Der Fehler: Warten, bis alles klar ist
Der häufigste Fehler bei der Meldung einer Datenschutzverletzung ist nicht die Verletzung selbst, sondern der Zeitpunkt, zu dem eine Organisation sich entschließt zu melden. Viele Unternehmen möchten zunächst genau wissen, was passiert ist, welche Daten betroffen sind und wie viele Personen beeinträchtigt sind, bevor sie die Aufsichtsbehörde benachrichtigen. Das wirkt sorgfältig, aber die DSGVO verlangt etwas anderes: die Meldungsfrist von 72 Stunden beginnt zu laufen, sobald Sie sich der Datenschutzverletzung bewusst geworden sind, nicht erst, wenn Sie alle Fakten zusammenhaben.
Die Folge ist, dass die Frist bereits zu einem großen Teil verstrichen ist, bis sich intern alle auf das einigen, was genau vorgefallen ist. Das ist normalerweise nicht eine Frage des mangelnden Willens, sondern der Unkenntnis, wie diese Frist funktioniert: Die DSGVO erlaubt, dass eine Meldung in Phasen ergänzt wird, gerade weil vollständige Gewissheit oft nicht innerhalb von drei Tagen zu erlangen ist.
Warum dieser Fehler so häufig vorkommt
Die Verwirrung entsteht, weil Menschen eine Datenschutzverletzung und eine meldungspflichtige Datenschutzverletzung durcheinanderbringen. Nicht jeder Vorfall mit personenbezogenen Daten muss der Aufsichtsbehörde gemeldet werden; die DSGVO unterscheidet dabei, ob ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Unternehmen, die diese Unterscheidung nicht scharf treffen, gehen oft in zwei Richtungen zu weit: Sie melden fast nichts aus Angst vor Aufwand, oder sie versuchen, das ganze Bild zunächst vollständig zu erfassen, bevor sie eine Meldung wagen. Beide Reaktionen entstehen aus Unsicherheit darüber, was das Gesetz genau verlangt, und diese Unsicherheit kann mit ein paar festen Fragen oft schon großenteils behoben werden. Der Entscheidungsbaum auf in fünf Fragen sehen, wo Sie stehen wurde dafür erstellt: Er zeigt anhand einiger konkreter Fragen, ob ein Vorfall wahrscheinlich unter die Meldepflicht fällt, ohne dass Sie dafür zunächst Rechtskenntnisse benötigen.
Ein zweiter Fehler, der oft damit verbunden ist
Eng verwandt mit der verspäteten Meldung ist das Versäumnis der eigenen Dokumentation. Auch eine Datenschutzverletzung, die Sie letztendlich nicht der Aufsichtsbehörde melden, muss intern dokumentiert werden: was passiert ist, warum sie gemeldet wurde oder nicht, und welche Maßnahmen ergriffen wurden. Viele Organisationen dokumentieren nur die Zwischenfälle, die sie tatsächlich gemeldet haben, und lassen den Rest undokumentiert. Damit fehlt genau der Überblick, der erforderlich ist, um nachzuweisen, dass eine Entscheidung bewusst und nach den richtigen Kriterien getroffen wurde, sollte dies später in Frage gestellt werden.
Wie Sie die Frist zu Ihrem Vorteil nutzen
Die Frist von 72 Stunden soll Organisationen nicht überraschen, sondern es ermöglichen, betroffene Personen schnell zu warnen, wenn dies erforderlich ist. Das funktioniert besser, wenn im Voraus klar ist, wer in der Organisation einen Verdacht auf eine Verletzung meldet, an wen, und welche grundlegenden Fragen dabei standardmäßig gestellt werden. Ohne diese Absprachen geht wertvolle Zeit damit verloren, herauszufinden, wer eigentlich zuständig ist, während die Frist bereits läuft.
Es hilft auch zu wissen, welche Systeme und Dienstleister personenbezogene Daten verarbeiten, damit Sie bei einer Meldung eines Dienstleisters sofort einschätzen können, um welche Daten und welche betroffenen Personen es sich handelt. Ein aktuelles Verzeichnis der verwendeten SaaS-Tools und der dazu gehörenden Vereinbarungen, wie es im Verarbeitungsverzeichnis von die Wissensdatenbank mit Erklärungen pro Thema wiedergegeben wird, spart in der Praxis viel Recherche in dem Moment, in dem es darauf ankommt.
Was Sie im Voraus dokumentieren können
Das Wesentliche ist, dass eine Meldung nicht vollständig sein muss, um rechtzeitig zu sein. Eine erste Meldung mit den bekannten Fakten, gefolgt von einer Ergänzung, sobald mehr klar ist, entspricht dem, was die DSGVO erlaubt. Organisationen, die das im Voraus wissen und dafür ein festes, kurzes Verfahren haben, laufen weniger Gefahr, in den Fehler zu verfallen, zu lange zu warten. Was ebenfalls hilft, ist Klarheit darüber, wo empfindliche Daten sind und wie sie geschützt werden, damit ein Verdacht auf eine Verletzung schneller auf Schweregrad beurteilt werden kann; die Seite über wie Daten innerhalb des Systems geschützt werden gibt dafür einen Überblick.
Ob ein bestimmtes Vorkommnis in Ihrer Organisation meldepflichtig ist und wie Sie dies am besten dokumentieren, ist letztendlich eine Entscheidung, die Sie selbst treffen — möglicherweise mit einem Rechtsanwalt oder in Abstimmung mit der Datenschutzbehörde. gdpria.eu bietet dabei Orientierung und eine strukturierte erste Bewertung, keine Rechtsberatung.
Möchten Sie bereits erfahren, wo bei Ihnen die Schwerpunkte liegen? Die kostenlose Schnellprüfung und die Antworten auf häufig gestellte Fragen vermitteln innerhalb weniger Minuten einen ersten Überblick, ohne dass dafür ein Konto erforderlich ist.