Erste Schritte und interner Ablauf bei einer Datenschutzverletzung

Die ersten Stunden nach Entdeckung einer Datenschutzverletzung entscheiden über vieles: über das Ausmaß des Schadens, über die Einhaltung der Meldefrist und über die Nachweisbarkeit eines ordnungsgemäßen Vorgehens. Diese Seite beschreibt den internen Ablauf von der Erkennung bis zu dem Punkt, an dem die Risikobewertung und gegebenenfalls die Meldung greifen.

1. Erkennen und sofort eindämmen

1.1 Verdacht intern melden

Voraussetzung jeder Reaktion ist, dass eine Verletzung überhaupt erkannt und an die richtige Stelle gemeldet wird. Jede Person im Unternehmen sollte einen Verdacht auf eine Datenschutzverletzung sofort intern weitergeben, regelmäßig an den Datenschutzbeauftragten oder eine benannte Meldestelle. Dafür braucht es einen klaren, allen bekannten Meldeweg und eine Fehlerkultur, die das schnelle Melden vor die Suche nach Schuldigen stellt. Technische Hinweisquellen wie Protokoll- und Warnsysteme gehören in denselben Meldeweg.

1.2 Sofortmaßnahmen zur Eindämmung

Noch bevor das Risiko abschließend bewertet ist, sind die naheliegenden Maßnahmen zu ergreifen, um den Vorfall zu stoppen und seine Ausweitung zu verhindern. Welche Maßnahme passt, hängt von der Art der Verletzung ab:

• Betroffene Systeme isolieren oder vom Netz nehmen.
• Kompromittierte Zugangsdaten zurücksetzen und Konten sperren.
• Ein verlorenes oder gestohlenes Gerät aus der Ferne sperren oder löschen.
• Einen falschen Empfänger zur Löschung oder Rücksendung auffordern und sich die Löschung bestätigen lassen.
• Daten aus einer Sicherungskopie wiederherstellen, wenn die Verfügbarkeit betroffen ist.

Diese Maßnahmen sind doppelt wichtig: Sie begrenzen den Schaden und sie fließen in die Risikobewertung ein, weil ein wirksam eingedämmtes Risiko niedriger einzustufen ist.

2. Vorprüfung: liegt eine Verletzung vor?

Nicht jeder gemeldete Vorgang ist eine Datenschutzverletzung. In der Vorprüfung klärt die zuständige Stelle, ob die drei Voraussetzungen erfüllt sind: ein Sicherheitsvorfall, der personenbezogene Daten betrifft und eines der Schutzziele Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigt. Eine fehlerhaft auf eine falsche Rechtsgrundlage gestützte Übermittlung etwa verstößt gegen das Datenschutzrecht, ist aber keine Verletzung der Datensicherheit und löst die Meldepflichten der Art. 33, 34 DSGVO nicht aus.

2.1 Sofortige Aufklärung statt Abwarten

Bestätigt sich der Verdacht nicht von selbst, leitet die zuständige Stelle unverzüglich die nötige Aufklärung ein, um sich Gewissheit über Art und Umfang zu verschaffen. Diese Aufklärung soll schnellstmöglich beginnen und mit der gebotenen Eile geführt werden. Sie dient der Feststellung, ob eine Verletzung vorliegt, nicht der vollständigen forensischen Aufarbeitung; diese kann parallel zur Meldung weiterlaufen.

2.2 Unklare Tatsachengrundlage

Häufig liegt der Sachverhalt nicht offen zutage. Für die Praxis gilt:

• Steht ein nachteiliger Erfolg fest (etwa ein Dokument aus einer Personalakte taucht in der Presse auf), ohne dass der Weg dorthin geklärt ist, ist auf eine mögliche Verletzung zu schließen und entsprechend zu verfahren.
• Steht ein Verletzungserfolg fest (etwa ein ungewollter Datenabfluss), ohne dass die Ursache bekannt ist, ist von einer Verletzung auszugehen.
• Ist ein Angriffsverhalten belegt, aber unklar, ob es Erfolg hatte (etwa ein reaktivierter Account eines ausgeschiedenen Mitarbeiters), legt der Verantwortliche seiner Beurteilung zugrunde, dass eine Verletzung eingetreten ist (vorläufige Meldung). Er kann sich nicht damit entlasten, das eigene System sei nicht durchschaubar.
• Ist ein Verletzungserfolg nachweislich ausgeblieben, liegt keine Datenschutzverletzung vor.

