mein Laptop mit Kundendaten wurde gestohlen, was muss ich jetzt tun

Ein gestohlener Laptop mit Kundendaten ist in der Regel eine Datenschutzverletzung

Ein gestohlener geschäftlicher Laptop mit Kundendaten gilt in den meisten Fällen als Verstoß gegen die Sicherheit personenbezogener Daten, wie Artikel 4 der DSGVO definiert. Die Daten geraten außerhalb der Kontrolle der Organisation, und genau darauf zielt diese Definition ab — es spielt dabei keine Rolle, ob der Laptop aus einem Auto, einer Tasche oder einem Büro gestohlen wurde. Was genau auf diesem Laptop stand und ob diese Informationen verschlüsselt oder anderweitig geschützt waren, trägt ebenfalls dazu bei, wie schwerwiegend dies ist, aber der Diebstahl selbst ist der Ausgangspunkt der Bewertung. Eine ausführlichere Erklärung dessen, was unter diese Definition fällt und was nicht, finden Sie auf der Wissensdatenbank-Seite darüber, was eine Datenschutzverletzung genau ist.

Ab dem Zeitpunkt der Entdeckung laufen zwei Dinge parallel: die Ermittlung der Fakten (welche Daten, von wem, wie viele Personen und ob Verschlüsselung vorhanden war) und die Frage, ob dies gemeldet werden muss — an die Aufsichtsbehörde und möglicherweise an die betroffenen Personen selbst. Beide Fragen hängen von dem Risiko ab, das die gestohlenen Daten für Menschen darstellen, und genau dieses Risiko ist der Grund, warum ein leerer oder gut verschlüsselter Laptop anders bewertet wird als ein Laptop voller unverschlüsselter Kundendatensätze. Wie diese Abwägung bei der Meldung an die Aufsichtsbehörde funktioniert, wird ausführlich auf der Seite über wann eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden musserläutert, und die Frage, ob die betroffenen Personen selbst auch eine Mitteilung erhalten sollten, auf der Seite über betroffene Personen über eine Datenschutzverletzung informieren.

Dies basiert auf: Artikel 4, Artikel 32 und Artikel 33 DSGVO

Die Definition einer Datenschutzverletzung steht in Artikel 4 der DSGVO, die Verpflichtung, Daten angemessen zu schützen — einschließlich des Risikos von Geräteverlust — in Artikel 32, und die Meldepflicht gegenüber der Aufsichtsbehörde in Artikel 33. Diese drei Artikel gelten unmittelbar in der gesamten EU, daher verläuft die Bewertung, ob ein gestohlener Laptop eine meldepflichtige Datenschutzverletzung darstellt, überall nach denselben Regeln. Was sich von Land zu Land unterscheidet, ist die Aufsichtsbehörde, bei der eine Meldung einzureichen ist: In den Niederlanden ist dies die nationale Aufsichtsbehörde, in anderen Mitgliedstaaten die nationale Aufsichtsbehörde dieses Landes. Die EDPB-Richtlinien bieten zusätzliche Erläuterungen zur praktischen Anwendung dieser Artikel, und die zuständige Aufsichtsbehörde bietet auf ihrer eigenen Seite über Datenschutzverletzungen eine Erläuterung derselben Regeln an.