DSGVO: Wie Datenpannen zu melden sind

Datenschutzverletzungen müssen den Behörden innerhalb von 72 Stunden gemeldet werden. Hier erfahren sie, in welchen Fällen und wie sie das tun. [...]

Datenpannen sind weiterhin meldungspflichtig (c) Pixabay
Datenpannen sind weiterhin meldungspflichtig (c) Pixabay

Mit 25.05.2018 ist die DSGVO verpflichtend, kurz davor wurde im Nationalrat das Datenschutz-Deregulierungs-Gesetz 2018 beschlossen. In den Medien gab es flächendeckendes Echo, da durch diese Deregulierung die Datenschutzbehörde angehalten ist, nicht sofort zu Strafen, sondern vorerst Verwarnungen auszusprechen. Was ändert dies nun?

Dass in Österreich Strafen in Millionenhöhe ausgesprochen werden würden war nie zu erwarten, damit will die Europäische Kommission nicht „den Bäcker ums Eck“ oder andere KMU treffen, sondern eine Handhabe gegen die Giganten Amazon, Facebook, Google und Co haben.
Die Zukunft wird es noch weisen, wie sich die Datenschutzbehörde bei den ersten Vorkommnissen verhalten wird. Es gibt jedoch einige Punkte der DSGVO, auf die das Datenschutz-Deregulierungs-Gesetz keinen Einfluss hat. Einer davon ist die Datenschutz-Verletzung.

Bei Datenpannen hat die Gesetzesanpassung nichts geändert

Grundsätzlich ist jede Datenschutzverletzung der Datenschutzbehörde innerhalb von 72 Stunden zu melden. Nach der Definition des Art. 4 Nr. 12 DSGVO ist für eine Meldepflicht bereits eine Datenschutzverletzung an sich ausreichend (z.B. ein reiner Datenverlust), ein „unrechtmäßiges Übermitteln“ oder eine „unrechtmäßige Kenntnisnahme“ von Dritten ist dabei nicht erforderlich.
Diese Meldung kann nur dann entfallen, wenn kein Risiko für die Betroffenen besteht. Zum Beispiel dann, wenn verlorene Daten so stark verschlüsselt sind, dass sie mit heutigen Methoden nicht entschlüsselt werden können oder wenn die Daten durch beispielsweise biometrische Authentifizierungsverfahren entsprechend abgesichert sind.

Der Datenvorfall wird entweder intern bemerkt oder eine Meldung eines Datenvorfalls langt beispielsweise durch einen Betroffenen, einen Medienbericht oder durch einen Auftragsverarbeiter ein. Die folgende Abbildung veranschaulicht den „Data-Breach-Prozess“, der beim Bekanntwerden einer Datenschutz-Verletzung zu durchlaufen ist.

Welche Informationen sind der Datenschutzbehörde zu melden?

  • Beschreibung der Datenschutzverletzung
  • Name und Kontaktdaten des Datenschutzbeauftragten falls einer benannt ist, sonst Kontaktperson, die über den Vorfall Auskunft geben kann
  • Betroffenen-Kategorien, Daten-Kategorien, ungefähre Zahl der Betroffenen sowie Beschreibung der wahrscheinlichen Folgen für Betroffene
  • Beschreibung der ergriffenen Maßnahmen

Wann und wie sind Betroffene zu verständigen?

Bedeutet die Datenpanne „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten“ des Betroffenen, so ist der Betroffene unverzüglich gem. Art. 34 DSGVO von der Datenschutzverletzung „in klarer und einfacher Sprache“ zu unterrichten. Eine Benachrichtigung des Betroffenen oder eine öffentliche Bekanntmachung kann nach Art. 34 Abs. 3 a oder b DSGVO allerdings ausfallen, wenn insbesondere durch bereits vor der Datenpanne ergriffene TOMs (technische und organisatorische Maßnahmen) eine unbefugte Kenntnisnahme der Daten durch Dritte ausgeschlossen werden kann.

Welche Informationen müssen Betroffenen zur Verfügung gestellt werden?

