mein geschäftliches Postfach wurde gehackt, muss ich das melden

Ein gehacktes Postfach ist in der Regel eine Datenpanne, die Meldepflicht hängt von den Folgen ab

Ein gehacktes geschäftliches Postfach ist in den meisten Fällen eine Verletzung im Sinne der DSGVO: Es liegt ein unbefugter Zugriff auf personenbezogene Daten vor, und dieser Zugriff entsteht in fast allen Fällen, sobald sich jemand von außen in ein Konto mit Kunden- oder Kontaktdaten anmeldet. Damit steht fest, dass etwas passiert ist, das unter die Definition von was ist eine Datenpanne genau? fällt. Das ist jedoch nicht automatisch gleichbedeutend mit einer Meldepflicht gegenüber der Aufsichtsbehörde.

Ob eine Meldung an die Aufsichtsbehörde erforderlich ist, hängt von dem Risiko ab, das die Verletzung für die Personen mit sich bringt, deren Daten sich in diesem Postfach befanden — denken Sie an Rechnungen mit Adressdaten, Angebote mit Personenkennziffern oder Korrespondenz mit sensiblem Inhalt. Ein Postfach mit nur geschäftlichen Kontaktdaten von Partnerunternehmen bringt ein anderes Risiko mit sich als ein Postfach voller Kundendossiers oder medizinischer Korrespondenz. Diese Abwägung und die dazugehörigen Schritte sind auf der Seite über wann muss ich eine Datenpanne der Aufsichtsbehörde melden?erläutert. Unabhängig von der Meldung an die Aufsichtsbehörde stellt sich auch die Frage, ob die betroffenen Personen selbst informiert werden müssen, wofür ein separater Bewertungsrahmen gilt.

Grundlage in der DSGVO: die Definition der Verletzung und die Meldepflicht

Die Grundlage liegt in Artikel 4 der DSGVO, das eine Verletzung des Schutzes personenbezogener Daten als Zugriff auf oder Verlust, Veränderung oder Vernichtung von Daten definiert, die nicht hätte stattfinden dürfen — eine Beschreibung, unter die ein gehacktes Postfach in der Regel fällt. Artikel 33 der DSGVO verknüpft damit die Bedingung für eine Meldung an die Aufsichtsbehörde: Diese Meldepflicht gilt, wenn die Verletzung ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, mit einer Ausnahme, wenn dieses Risiko plausibel abwesend ist. Die Leitlinien des EDPB arbeiten dieses Risikoverständnis weiter aus, und die Aufsichtsbehörde bietet auf ihrer Seite über Datenpannen einen praktischen Leitfaden für diese Abwägung. Was in der gesamten EU gleich ist: die Definition und die Risikoprüfung aus der Verordnung. Was sich von Land zu Land unterscheidet, ist die Aufsichtsbehörde, an die die Meldung geht — in den Niederlanden die Aufsichtsbehörde, in anderen Mitgliedstaaten die Aufsichtsbehörde des betreffenden Landes.