Der Kern: die Meldepflicht selbst ändert sich nicht
Die Meldepflicht bei einem Datenleck ist in der DSGVO selbst geregelt, mit der bekannten Frist von 72 Stunden nach der Entdeckung gegenüber der Datenschutzbehörde, und einer separaten Abwägung, ob auch die betroffenen Personen selbst benachrichtigt werden müssen. Dieser Text ist Teil einer europäischen Verordnung und wird nicht jedes Jahr geändert. Nach gegenwärtigem Stand gibt es dieses Jahr keine Änderung der Verordnung selbst, die die Meldepflicht oder die Frist betrifft. Was sich tatsächlich ändert, ist die Auslegung rundherum: wie der EDSA und die Datenschutzbehörde die unbestimmten Rechtsbegriffe aus dem Gesetz ausfüllen, und wie andere Gesetze neben die DSGVO treten. Für ein KMU-Unternehmen ist das oft relevanter als der Gesetzeswortlaut selbst, weil gerade diese Auslegung bestimmt, wann ein Vorfall als meldepflichtig gilt.
Es geht also nicht um ein neues Datum oder eine neue Artikelnummer zum Merken, sondern um drei Verschiebungen, die die Praxis betreffen: strengere Richtsätze darüber, was als Datenleck zählt, mehr Überschneidungen mit Sektorgesetzen wie NIS2, und eine andere Realität, weil Vorfälle immer häufiger bei einem SaaS-Anbieter entstehen, anstatt beim Unternehmen selbst.
Richtsätze, die die Grenze verschieben
Die DSGVO beschreibt ein Datenleck in allgemeinen Begriffen: ein Verstoß gegen die Sicherheit, der zur Vernichtung, zum Verlust, zur Änderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt. Was konkret darunter fällt, wird Jahr für Jahr weiter durch Richtsätze des EDSA und die eigene Auslegung der Datenschutzbehörde ausgefüllt. So ist in den letzten Jahren mehr Klarheit über Grenzfälle entstanden: eine versehentlich an den falschen Empfänger gesendete E-Mail mit Anlage, ein Mitarbeiter, der sich in einem falschen Konto anmeldet, oder ein Backup, das vorübergehend nicht verfügbar ist. Solche Situationen wurden früher häufiger als interne Angelegenheit behandelt; die Linie in den Richtsätzen ist, dass auch ohne böse Absicht eines Mitarbeiters ein meldepflichtiger Vorfall vorliegen kann. Für einen Geschäftsführer oder Büroleiter bedeutet das, dass die Bewertung weniger oft nach Bauchgefühl erfolgen kann und mehr nach einem festen Stufenplan. Wer unsicher ist, ob ein konkreter Vorfall unter die Meldepflicht fällt, kann das in ein paar Fragen durch den Entscheidungsbaum von gdpria.eu klären. in ein paar Fragen sehen, ob etwas ein meldepflichtiges Datenleck ist.
Überschneidungen mit anderer Gesetzen
Eine zweite Verschiebung liegt nicht in der DSGVO selbst, sondern in Gesetzen, die daneben treten. Für Organisationen, die Teil von oder an Sektoren liefern, die unter Gesetzen wie NIS2 fallen, kann ein Sicherheitsvorfall gleichzeitig unter zwei Melderegelungen fallen: die DSGVO für die personenbezogenen Daten und eine sektorale Meldepflicht für die Dienstleistung selbst. Das betrifft nicht jedes KMU-Unternehmen, aber wohl Installationsbetriebe, IT-Dienstleister und andere Parteien, die als Lieferant für eine größere, regulierte Organisation tätig sind. Es ist für diese Gruppe sinnvoll, zu überprüfen, ob ein Kunde oder Auftraggeber inzwischen zusätzliche Meldevereinbarungen im Vertrag hinzugefügt hat, neben dem, was bereits im Auftragsverarbeitungsvertrag steht. Wer überprüfen möchte, was genau in einer solchen Vereinbarung über Meldefristen und Verantwortlichkeiten steht, findet Hintergrundinformationen in die Wissensdatenbank mit Erklärungen pro Thema.
Die Praxis verlagert sich auf den SaaS-Anbieter
Die dritte Änderung ist weniger eine Frage der Regulierung als vielmehr eine Frage der faktischen Entwicklung: Ein wachsender Teil der Vorfälle, mit denen niederländische Unternehmen konfrontiert werden, entsteht nicht bei ihnen selbst, sondern bei einem Softwareanbieter, den sie für Buchhaltung, Personalwesen oder Kundenkontakt nutzen. Die Verantwortung zu beurteilen, ob dies zu einer meldepflichtigen Datenschutzverletzung führt, bleibt jedoch beim Unternehmen, das die Daten verarbeiten lässt, nicht automatisch beim Anbieter. Ein Anbieter, der selbst einen Vorfall meldet, entbindet den Auftraggeber nicht von der eigenen Beurteilung. Das macht es umso wichtiger, vorher festzulegen, wie und wann ein Anbieter einen Vorfall meldet, und diese Absprache auch in der eigenen Übersicht der verwendeten Tools wiederzufinden. Unternehmen, die diese Übersicht noch nicht vollständig haben, können diese mit Hilfe von eine Erläuterung, wie das System aus bekannten Tools gefüllt wird.
Was dies für Sie bedeutet
Für die meisten KMU-Unternehmen ändert sich dieses Jahr nichts an der gesetzlichen Frist selbst. Was sinnvoll ist: den eigenen Umgang mit Vorfällen regelmäßig anhand der neuesten Leitlinien überprüfen, prüfen, ob ein Auftraggeber zusätzliche Meldevereinbarungen festlegt, und mit Anbietern klar haben, wer einen Vorfall zuerst beurteilt. Keiner dieser Punkte erfordert eine juristische Studie, sondern einen festen Zeitpunkt, um sie zu betrachten.
Möchten Sie schnell sehen, wo Ihr Unternehmen auf diesem Punkt steht? Die Fragen im kostenlosen Quick-Check von gdpria.eu geben einen ersten Anhaltspunkt, und in den häufig gestellten Fragen zu Datenschutzverletzungen und Meldepflicht finden Sie die kürzeren Antworten auf verwandte Fragen.