Meldepflicht bei Datenpanne

Die Meldepflicht bei Datenpanne verpflichtet Verantwortliche dazu, bestimmte Verletzungen des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde zu melden, und unter bestimmten Voraussetzungen zusätzlich die betroffenen Personen zu informieren. Eine solche Datenpanne liegt vor, wenn personenbezogene Daten etwa durch einen Diebstahl, einen Angriff oder einen versehentlichen Versand an den falschen Empfänger unbefugt offengelegt, verändert oder zerstört werden. Die Meldung muss ohne schuldhaftes Zögern erfolgen, wobei die konkrete Einordnung und Fristberechnung im Einzelfall von einem Datenschutzbeauftragten geprüft werden sollte, da nicht jede kleine Unregelmäßigkeit automatisch eine meldepflichtige Panne darstellt und eine voreilige Einschätzung mehr schaden als nützen kann.

Für Handwerksbetriebe kann eine Datenpanne unscheinbar beginnen: eine verlorene Tasche mit Kundenunterlagen, ein Diensthandy mit unverschlüsselten Fotos, das gestohlen wird, oder ein Rechnungsversand, bei dem versehentlich die Kundenliste eines anderen Empfängers angehängt wird. Auch ein Ransomware-Angriff, bei dem Kundendaten kopiert oder unzugänglich gemacht werden, kann eine solche Panne darstellen, selbst wenn keine Daten sichtbar im Internet auftauchen, weil bereits die Kopie und der Kontrollverlust über die Daten entscheidend sind.

Bezug zur Digitalisierung

Je mehr Daten digital gespeichert und ausgetauscht werden, desto wichtiger wird es, im Ernstfall schnell erkennen zu können, welche Daten von einem Vorfall betroffen sind. Ein aufgeräumtes System mit klaren Datenkategorien erleichtert diese Einschätzung erheblich gegenüber unstrukturiert abgelegten Daten in verschiedenen Ordnern und Geräten, wo eine solche Einschätzung im Ernstfall viel Zeit kostet und die verbleibende Reaktionszeit zusätzlich verkürzt.

Die Meldepflicht bei Datenpanne betrifft ausschließlich personenbezogene Daten und ist damit klar von der NIS-2-Betroffenheit zu unterscheiden, die auf die Cybersicherheit bestimmter Einrichtungen unabhängig vom konkreten Personenbezug abzielt. Beide Meldewege können im Einzelfall parallel relevant sein, folgen aber unterschiedlichen Regeln und teils auch unterschiedlichen Zuständigkeiten innerhalb der jeweils zuständigen Behörden.

Ein vorbereiteter Ablauf hilft im Ernstfall, Zeit zu sparen: Wer im Betrieb meldet einen Verdacht, wer entscheidet über die Einordnung, und wo finden sich die Kontaktdaten der zuständigen Aufsichtsbehörde. Dieser Ablauf gehört sinnvollerweise in den Notfallplan IT, damit im Ernstfall nicht erst nachgeschlagen werden muss, wer wofür zuständig ist, während gleichzeitig der eigentliche Vorfall noch bearbeitet, eingedämmt und dokumentiert werden muss. Eine solche Vorbereitung kostet im ruhigen Alltag wenig Zeit, zahlt sich im Ernstfall aber deutlich aus.