  1. Beschreibung der Datenschutzverletzung
  2. Name und Kontaktdaten des Datenschutzbeauftragten falls einer benannt ist, sonst Kontaktperson, die über den Vorfall Auskunft geben kann
  3. Betroffene Daten-Kategorien sowie Beschreibung der wahrscheinlichen Folgen für Betroffene

Potenzielle Schwachstellen

  • Verlorene Datenträger (Smartphone, USB-Stick, Notebook, DVD, ausgedruckte Listen)
  • Sicherheitslücken auf Grund fehlerhafter Hard- oder Software
  • ungeeignete Identifikationssysteme, die Unberechtigten Zugriff gewähren
  • fehlerhafte Lösch- und Backup-Prozesse, die keine Wiederherstellung notwendiger Daten erlauben
  • unzureichende Schutzmaßnahmen, die Angriffe durch externe (Hacker) und interne Täter erlauben
  • fehlerhaft adressierte eMails

Schadenersatz-Forderungen Betroffener

Betroffene können Schadenersatz verlangen, dieser ist jedenfalls nachzuweisen. Bei materiellen Schäden, wie z.B. Kosten für die Ausstellung neuer Kreditkarten sollte der Nachweis kein Problem sein. Ansprüche für „immaterielle“ Schäden wie z.B. Reputationsverlust bestehen zwar dem Grunde nach, sind jedoch schwierig zu begründen und nachzuweisen.

Konsequenzen

Nach einer Datenpanne sind Überlegungen anzustellen, wie derartige Pannen in Zukunft verhindert werden können. Dazu gehört die Präzisierung und Verschärfung der TOMs im Sinne eines KVP (Kontinuierliches Verbesserungs-Potential).

 

* Wolfgang Fiala ist Datenschutz-Ziviltechniker und Inhaber des Unternehmens Fiala Informatik Ziviltechniker GmbH.


Mehr Artikel

Frauen berichten vielfach, dass ihre Schmerzen manchmal jahrelang nicht ernst genommen oder belächelt wurden. Künftig sollen Schmerzen gendersensibel in 3D visualisiert werden (c) mit KI generiert/DALL-E
News

Schmerzforschung und Gendermedizin

Im Projekt „Embodied Perceptions“ unter Leitung des AIT Center for Technology Experience wird das Thema Schmerzen ganzheitlich und gendersensibel betrachtet: Das Projektteam forscht zu Möglichkeiten, subjektives Schmerzempfinden über 3D-Avatare zu visualisieren. […]

News

KI ist das neue Lernfach für uns alle

Die Mystifizierung künstlicher Intelligenz treibt mitunter seltsame Blüten. Dabei ist sie weder der Motor einer schönen neuen Welt, noch eine apokalyptische Gefahr. Sie ist schlicht und einfach eine neue, wenn auch höchst anspruchsvolle Technologie, mit der wir alle lernen müssen, sinnvoll umzugehen. Und dafür sind wir selbst verantwortlich. […]

Case-Study

Erfolgreiche Migration auf SAP S/4HANA

Energieschub für die IT-Infrastruktur von Burgenland Energie: Der Energieversorger hat zusammen mit Tietoevry Austria die erste Phase des Umstieges auf SAP S/4HANA abgeschlossen. Das burgenländische Green-Tech-Unternehmen profitiert nun von optimierten Finanz-, Logistik- und HR-Prozessen und schafft damit die Basis für die zukünftige Entflechtung von Energiebereitstellung und Netzbetrieb. […]

FH-Hon.Prof. Ing. Dipl.-Ing. (FH) Dipl.-Ing. Dr. techn. Michael Georg Grasser, MBA MPA CMC, Leiter FA IT-Infrastruktur der Steiermärkischen Krankenanstaltengesellschaft m.b.H. (KAGes). (c) © FH CAMPUS 02
Interview

Krankenanstalten im Jahr 2030

Um sich schon heute auf die Herausforderungen in fünf Jahren vorbereiten zu können, hat die Steiermärkische Krankenanstaltengesellschaft (KAGes) die Strategie 2030 formuliert. transform! sprach mit Michael Georg Grasser, Leiter der Fachabteilung IT-Infrastruktur. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*