauftragte berät bei Einordnung, Risiko, Meldung und Benachrichtigung und ist frühzeitig einzubeziehen.
Der Datenschutzbeauftragte ersetzt jedoch nicht die Entscheidung des Verantwortlichen. Außerdem sollte der Kreis der informierten Personen auf diejenigen begrenzt bleiben, die für Aufklärung und Maßnahmen tatsächlich erforderlich sind.
Auftragsverarbeitung
Was gilt bei einem Vorfall beim Dienstleister?
Ein Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren, sobald ihm eine Datenschutzverletzung bekannt wird. Die Meldung an die Aufsichtsbehörde ist grundsätzlich Aufgabe des Verantwortlichen.
Ein allgemeiner Hinweis des Dienstleisters reicht für die eigene Bewertung regelmäßig nicht aus. Benötigt werden unter anderem Angaben zu den betroffenen Datenbeständen, Zeiträumen, Zugriffsmöglichkeiten, Schutzmaßnahmen, betroffenen Personen und bereits ergriffenen Gegenmaßnahmen.
Verträge und interne Prozesse sollten deshalb feste Meldewege, erreichbare Ansprechpersonen und die erforderlichen Informationsinhalte vorsehen. Bei komplexen Cybervorfällen können Erstmeldung, Nachmeldungen und eine abschließende Bewertung notwendig sein.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD stellt bayerischen öffentlichen Stellen ein Online-Verfahren für Meldungen nach Art. 33 DSGVO bereit. Er unterscheidet zwischen vorläufigen, aktualisierten und abschließenden Meldungen und weist darauf hin, dass eine Meldung die erforderlichen Abhilfemaßnahmen nicht ersetzt.
Seine Orientierungshilfe beschreibt drei Risikostufen: Bei voraussichtlich keinem relevanten Risiko unterbleiben Meldung und Benachrichtigung. Bei einem Risiko ist die Aufsichtsbehörde zu informieren. Bei einem hohen Risiko sind grundsätzlich zusätzlich die betroffenen Personen zu benachrichtigen.
Der BayLfD betont außerdem, dass die 72-Stunden-Frist auch über Samstage, Sonntage und Feiertage weiterläuft. Bei komplexen Angriffen dürfen fehlende Angaben nachgereicht werden; eine notwendige Erstmeldung soll deshalb nicht bis zur vollständigen technischen Aufklärung aufgeschoben werden.
Für den behördlichen Datenschutzbeauftragten gilt eine Besonderheit: Vertraulich erlangtes Wissen ist dem Verantwortlichen nicht ohne Weiteres zuzurechnen. Gleichwohl soll der Datenschutzbeauftragte auf Risikominimierung und einen funktionierenden internen Meldeweg hinwirken und in den Meldeprozess einbezogen werden.
Praxisfehler
Typische Fehler nach einem Datenschutzvorfall
Ein häufiger Fehler ist, den Vorfall nur technisch oder nur datenschutzrechtlich zu bearbeiten. Beides muss parallel erfolgen: eindämmen, aufklären, Risiko bewerten und Fristen steuern.
Problematisch ist auch das Abwarten auf vollständige Gewissheit. Eine kurze Erstprüfung ist notwendig. Sie darf jedoch nicht dazu führen, dass ein bereits ausreichend bekannter meldepflichtiger Vorfall unnötig liegen bleibt.
Ebenso unzureichend sind pauschale Entscheidungen. Weder muss jeder Vorfall gemeldet werden, noch darf bei vermeintlich geringer Datenmenge automatisch von einem fehlenden Risiko ausgegangen werden.
Schließlich fehlen häufig eine belastbare Begründung, ein festgehaltener Kenntniszeitpunkt und die Nachbereitung. Dadurch lässt sich später weder die Frist noch die Entscheidung nachvollziehen.
Prüffragen
Kurze Prüfliste für den Ernstfall
Was ist passiert und wann wurde der Vorfall intern bekannt?
Welche Sofortmaßnahmen verhindern weiteren Schaden?
