Datenschutzverletzungen müssen den Behörden innerhalb von 72 Stunden gemeldet werden. Hier erfahren sie, in welchen Fällen und wie sie das tun. [...]
Mit 25.05.2018 ist die DSGVO verpflichtend, kurz davor wurde im Nationalrat das Datenschutz-Deregulierungs-Gesetz 2018 beschlossen. In den Medien gab es flächendeckendes Echo, da durch diese Deregulierung die Datenschutzbehörde angehalten ist, nicht sofort zu Strafen, sondern vorerst Verwarnungen auszusprechen. Was ändert dies nun?
Dass in Österreich Strafen in Millionenhöhe ausgesprochen werden würden war nie zu erwarten, damit will die Europäische Kommission nicht „den Bäcker ums Eck“ oder andere KMU treffen, sondern eine Handhabe gegen die Giganten Amazon, Facebook, Google und Co haben.
Die Zukunft wird es noch weisen, wie sich die Datenschutzbehörde bei den ersten Vorkommnissen verhalten wird. Es gibt jedoch einige Punkte der DSGVO, auf die das Datenschutz-Deregulierungs-Gesetz keinen Einfluss hat. Einer davon ist die Datenschutz-Verletzung.
Bei Datenpannen hat die Gesetzesanpassung nichts geändert
Grundsätzlich ist jede Datenschutzverletzung der Datenschutzbehörde innerhalb von 72 Stunden zu melden. Nach der Definition des Art. 4 Nr. 12 DSGVO ist für eine Meldepflicht bereits eine Datenschutzverletzung an sich ausreichend (z.B. ein reiner Datenverlust), ein „unrechtmäßiges Übermitteln“ oder eine „unrechtmäßige Kenntnisnahme“ von Dritten ist dabei nicht erforderlich.
Diese Meldung kann nur dann entfallen, wenn kein Risiko für die Betroffenen besteht. Zum Beispiel dann, wenn verlorene Daten so stark verschlüsselt sind, dass sie mit heutigen Methoden nicht entschlüsselt werden können oder wenn die Daten durch beispielsweise biometrische Authentifizierungsverfahren entsprechend abgesichert sind.
Der Datenvorfall wird entweder intern bemerkt oder eine Meldung eines Datenvorfalls langt beispielsweise durch einen Betroffenen, einen Medienbericht oder durch einen Auftragsverarbeiter ein. Die folgende Abbildung veranschaulicht den „Data-Breach-Prozess“, der beim Bekanntwerden einer Datenschutz-Verletzung zu durchlaufen ist.
Welche Informationen sind der Datenschutzbehörde zu melden?
- Beschreibung der Datenschutzverletzung
- Name und Kontaktdaten des Datenschutzbeauftragten falls einer benannt ist, sonst Kontaktperson, die über den Vorfall Auskunft geben kann
- Betroffenen-Kategorien, Daten-Kategorien, ungefähre Zahl der Betroffenen sowie Beschreibung der wahrscheinlichen Folgen für Betroffene
- Beschreibung der ergriffenen Maßnahmen
Wann und wie sind Betroffene zu verständigen?
Bedeutet die Datenpanne „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten“ des Betroffenen, so ist der Betroffene unverzüglich gem. Art. 34 DSGVO von der Datenschutzverletzung „in klarer und einfacher Sprache“ zu unterrichten. Eine Benachrichtigung des Betroffenen oder eine öffentliche Bekanntmachung kann nach Art. 34 Abs. 3 a oder b DSGVO allerdings ausfallen, wenn insbesondere durch bereits vor der Datenpanne ergriffene TOMs (technische und organisatorische Maßnahmen) eine unbefugte Kenntnisnahme der Daten durch Dritte ausgeschlossen werden kann.
Welche Informationen müssen Betroffenen zur Verfügung gestellt werden?
- Beschreibung der Datenschutzverletzung
- Name und Kontaktdaten des Datenschutzbeauftragten falls einer benannt ist, sonst Kontaktperson, die über den Vorfall Auskunft geben kann
- Betroffene Daten-Kategorien sowie Beschreibung der wahrscheinlichen Folgen für Betroffene
Potenzielle Schwachstellen
- Verlorene Datenträger (Smartphone, USB-Stick, Notebook, DVD, ausgedruckte Listen)
- Sicherheitslücken auf Grund fehlerhafter Hard- oder Software
- ungeeignete Identifikationssysteme, die Unberechtigten Zugriff gewähren
- fehlerhafte Lösch- und Backup-Prozesse, die keine Wiederherstellung notwendiger Daten erlauben
- unzureichende Schutzmaßnahmen, die Angriffe durch externe (Hacker) und interne Täter erlauben
- fehlerhaft adressierte eMails
Schadenersatz-Forderungen Betroffener
Betroffene können Schadenersatz verlangen, dieser ist jedenfalls nachzuweisen. Bei materiellen Schäden, wie z.B. Kosten für die Ausstellung neuer Kreditkarten sollte der Nachweis kein Problem sein. Ansprüche für „immaterielle“ Schäden wie z.B. Reputationsverlust bestehen zwar dem Grunde nach, sind jedoch schwierig zu begründen und nachzuweisen.
Konsequenzen
Nach einer Datenpanne sind Überlegungen anzustellen, wie derartige Pannen in Zukunft verhindert werden können. Dazu gehört die Präzisierung und Verschärfung der TOMs im Sinne eines KVP (Kontinuierliches Verbesserungs-Potential).
* Wolfgang Fiala ist Datenschutz-Ziviltechniker und Inhaber des Unternehmens Fiala Informatik Ziviltechniker GmbH.
Be the first to comment