Die sogenannten „Datenpannen“ sind für die meisten Unternehmen ein heikles Thema. Sowohl Angriffe von außen wie auch internes Fehlverhalten der Mitarbeiter können trotz vieler Maßnahmen zur Datensicherheit zu einer Verletzung des Schutzes personenbezogener Daten führen.
Risikoszenarien
Eine vertrauliche E-Mail mit einem Kontoauszug im Anhang wird versehentlich an den falschen Empfänger versendet. Eine für einen bestimmten Mitarbeiter verfasste Abmahnung landet bei dessen Kollegin, die das Schreiben zur Kenntnis nimmt. Ein USB-Stick, der sensible Daten enthält, geht verloren. Werbe-E-Mails werden mit einem offenen Verteiler an sehr viele Adressaten versendet. Ein Hacker verschafft sich Zugang ins Firmennetzwerk oder erbeutet Nutzernamen, Passwörter und Kaufhistorie aller Kunden des unternehmenseigenen Online-Shops. Allesamt sind typische Datenschutzvorfälle.
Neben dem möglichen Image- und Vertrauensverlust besteht unter Umständen die Pflicht zur Meldung der Datenpanne gegenüber der zuständigen Datenschutzaufsichtsbehörde. Ggf. müssen sogar die von der Datenpanne betroffenen Personen benachrichtigt wer-den.
Risikoeinschätzung und -bewertung
Wie umfangreich reagiert werden muss, lässt sich mit einigen Kontrollfragen klären, die das Risiko einschätzen und bewerten:
- Sind besonders sensible personenbezogenen Daten (Gesundheits-, Bankdaten, Daten Minderjähriger) betroffen?
- Wie viele Personen sind betroffen?
- Wie hoch ist das Risiko, dass die Daten missbraucht werden (Phishing, Kreditkartenmissbrauch, Identitätsdiebstahl, Diskreditierung …)?
- Wie vielen potenziellen Empfängern werden die Daten möglicherweise offengelegt?
- Sind Abhilfemaßnahmen zum Begrenzen des Schadenvorfalls noch möglich?
Jede Datenverletzung ist zu prüfen und intern zu dokumentieren. Allerdings ist nicht jeder Verstoß pauschal mit Melde- und/oder Informationspflichten verbunden. Beispielsweise ist der Verlust eines wirksam verschlüsselten USB-Sticks weder melde- noch informationspflichtig.
Eskalationsstufen
Sofern aus einer Datenpanne ein potenzielles Risiko für die Rechte und Freiheiten der betroffenen Personen resultiert, ist das Geschehnis möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden – zusätzlich zur eigenen internen Dokumentation. Bei einer Datenschutzverletzung mit einem hohen Risiko für die Betroffenen (Verletzung besonders sensibler Daten) sind alle Personen zu benachrichtigen – zusätzlich zur internen Dokumentation und der Meldung an die Datenschutzbehörde. Über das „Wie informieren wir alle Personen schnellstmöglich?“ darf man sich im Vorfeld gerne Gedanken machen.
Prävention
Nach einer Datenpanne hat der Verantwortliche Hausaufgaben zu erledigen, um zu verhindern, dass sich das Ereignis zukünftig wiederholt. Hilfreich ist die von der Datenschutzbehörde Sachsen-Anhalt veröffentlichte Sammlung der häufigsten Ursachen von Datenschutzverletzungen (https://datenschutz.sachsen-anhalt.de, https://bit.ly/3BlKDcQ).
Auf zwei Seiten zusammengefasst …
- stellt das Dokument in tabellarischer Form die häufigsten Ursachen von Datenschutzverletzungen vor,
- zeigt es beispielhaft Maßnahmen zum Beheben der Datenpannen bzw. zum Abmildern der nachteiligen Auswirkungen auf,
- formuliert es technische und organisatorische Maßnahmen zu jeder Datenschutzverletzung.
Bestens eignet sich die rechte Spalte des Dokuments mit den technischen und organisatorischen Vorsichtsmaßnahmen als Checkliste, um den Status Quo im eigenen Unternehmen festzustellen und anschließend präventiv mit neuen Regelungen vorzubeugen. Der Landesbeauftragte für den Datenschutz Sachsen-Anhalt betont, dass es sich bei den genannten Maßnahmen nicht um abschließende Empfehlungen handelt.
