Kann ich einen Datenschutzverstoß selbst bewältigen?
Ja, einen großen Teil der Bewertung und Bewältigung eines Datenschutzverstoßes können Sie selbst durchführen. Die DSGVO schreibt nicht vor, dass ein Rechtsanwalt oder ein externes Unternehmen eingeschaltet werden muss. Was die Verordnung verlangt, ist, dass Sie den Verstoß erkennen, bewerten, ob er ein Risiko für die Personen darstellt, deren Daten betroffen sind, und — wenn ja — innerhalb einer bestimmten Frist die zuständige Aufsichtsbehörde und gegebenenfalls die betroffenen Personen selbst benachrichtigen.
Ob Sie dies selbstständig tun können, hängt vor allem von Umfang und Komplexität des Vorfalls ab. Eine falsch adressierte E-Mail mit den Daten eines Kunden ist etwas anderes als ein gehackter Server mit Tausenden von Kundendossiers. Die Grenze zwischen Selbstbewältigung und Outsourcing ist nicht in der Gesetzgebung festgelegt, sondern hängt von Ihrer Fähigkeit ab, schnell und sorgfältig zu beurteilen, was geschehen ist.
Was Sie selbst beurteilen können
Die erste Frage bei jedem Vorfall ist, ob es sich überhaupt um einen Datenschutzverstoß im Sinne der DSGVO handelt: Sind personenbezogene Daten verloren gegangen, von jemandem eingesehen worden, der dazu keine Berechtigung hatte, oder versehentlich geändert oder gelöscht worden? Diese Beurteilung können Sie mit einer klaren Checkliste problemlos selbst durchführen. in wenigen Fragen sehen, wo Sie stehen gibt einen ersten Anhaltspunkt, ohne dass Sie dafür sofort einen Berater benötigen.
Ist es tatsächlich ein Verstoß, folgt die Risikobewertung: Stellt es eine Gefahr für die Rechte und Freiheiten der betroffenen Personen dar, zum Beispiel weil sensible Daten offengelegt sind oder Identitätsdiebstahl möglich wird? Diese Abwägung können Sie für viele gängige Situationen anhand der Richtlinien der EDPB und der Erläuterungen durchführen, die die zuständige Aufsichtsbehörde dazu bereitstellt. Die Wissensdatenbank mit Erklärungen zu jedem Thema beschreibt die Kriterien, die dabei eine Rolle spielen, zusammen mit der Fundstelle im offiziellen Text.
Die tatsächliche Meldung bei der zuständigen Aufsichtsbehörde ist in der Praxis auch für viele Unternehmen selbst möglich. Die Aufsichtsbehörde hat dafür ein eigenes Meldungsformular, und die Informationen, die abgefragt werden — was geschehen ist, um welche Daten es geht, wie viele Personen betroffen sind und welche Maßnahmen ergriffen wurden — sind Informationen, die Ihre Organisation selbst am besten kennt.
Wann es verständig ist, zusätzliche Hilfe zu suchen
In einer Reihe von Situationen wird Selbstbewältigung schwieriger. Betrifft es eine große Anzahl betroffener Personen, besondere Kategorien personenbezogener Daten wie Gesundheitsdaten oder einen technischen Vorfall, dessen Umfang noch unklar ist, dann ist es ratsam, sich nicht nur auf eine eigene Bewertung zu verlassen. Das gleiche gilt, wenn der Verstoß möglicherweise auch Auswirkungen in einem anderen Mitgliedstaat hat oder wenn unklar ist, welche Aufsichtsbehörde zuständig ist.
Auch die Information der betroffenen Personen selbst — anstelle nur der Aufsichtsbehörde — erfordert Sorgfalt. Der Ton, der Inhalt und der Zeitpunkt dieser Kommunikation bestimmen teilweise, wie Menschen reagieren, und eine falsch formulierte Mitteilung kann mehr Verunsicherung verursachen als der Vorfall selbst. In diesen Fällen ist es ratsam, einen Rechtsanwalt zu konsultieren oder sich an die zuständige Aufsichtsbehörde zu wenden, um den richtigen Weg zu finden.
Was die DSGVO vorschreibt und was nicht
Die Verordnung schreibt eine Frist vor, innerhalb derer ein meldepflichtiger Datenschutzverstoß bei der Aufsichtsbehörde gemeldet werden muss, und verpflichtet Organisationen, zu dokumentieren, welche Datenschutzverstöße aufgetreten sind, auch die Verstöße, die nicht gemeldet werden müssen. Was die DSGVO nicht vorschreibt, ist, wer diesen Prozess in Ihrem Unternehmen durchführt. Das bedeutet, dass Selbstbewältigung zulässig ist, solange das Ergebnis den Anforderungen der Gesetzgebung entspricht.
Die Verantwortung bleibt bei der Organisation, auch wenn ein Teil der Arbeit an einen Berater oder ein Unternehmen ausgelagert wird. Es geht also nicht darum, alles abzugeben und sich dann nicht mehr darum zu kümmern, sondern darum, zu wissen, welche Schritte unternommen wurden und warum.
Dokumentation gehört immer dazu
Egal ob Sie es selbst tun oder sich unterstützen lassen, Dokumentation ist in beiden Fällen erforderlich: was passiert ist, wann Sie es entdeckt haben, welche Bewertung Sie zum Risiko vorgenommen haben und welche Maßnahmen getroffen wurden, um eine Wiederholung zu verhindern. Diese Dokumentation ist nicht nur für die Aufsichtsbehörde nützlich, sondern auch für Sie selbst, falls ein ähnlicher Vorfall später erneut auftritt.
Wie diese Begründung aussehen muss und welche Quellen dabei verwendet werden, können Sie nachlesen auf der Seite, von der die Informationen stammen. Sind Sie unsicher, ob Ihre Situation meldepflichtig ist, führen Sie zunächst die kostenlose Überprüfung durch und lesen Sie die relevanten Themen in der Wissensdatenbank, bevor Sie eine Entscheidung treffen. Wenn Sie den Prozess von der Erkennung bis zur Behebung strukturell regeln möchten, können Sie sich für ein geschäftliches Konto anmelden um die Fristen und die Dokumentation automatisch nachzuverfolgen.