Datenschutzverletzungen – was müssen Sie wissen?

In der heutigen digitalen Welt wird der Datenschutz zu einem immer wichtigeren Thema. Jede Organisation, die personenbezogene Daten verarbeitet, muss auf potenzielle Datenschutzverletzungen vorbereitet sein und wissen, wie sie in einer solchen Situation vorgehen muss. In diesem Artikel werden wir die wichtigsten Fragen im Zusammenhang mit Datenschutzverletzungen im Lichte der DSGVO auf der Grundlage der Veröffentlichung der UODO (Polnische Datenschutzbehörde) mit dem Titel „Leitfaden zur DSGVO – Pflichten von Administratoren im Zusammenhang mit Datenschutzverletzungen v2“ erörtern.

Was ist eine Datenschutzverletzung?

Eine Datenschutzverletzung ist ein Sicherheitsvorfall, der zu einer versehentlichen oder rechtswidrigen

• Zerstörung von Daten
• Datenverlust
• Datenänderung
• unbefugten Offenlegung von Daten
• unbefugten Zugriff auf Daten

Eine Datenschutzverletzung kann sowohl eine vorsätzliche Handlung (z. B. ein Cyberangriff) als auch ein zufälliges Ereignis (z. B. der Verlust eines Datenträgers) sein. Entscheidend ist, dass die Datenschutzverletzung personenbezogene Daten betrifft, die verarbeitet werden, und sich negativ auf die Rechte und Freiheiten der betroffenen Personen auswirken kann.

Warum sind Datenschutzverletzungen gefährlich?

Datenschutzverletzungen können schwerwiegende Folgen für die betroffenen Personen haben, wie z. B.:

• Körperverletzung
• Sachschaden (z. B. Identitätsdiebstahl, Finanzbetrug)
• Nicht-finanzieller Schaden (z. B. Rufschädigung, psychischer Stress)

Selbst scheinbar unbedeutende Vorfälle können weitreichende Folgen haben. Daher ist es wichtig, dass die für die Datenverarbeitung Verantwortlichen angemessen auf Verstöße reagieren.

Wer ist für den Datenschutz verantwortlich?

Die Hauptverantwortung liegt beim Datenverantwortlichen, d. h. der Stelle, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Der Verantwortliche muss geeignete technische und organisatorische Maßnahmen ergreifen, um die Datensicherheit zu gewährleisten.

Darüber hinaus spielen folgende Personen eine wichtige Rolle:

• Auftragsverarbeiter – verarbeiten Daten im Auftrag des Verantwortlichen
• Datenschutzbeauftragte (DSB) – beraten und überwachen die Einhaltung der DSGVO

Welche Verantwortlichkeiten hat der Verantwortliche?

Im Zusammenhang mit Verstößen gegen den Schutz personenbezogener Daten hat der Verantwortliche folgende Verantwortlichkeiten:

1. Verhinderung von Verstößen durch die Umsetzung geeigneter Schutzmaßnahmen
2. Erkennung und Identifizierung von Verstößen
3. Reaktion auf Verstöße:
4. Behebung des Verstoßes und Minimierung seiner Auswirkungen
5. Bewertung des mit dem Verstoß verbundenen Risikos
6. Meldung des Verstoßes an die Aufsichtsbehörde (falls ein Risiko besteht)
7. Benachrichtigung der betroffenen Personen (bei hohem Risiko)
8. Dokumentation des Verstoßes

Wie können Datenschutzverletzungen verhindert werden?

Der Schlüssel liegt in der Umsetzung geeigneter technischer und organisatorischer Maßnahmen, wie z. B.:

• Datenverschlüsselung und Pseudonymisierung
• Regelmäßige Tests und Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
• Mitarbeiterschulungen
• Verfahren zur Reaktion auf Vorfälle
• Kontrolle des Datenzugriffs
• Backups

Die Auswahl der Maßnahmen sollte auf einer Analyse der mit der Verarbeitung verbundenen Risiken basieren.

Wie erkennt man Verstöße?

Administratoren sollten Überwachungs- und Vorfallerkennungssysteme implementieren, wie z. B.:

• Intrusion Detection Systems (IDS/IPS)
• Antivirus-Software
• Analyse von Systemprotokollen
• Verfahren zur Meldung von Vorfällen durch Mitarbeiter

Es ist auch wichtig, das Personal darin zu schulen, potenzielle Verstöße zu erkennen.

Was ist nach der Feststellung einer Datenschutzverletzung zu tun?

Nach der Feststellung einer Datenschutzverletzung sollte der Verantwortliche

1. sofort Maßnahmen ergreifen, um die Datenschutzverletzung einzudämmen und ihre Auswirkungen zu minimieren
2. das Risiko für die Rechte und Freiheiten der betroffenen Personen bewerten
3. Meldung des Verstoßes an die Aufsichtsbehörde innerhalb von 72 Stunden, wenn ein Risiko besteht (es sei denn, es kann nachgewiesen werden, dass das Risiko unwahrscheinlich ist)
4. Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko besteht
5. Dokumentation des Verstoßes und der ergriffenen Maßnahmen

Meldung von Verstößen an die Aufsichtsbehörde

Die Meldung an den Präsidenten des Amtes für den Schutz personenbezogener Daten sollte Folgendes enthalten:

• Eine Beschreibung der Art der Verletzung
• Die Kategorien und ungefähre Anzahl der betroffenen Personen
• Die möglichen Folgen der Verletzung
• Die Maßnahmen zur Behebung der Verletzung
• Die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktstelle

Die Meldung kann elektronisch über ein spezielles Formular oder ePUAP erfolgen.