3. Wann gilt die Verletzung als bekannt?

Der Zeitpunkt der Kenntnis ist der Startpunkt der 72-Stunden-Frist und damit der praktisch wichtigste Punkt des gesamten Ablaufs.

3.1 Hinreichende Gewissheit, nicht erster Verdacht

Bekannt ist die Verletzung, sobald der Verantwortliche mit hinreichender Gewissheit weiß, dass ein Sicherheitsvorfall zu einer Beeinträchtigung personenbezogener Daten geführt hat. Ein bloßer erster Hinweis oder Verdacht genügt dafür noch nicht. Die folgenden Beispiele zeigen, wann die Schwelle überschritten ist (EDPB, Leitlinien 9/2022, Rn. 33 ff.):

• Verlorener unverschlüsselter USB-Stick. Ob Unbefugte zugegriffen haben, lässt sich oft nicht feststellen. Bekannt ist die Verletzung dennoch im Moment, in dem der Verlust bemerkt wird, weil zumindest die Verfügbarkeit mit hinreichender Gewissheit verletzt ist.
• Hinweis eines Dritten. Teilt ein Dritter mit, er habe versehentlich Daten eines Kunden erhalten, und legt er dafür einen Beleg vor, ist die Verletzung zweifelsfrei und sofort bekannt.
• Verdacht auf Eindringen. Bemerkt der Verantwortliche ein mögliches Eindringen in sein Netzwerk, ist die Verletzung erst dann bekannt, wenn die Prüfung der Systeme die Beeinträchtigung bestätigt.
• Lösegeldforderung. Meldet sich ein Angreifer nach einem Hack mit einer Lösegeldforderung, ist die Verletzung bekannt, sobald der Verantwortliche sein System geprüft und den Angriff bestätigt hat.

3.2 Die Aufklärungsphase

Vor der hinreichenden Gewissheit, während der ersten kurzen Aufklärung, gilt die Verletzung noch nicht als bekannt; die Frist läuft noch nicht. Diese Aufklärung muss aber schnellstmöglich beginnen und zügig geführt werden. Aus aufsichtsbehördlicher Sicht ist für sie nur ein eng begrenzter Zeitraum von höchstens etwa 24 Stunden ab dem Auftreten hinreichender Anhaltspunkte vertretbar; benötigt die Aufklärung länger, ist dies in der Meldung zu erläutern (BayLfD, Orientierungshilfe Meldepflicht und Benachrichtigungspflicht, Rn. 70). Die Phase dient der Feststellung, ob eine Verletzung vorliegt, nicht der vollständigen forensischen Aufarbeitung; diese kann parallel zur Meldung weiterlaufen.

3.3 Kenntniszurechnung in der Organisation

In einer arbeitsteiligen Organisation kommt es darauf an, wessen Wissen dem Verantwortlichen zugerechnet wird. Maßgeblich ist die Kenntnis einer für die Behandlung des Vorfalls zuständigen Stelle (Wissensvertreter), etwa der Leitung, der für die Datenschutzorganisation zuständigen Einheit, des betroffenen Fachbereichs oder der zuständigen IT-Stelle. Der Verantwortliche muss seinen Informationsfluss so organisieren, dass eine Verletzung diese Stellen rechtzeitig erreicht. Beruht die verspätete Kenntnis auf einem Organisationsverschulden, ist auf den Zeitpunkt abzustellen, zu dem die Kenntnisnahme bei ordnungsgemäßem Ablauf zu erwarten gewesen wäre.

Zwei Sonderfälle sind zu beachten:

• Das alleinige Wissen des Datenschutzbeauftragten wird dem Verantwortlichen nicht zugerechnet, weil dieser weisungsfrei und zur Verschwiegenheit verpflichtet ist; gleichwohl wirkt er auf Risikominimierung und auf die interne Weitergabe hin (siehe Aufgaben des Datenschutzbeauftragten).
• Bei einer Auftragsverarbeitung gilt die Verletzung dem Verantwortlichen erst als bekannt, wenn der Auftragsverarbeiter ihn informiert hat (Art. 33 Abs. 2 DSGVO).

