Eine Verletzung des Schutzes personenbezogener Daten ist der Fall, in dem sich zeigt, ob eine Datenschutzorganisation funktioniert. Entscheidend ist nicht, ob etwas passiert, sondern ob die ersten Stunden geordnet ablaufen.
Was als Verletzung gilt
Der Begriff ist weiter gefasst, als die meisten annehmen. Erfasst sind nicht nur Angriffe von aussen, sondern jede Vernichtung, jeder Verlust, jede Veränderung sowie jede unbefugte Offenlegung oder unbefugter Zugang.
Damit fallen darunter auch: eine E-Mail mit offenem Verteiler, ein verlorener Laptop ohne Verschlüsselung, ein Dokument im falschen Ordner mit zu weiten Zugriffsrechten, ein versehentlich gelöschter Datenbestand ohne Sicherung.
Die häufigsten Fälle sind nicht spektakulär. Sie entstehen aus alltäglichen Fehlern.
Die Frist und was sie tatsächlich verlangt
Nach der DSGVO ist die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
Bekanntwerden meint den Zeitpunkt, zu dem hinreichende Gewissheit besteht, dass eine Verletzung vorliegt — nicht den Zeitpunkt, zu dem alle Umstände geklärt sind.
Wichtig ist: Eine Meldung ist auch dann fristgerecht abzugeben, wenn noch nicht alle Informationen vorliegen. Sie kann schrittweise ergänzt werden. Zu warten, bis das Bild vollständig ist, ist der häufigste Fehler.
Das Schweizer Recht stellt auf ein voraussichtlich hohes Risiko ab und verlangt eine Meldung so rasch als möglich, ohne feste Stundenzahl. Wer beide Regime bedient, richtet sich nach dem engeren Rahmen.
Wann auch die Betroffenen zu informieren sind
Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, sind diese zusätzlich unverzüglich zu benachrichtigen.
Davon kann abgesehen werden, wenn geeignete technische Schutzmassnahmen bestanden — etwa eine Verschlüsselung, die die Daten für Unbefugte unverständlich macht — oder wenn nachträglich Massnahmen ergriffen wurden, die das hohe Risiko ausschliessen.
Das ist ein starkes Argument für Verschlüsselung ruhender Daten: Sie verändert im Ernstfall die Meldepflicht gegenüber den Betroffenen.
Die Dokumentationspflicht besteht immer
Auch Verletzungen, die nicht gemeldet werden müssen, sind zu dokumentieren — mit den Umständen, den Auswirkungen und den ergriffenen Massnahmen.
Diese interne Dokumentation ist der Nachweis, dass eine Bewertung stattgefunden hat. Ein Vorfall, der nicht gemeldet und nicht dokumentiert wurde, sieht im Nachhinein aus wie ein übersehener.
Was vorher geregelt sein muss
Drei Dinge, und keines davon lässt sich im Ernstfall improvisieren.
Erstens: Wer nimmt Meldungen entgegen. Jede Person im Unternehmen muss wissen, an wen ein Verdacht gemeldet wird — nicht erst nach Prüfung, sondern bei Verdacht.
Zweitens: Wer bewertet das Risiko und entscheidet über die Meldung. Diese Person muss erreichbar sein, auch ausserhalb der Arbeitszeit, mit einer benannten Vertretung.
Drittens: Welche Angaben werden erhoben. Ein vorbereitetes Formular mit den Feldern, die die Meldung verlangt, spart im Ernstfall Stunden.
Der Umgang mit Dienstleistern
Tritt die Verletzung bei einem Auftragsverarbeiter auf, muss dieser den Verantwortlichen unverzüglich benachrichtigen. Die Meldung an die Aufsicht bleibt Aufgabe des Verantwortlichen.
Praktisch heisst das, im Vertrag Kanal, Empfänger und erwartete Reaktionszeit zu benennen. Eine allgemeine Zusage der unverzüglichen Benachrichtigung ohne konkreten Weg reicht nicht, wenn die eigene Frist läuft.
Der Durchgang, der sich lohnt
Ein einmaliges Durchspielen eines fiktiven Falls mit den Beteiligten deckt mehr Lücken auf als jede Richtlinie. Es dauert eine Stunde und beantwortet die Frage, ob die Regelung im Ernstfall trägt.