Welche personenbezogenen Daten und Personen sind betroffen?
Liegt eine Vertraulichkeits-, Integritäts- oder Verfügbarkeitsverletzung vor?
Wer hatte oder hat möglicherweise Zugriff?
Welche physischen, materiellen oder immateriellen Folgen sind möglich?
Welche Schutz- und Gegenmaßnahmen mindern Eintrittswahrscheinlichkeit oder Schwere?
Besteht voraussichtlich kein Risiko, ein Risiko oder ein hohes Risiko?
Ist eine Meldung nach Art. 33 DSGVO erforderlich?
Ist eine Benachrichtigung nach Art. 34 DSGVO erforderlich?
Müssen Angaben später ergänzt oder die Risikobewertung aktualisiert werden?
Sind Entscheidung, Maßnahmen und Verbesserungen vollständig dokumentiert?
Häufige Fragen
FAQ zum Datenschutzvorfall
Ist jeder Datenschutzvorfall eine Datenschutzverletzung?
Nein. Datenschutzvorfall ist zunächst ein praktischer Sammelbegriff. Erst die Prüfung zeigt, ob eine Sicherheitsverletzung personenbezogene Daten tatsächlich in ihrer Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigt hat.
Muss jeder Datenschutzvorfall gemeldet werden?
Nein. Eine Meldung nach Art. 33 DSGVO ist erforderlich, wenn eine Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Wann beginnt die 72-Stunden-Frist?
Die Frist beginnt, wenn der Verantwortliche mit hinreichender Sicherheit weiß, dass eine Sicherheitsverletzung zu einer Beeinträchtigung personenbezogener Daten geführt hat. Eine kurze Erstprüfung ist möglich, die vollständige Aufklärung darf aber nicht abgewartet werden.
Was tun, wenn noch nicht alle Informationen vorliegen?
Eine notwendige Meldung sollte nicht aufgeschoben werden. Fehlende Angaben können nach Art. 33 Abs. 4 DSGVO schrittweise ergänzt werden.
Muss ein nicht meldepflichtiger Vorfall dokumentiert werden?
Liegt eine Datenschutzverletzung vor, muss sie nach Art. 33 Abs. 5 DSGVO dokumentiert werden. Dazu gehört auch die nachvollziehbare Begründung, weshalb keine Meldung erforderlich war.
Wer entscheidet über die Meldung?
Die Entscheidung trifft der Verantwortliche. Der Datenschutzbeauftragte berät, während Fachbereich, IT und weitere zuständige Stellen die notwendigen Tatsachen und Maßnahmen beitragen.
Beendet eine Löschbestätigung des falschen Empfängers den Fall?
Nein. Eine glaubhafte Löschung kann das Risiko deutlich mindern, ersetzt aber weder die Einordnung noch die Dokumentation. Die konkrete Risikobewertung bleibt erforderlich.
Ergebnis
Fazit
Bei einem Datenschutzvorfall zählt ein vorbereiteter Ablauf. Zuerst muss weiterer Schaden begrenzt werden. Danach folgen Sachverhaltsklärung, rechtliche Einordnung, Risikobewertung und die Entscheidung über Meldung oder Benachrichtigung.
Nicht jeder Vorfall ist meldepflichtig. Eine bestätigte Datenschutzverletzung muss jedoch dokumentiert werden. Zudem sollte die Organisation aus dem Vorfall konkrete technische und organisatorische Verbesserungen ableiten.
Die Spezialfragen zur Meldepflicht, zu kommunalen Vorfällen und zu falsch versendeten E-Mails werden in den nachfolgenden Beiträgen vertieft.
Weiterlesen
Weiterführende Beiträge
Nachweise
Quellen
Datenschutzvorfall sicher einordnen?
Bei knappen Fristen und unvollständigem Sachverhalt kommt es auf eine strukturierte Bewertung an. So lassen sich notwendige Meldungen rechtzeitig abgeben und nicht erforderliche Meldungen nachvollziehbar vermeiden.
Datenschutzvorfall prüfen lassen