4. Interne Meldung: welche Angaben gebraucht werden

Die interne Meldung an den Datenschutzbeauftragten oder die Meldestelle bildet die Grundlage für Risikobewertung, Meldung und Benachrichtigung. Sie sollte, soweit bekannt, die folgenden Angaben enthalten und fehlende Angaben unverzüglich nachreichen:

• Was ist passiert? Möglichst genaue Beschreibung des Vorfalls.
• Wessen Daten? Kategorien der betroffenen Personen (etwa Beschäftigte, Kunden, Patienten).
• Wie viele Personen? Ungefähre Zahl der betroffenen Personen.
• Welche Datenarten? Welche Kategorien personenbezogener Daten betroffen sind, einschließlich des Hinweises auf besondere Kategorien nach Art. 9 DSGVO.
• Wie viele Datensätze? Ungefähre Zahl der betroffenen Datensätze.
• Seit wann Kenntnis? Datum und Uhrzeit, zu denen hinreichende Gewissheit über die Verletzung bestand.
• Wer meldet und ist erreichbar? Meldende Person und Ansprechpartner.
• Welche Folgen und Maßnahmen? Wahrscheinliche Folgen sowie bereits ergriffene und vorgeschlagene Maßnahmen zur Behebung und zur Abmilderung.

Betrifft die Verletzung eine Verarbeitung, die das Unternehmen im Auftrag eines anderen ausführt, gehört auch dieser Umstand in die interne Meldung, weil dann der Auftraggeber zu informieren ist.

5. Sonderkonstellationen: Auftragsverarbeiter und gemeinsam Verantwortliche

Wer als Auftragsverarbeiter eine Verletzung feststellt, meldet diese unverzüglich an den Verantwortlichen (Art. 33 Abs. 2 DSGVO). Der Auftragsverarbeiter ist nicht verpflichtet, das Risiko zu bewerten oder selbst an die Aufsichtsbehörde zu melden; das ist Sache des Verantwortlichen. Eine eigene 72-Stunden-Frist trifft den Auftragsverarbeiter nicht, wohl aber die Pflicht zur unverzüglichen Meldung; ein Verstoß dagegen ist eigenständig bußgeldbewehrt. Sobald der Verantwortliche durch den Auftragsverarbeiter informiert ist, gilt ihm die Verletzung als bekannt und seine Frist beginnt.

Die folgende Übersicht zeigt die Meldekette und macht deutlich, dass die 72-Stunden-Frist des Verantwortlichen erst mit der Meldung des Auftragsverarbeiters zu laufen beginnt.

Wer welche Pflicht trägt, fasst die folgende Tabelle zusammen.

Für die Praxis sollte der Auftragsverarbeitungsvertrag die Reaktion auf eine Verletzung vorab regeln (EDPB, Leitlinien 9/2022, Rn. 45 ff.):

• eine konkrete interne Meldefrist (etwa binnen 24 Stunden), damit der Verantwortliche seine 72-Stunden-Frist halten kann;
• benannte Ansprechpartner und ihre Erreichbarkeit auf beiden Seiten;
• den Mindestinhalt der Meldung des Auftragsverarbeiters, angelehnt an die Angaben, die der Verantwortliche später selbst braucht;
• ob der Auftragsverarbeiter im Namen des Verantwortlichen an die Aufsichtsbehörde melden darf, wofür eine Vollmacht nötig ist und die rechtliche Verantwortung gleichwohl beim Verantwortlichen bleibt;
• die Pflicht, bei Mehrmandantenbetrieb jeden betroffenen Verantwortlichen einzeln zu informieren.

Der vollständige Pflichtinhalt des Auftragsverarbeitungsvertrags steht unter Auftragsverarbeiter. Bei gemeinsam Verantwortlichen empfiehlt es sich, in der Vereinbarung nach Art. 26 DSGVO ausdrücklich zu regeln, welcher Verantwortliche die Meldung übernimmt.