Benachrichtigung der betroffenen Personen

Im Falle eines hohen Risikos muss der Verantwortliche die betroffenen Personen unverzüglich benachrichtigen. Die Benachrichtigung sollte:

• in einfacher und klarer Sprache verfasst sein
• die Art der Verletzung beschreiben
• die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktstelle enthalten
• die möglichen Folgen der Verletzung beschreiben
• die Maßnahmen zur Behebung des Verstoßes beschreiben
• Empfehlungen für Einzelpersonen zur Minimierung möglicher negativer Auswirkungen enthalten

Benachrichtigungen können direkt (z. B. per E-Mail) oder durch eine öffentliche Bekanntmachung erfolgen.

Dokumentation von Verstößen

Der Verantwortliche muss alle Verstöße dokumentieren, unabhängig davon, ob sie gemeldet wurden oder nicht. Die Dokumentation sollte Folgendes enthalten:

• die Umstände des Verstoßes
• seine Auswirkungen
• die ergriffenen Abhilfemaßnahmen
• die Begründung für die Entscheidung, den Verstoß zu melden
• Die Dokumentation dient als Nachweis für die Einhaltung der DSGVO und kann von der Aufsichtsbehörde eingesehen werden.

Grenzüberschreitende Verstöße gegen den Schutz personenbezogener Daten

Eine grenzüberschreitende Datenschutzverletzung ist ein Vorfall, bei dem personenbezogene Daten in mehr als einem Mitgliedstaat der Europäischen Union verarbeitet werden. Dies kann darauf zurückzuführen sein, dass der Verantwortliche oder der Auftragsverarbeiter über Organisationseinheiten in mehreren EU-Ländern verfügt oder dass die Datenschutzverletzung betroffene Personen in verschiedenen Mitgliedstaaten betrifft.

Bei grenzüberschreitenden Datenschutzverletzungen wird der Prozess der Meldung und des Managements von Vorfällen komplexer. Die Verantwortlichen müssen mit Aufsichtsbehörden in verschiedenen Ländern zusammenarbeiten und auch Unterschiede in den lokalen Vorschriften und Verfahren berücksichtigen. Es ist von entscheidender Bedeutung, schnell festzustellen, welche Aufsichtsbehörde in einem bestimmten Fall die federführende Behörde ist, und eine effektive Kommunikation zwischen allen beteiligten Parteien sicherzustellen. Der grenzüberschreitende Charakter der Datenschutzverletzung kann sich auch auf die Risikobewertung und die Art und Weise der Benachrichtigung der betroffenen Personen auswirken, insbesondere wenn es notwendig ist, kulturelle und sprachliche Unterschiede in verschiedenen Ländern zu berücksichtigen.

Zusammenfassung

Eine angemessene Reaktion auf Verstöße gegen den Schutz personenbezogener Daten ist für den Schutz der Rechte der betroffenen Personen von entscheidender Bedeutung. Dies erfordert von den Verantwortlichen:

• angemessene Sicherheitsvorkehrungen zu treffen
• Verfahren zur Reaktion auf Vorfälle vorzubereiten
• im Falle eines Verstoßes schnell zu handeln
• transparent mit der Aufsichtsbehörde und den betroffenen Personen zu kommunizieren

Denken Sie daran, dass der Hauptzweck dieser Maßnahmen darin besteht, die Rechte und Freiheiten des Einzelnen zu schützen und nicht darin, Strafen zu vermeiden. Ein verantwortungsvoller Umgang mit dem Datenschutz schafft Vertrauen und minimiert die negativen Auswirkungen möglicher Verstöße.

Möchten Sie mehr erfahren?

Lesen Sie den neuen Leitfaden der UODO (der polnischen Datenschutzbehörde):

https://uodo.gov.pl/pl/138/3561

Was ist neu in dem Leitfaden?

Die neue Version berücksichtigt die neuesten Auslegungen von Vorschriften, die Rechtsprechung und praktische Tipps, die den Administratoren helfen, im Falle einer Verletzung des Schutzes personenbezogener Daten die richtigen Entscheidungen zu treffen. Sie enthält unter anderem:

• aktualisierte Verfahren für die Reaktion auf Verstöße (Meldung an den Präsidenten des UODO);
• praktische Beispiele und Fallstudien,
• Leitlinien für die Zusammenarbeit mit dem Präsidenten des Amtes für den Schutz personenbezogener Daten und anderen Aufsichtsbehörden sowie
• wichtige Empfehlungen zur Risikobewertung und zur Verhinderung von Verstößen.