Ablauf
Bei uns ist etwas passiert
Nach einem Datenschutzvorfall bleiben 72 Stunden. Sie vergehen schnell, denn in dieser Zeit ist zugleich der Sachverhalt aufzuklären, der Angriff abzuwehren und die Meldung nach Art. 33 DSGVO vorzubereiten. Was vorher nicht geregelt ist, kostet in diesen Stunden Zeit, die niemand mehr hat.
Der Vorfall trifft den laufenden Betrieb
Ein Vorfall trifft eine Organisation im laufenden Betrieb. Die Technik ist zu sichern, der Schaden zu begrenzen und der Betrieb wiederherzustellen. Ob daneben eine Meldung fällig wird und an wen, ist eine eigene Prüfung. Sie fällt in dieselben Tage.
Eine Meldepflicht ist stets zu prüfen
Ob zu melden ist, wird häufig als offene Abwägung behandelt. Der Wortlaut gibt das nicht her, denn Art. 33 Abs. 1 DSGVO formuliert die Ausnahme negativ. Zu melden ist, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko.
Damit stehen drei Stufen nebeneinander. Ohne voraussichtliches Risiko entfällt die Meldung ganz.
Kein voraussichtliches Risiko
Die Meldung entfällt nach Art. 33 Abs. 1 DSGVO. Die Dokumentation nach Art. 33 Abs. 5 DSGVO bleibt, denn sie ist der Nachweis dieser Entscheidung.
Risiko
Zu melden ist der Aufsichtsbehörde, möglichst binnen 72 Stunden. Hier liegt der Bereich, in dem gemeldet, aber nicht benachrichtigt wird.
Hohes Risiko
Zusätzlich sind die betroffenen Personen nach Art. 34 Abs. 1 DSGVO unverzüglich zu benachrichtigen, in einer für Laien verständlichen Sprache.
Was die beiden Meldungen unterscheidet
| Meldung an die Aufsicht | Merkmal | Benachrichtigung der Betroffenen |
|---|---|---|
| 72 Stunden | Frist | UnverzüglichOhne feste Stundenzahl, in der Sache oft früher als die Meldung an die Aufsicht. |
| Eine | Ausnahmen | DreiArt. 34 Abs. 3 DSGVO nennt wirksame Verschlüsselung, nachträglich beseitigtes Risiko und unverhältnismäßigen Aufwand, dieser mit öffentlicher Bekanntmachung als Ersatz. |
| Der Verantwortliche | Wer zuletzt entscheidet | Auch die AufsichtNach Art. 34 Abs. 4 DSGVO kann sie die unterbliebene Benachrichtigung verlangen. |
Dokumentiert wird nach Art. 33 Abs. 5 DSGVO in beiden Fällen, also auch der Vorfall, der nicht gemeldet wurde. Die Entscheidung gegen eine Meldung ist damit kein Verzicht auf Papier, sondern ein eigenes Schriftstück.
Diese Dokumentation ist der Teil, der im Alltag ausfällt. Zugleich ist sie der Teil, den eine Aufsichtsbehörde später als Erstes anfordert. Art. 33 Abs. 5 DSGVO verlangt ausdrücklich, dass sie ihr die Überprüfung ermöglicht.
Weitere Meldepflichten neben der DSGVO
Welche Meldewege daneben laufen, entscheidet sich nicht am Vorfall, sondern an der Einrichtung. Für besonders wichtige und wichtige Einrichtungen steht neben Art. 33 DSGVO die Kaskade des § 32 Abs. 1 BSIG. Sie hat einen anderen Empfänger, andere Fristen und ein anderes auslösendes Ereignis.
Die Kaskade des § 32 Abs. 1 BSIG
24 Stunden
Frühe Erstmeldung
An die gemeinsame Meldestelle des Bundesamtes für Sicherheit in der Informationstechnik und des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe. Sie nennt den Verdacht einer rechtswidrigen Handlung und mögliche grenzüberschreitende Auswirkungen.
72 Stunden
Meldung
Bestätigung oder Aktualisierung der Erstmeldung, dazu eine erste Bewertung von Schweregrad und Auswirkungen und ggf. Kompromittierungsindikatoren.
Auf Ersuchen
Zwischenmeldung
Statusaktualisierungen, sofern das Bundesamt sie anfordert.
Ein Monat
Abschlussmeldung
Beschreibung, Ursache, getroffene und laufende Abhilfemaßnahmen. Dauert der Vorfall an, tritt an ihre Stelle eine Fortschrittsmeldung.
Die beiden Kaskaden knüpfen an verschiedene Ereignisse an. Das wird im Ernstfall übersehen. Art. 33 DSGVO stellt auf das Bekanntwerden der Verletzung ab, § 32 Abs. 1 BSIG auf die Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Ein Vorfall ohne Personenbezug löst nur die zweite aus, ein Fehlversand an den falschen Verteiler nur die erste. Ein Verschlüsselungsangriff auf ein Personalsystem löst beide aus, möglicherweise zu verschiedenen Zeitpunkten.
Häufige Fragen
Müssen wir zweimal melden?
Sind beide Anwendungsbereiche eröffnet, ja. Die Meldung nach Art. 33 DSGVO betrifft den Schutz personenbezogener Daten, die nach § 32 BSIG die Sicherheit der Informationstechnik. Empfänger, Fristen und Inhalte unterscheiden sich. Die eine Meldung ersetzt die andere nicht.
Sollten wir Anzeige erstatten?
Das ist eine Abwägung. Sie gehört vorbereitet und nicht in den Vorfall. Eine Anzeige kann für die Versicherung und die Dokumentation nützlich sein. Sie kann zugleich zur Sicherstellung von Systemen und damit zu einem längeren Ausfall führen.
Wann beginnt die Frist, wenn ein Dienstleister meldet?
Mit dem Eingang seiner Meldung bei Ihnen. Nach Art. 33 Abs. 2 DSGVO hat der Auftragsverarbeiter Sie unverzüglich zu unterrichten. Nach den Leitlinien des Europäischen Datenschutzausschusses gilt der Verantwortliche grundsätzlich ab dieser Unterrichtung als in Kenntnis gesetzt. Der Auftragsverarbeiter bewertet dabei nicht das Risiko. Diese Bewertung bleibt bei Ihnen.
Was, wenn nach 72 Stunden noch nichts feststeht?
Dann wird gemeldet, was feststeht. Art. 33 Abs. 4 DSGVO lässt eine schrittweise Bereitstellung der Angaben ausdrücklich zu. Nach Art. 33 Abs. 1 S. 2 DSGVO ist einer verspäteten Meldung eine Begründung für die Verzögerung beizufügen. Ein Warten auf die vollständige Aufklärung ist keine solche Begründung.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.