Meldung von Datenschutzverletzungen und DPIAs

Eine Verletzung des Schutzes personenbezogener Daten ist ein Sicherheitsvorfall, der zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt.

Sie umfasst mehr als einen Hackerangriff. Ein verlorener Laptop, eine an die falsche Adresse gesendete E-Mail, Ransomware, die personenbezogene Daten verschlüsselt (und dadurch ihre Verfügbarkeit beeinträchtigt), oder ein offengelegter S3-Bucket gelten allesamt als Datenschutzverletzung.

Datenschutzverletzungen lassen sich den drei Säulen der Informationssicherheit zuordnen:

• Verletzung der Vertraulichkeit: unbefugte Offenlegung oder unbefugter Zugriff
• Verletzung der Integrität: unbefugte Veränderung
• Verletzung der Verfügbarkeit: Verlust oder Zerstörung (z. B. durch Ransomware)

Dass auch der Verlust der Verfügbarkeit eine meldepflichtige Datenschutzverletzung darstellt, wird häufig übersehen.

Nach GDPR muss ein Verantwortlicher eine meldepflichtige Datenschutzverletzung der Aufsichtsbehörde ohne unangemessene Verzögerung und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung melden.

KVKK verlangt eine Meldung an das KVKK Board so bald wie möglich (das Board hat kurze Fristen festgelegt). Die Frist beginnt mit der Kenntniserlangung; daher sind eine schnelle Erkennung und Bewertung entscheidend.

Nicht jede Datenschutzverletzung muss der Aufsichtsbehörde gemeldet werden. GDPR knüpft dies an das Risiko für betroffene Personen:

• Benachrichtigen Sie die Aufsichtsbehörde, es sei denn, dass die Datenschutzverletzung wahrscheinlich kein Risiko für Rechte und Freiheiten darstellt
• Benachrichtigen Sie die betroffenen Personen, wenn die Datenschutzverletzung wahrscheinlich ein hohes Risiko zur Folge hat

Eine starke Verschlüsselung der offengelegten Daten kann das Risiko senken und die Pflicht zur Benachrichtigung von Personen entfallen lassen.

Eine Meldung einer Datenschutzverletzung an die Aufsichtsbehörde sollte Folgendes beschreiben:

• Die Art der Datenschutzverletzung sowie die Kategorien und die ungefähre Anzahl betroffener Personen und Datensätze
• Wahrscheinliche Folgen
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und zur Minderung des Schadens
• Kontaktstelle (DPO oder gleichwertige Stelle)

Wenn noch nicht alle Einzelheiten verfügbar sind, reichen Sie sie schrittweise nach, statt die Frist zu versäumen.

Ein wirksamer Prozess für Datenschutzverletzungen wird im Voraus eingeübt:

• Erkennen und eindämmen
• Umfang und Risiko für betroffene Personen bewerten
• Aufsichtsbehörde und bei hohem Risiko betroffene Personen benachrichtigen
• Die Ursache beheben
• Alles in einem Verzeichnis der Datenschutzverletzungen dokumentieren

Auch nicht meldepflichtige Datenschutzverletzungen müssen gemäß der Rechenschaftspflicht nach GDPR intern protokolliert werden.

Wenn betroffene Personen informiert werden müssen, sollte die Kommunikation in klarer, allgemein verständlicher Sprache erfolgen: was passiert ist, welche Daten betroffen sind, welche Folgen wahrscheinlich sind, was Sie unternehmen und was die betroffenen Personen tun sollten (z. B. Passwörter zurücksetzen und auf Phishing achten).

Spielen Sie den Vorfall nicht herunter. Eine transparente und schnelle Benachrichtigung bewahrt das Vertrauen; Vertuschungsversuche vervielfachen den regulatorischen und reputationsbezogenen Schaden.

Eine Datenschutz-Folgenabschätzung (DPIA) ist ein strukturierter Prozess zur Ermittlung und Verringerung von Datenschutzrisiken, bevor eine Verarbeitung mit hohem Risiko beginnt.

Sie verankert den Datenschutz frühzeitig im Entwicklungsprozess: Statt erst auf Datenschutzverletzungen zu reagieren, bewerten und mindern Sie Risiken bereits in der Entwurfsphase. KVKK stellt eine vergleichbare Erwartung an die Risikobewertung.

GDPR schreibt eine DPIA vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt, insbesondere:

• Systematisches und umfassendes Profiling mit erheblichen Auswirkungen
• Groß angelegte Verarbeitung von Daten besonderer Kategorien
• Systematische Überwachung eines öffentlich zugänglichen Bereichs
• Neue Technologien mit unklaren Auswirkungen (z. B. AI, biometrische Verfahren)

Eine DPIA umfasst typischerweise:

• Beschreibung der Verarbeitung und ihres Zwecks
• Bewertung der Erforderlichkeit und Verhältnismäßigkeit
• Ermittlung der Risiken für betroffene Personen
• Festlegung von Maßnahmen zur Risikominderung (Datenminimierung, Verschlüsselung, Zugriffskontrolle)

Wenn nach der Risikominderung ein hohes verbleibendes Risiko besteht, muss der Verantwortliche vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren.

Wenn bei einem Auftragsverarbeiter eine Datenschutzverletzung auftritt, muss er den Verantwortlichen unverzüglich benachrichtigen, da nur der Verantwortliche die Aufsichtsbehörde informiert und für die 72-Stunden-Frist zuständig ist.

Verträge (der DPA) müssen eine schnelle Meldung von Datenschutzverletzungen durch Auftragsverarbeiter vorsehen. Ein langsamer Anbieter kann das gesamte Benachrichtigungsfenster des Verantwortlichen aufbrauchen; deshalb sind Überwachung und vertragliche SLAs wichtig.

Testen Sie Ihr Verständnis der Fristen für Datenschutzverletzungen.

Sie haben die Reaktion auf Datenschutzverletzungen und die Risikobewertung abgeschlossen:

• Eine Datenschutzverletzung umfasst den Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit
• Die 72-Stunden-Frist der DSGVO beginnt mit der Kenntnisnahme
• Benachrichtigen Sie betroffene Personen, wenn ein hohes Risiko besteht; Verschlüsselung kann die Pflichten reduzieren
• Führen Sie einen eingeübten Workflow zum Erkennen-Eindämmen-Bewerten-Benachrichtigen-Beheben-Dokumentieren aus
• DPIAs bewerten und mindern die Risiken einer Verarbeitung mit hohem Risiko, bevor sie beginnt

Sie können nun auf Vorfälle reagieren und Datenschutzrisiken proaktiv verwalten.