Umgang mit Datenschutzverletzungen

Was ist Umgang mit Datenschutzverletzungen?

Artikel 33 gibt einer Organisation 72 Stunden Zeit, ihrer Aufsichtsbehörde eine Verletzung des Schutzes personenbezogener Daten zu melden, sobald sie davon Kenntnis erlangt hat. Hier haben Sie eine verursacht, indem Sie Kundendatensätze an die falsche E-Mail-Adresse gesendet haben. Sie erkennen die fehlgeleitete E-Mail als Datenschutzverletzung, melden sie über das interne Portal, statt zu hoffen, dass es niemand bemerkt, und dokumentieren einen genauen zeitlichen Ablauf für den Datenschutzbeauftragten, der entscheidet, ob die Aufsichtsbehörde und die Kunden informiert werden müssen.

Was Sie lernen in Umgang mit Datenschutzverletzungen

• Erkennen Sie, dass eine fehlgeleitete E-Mail mit personenbezogenen Daten nach Artikel 4 Nummer 12 DSGVO eine Datenschutzverletzung ist
• Melden Sie eine Datenschutzverletzung sofort intern, mit den Datensätzen, Datenkategorien und Eindämmungsmaßnahmen, die der DPO benötigt
• Erklären Sie, wann eine Datenschutzverletzung an die Aufsichtsbehörde geht und wann ein hohes Risiko bedeutet, dass auch die betroffenen Personen informiert werden müssen
• Erklären Sie, warum die 72-Stunden-Frist ab Kenntniserlangung läuft und nicht erst nach Abschluss der Untersuchung
• Dokumentieren Sie einen genauen zeitlichen Ablauf des Vorfalls, der die Rechenschaftspflicht der Organisation stützt

Umgang mit Datenschutzverletzungen — Trainingsschritte

1. Einführung

   In der heutigen Schulung lernen Sie die Anforderungen der DSGVO an die Meldung von Datenschutzverletzungen kennen – eine der wichtigsten Compliance-Pflichten für jede Organisation, die personenbezogene Daten verarbeitet.

2. Routinemäßiger Datenexport

   Alice bereitet einen routinemäßigen Kundendatenexport für VendorPartner Inc. vor, einen berechtigten externen Integrationspartner. Die Tabelle enthält 847 Kundendatensätze, darunter Namen, E-Mail-Adressen, Telefonnummern und Postanschriften. Dies ist eine wöchentliche Standardaufgabe, die Alice schon Dutzende Male erledigt hat. Sie öffnet ihren E-Mail-Client, um die Datei an John Smith bei VendorPartner zu senden.

3. Der Fehler

   Alice tippt die E-Mail fertig und klickt auf „Senden“. Ein paar Minuten später wirft sie einen Blick in den Ordner „Gesendet“ und stellt fest, dass etwas nicht stimmt. Die E-Mail wurde an john.smith847@gmail.com statt an die richtige Adresse john.smith@vendorpartner.com gesendet – die Autovervollständigung schlug eine ähnlich aussehende private Gmail-Adresse vor, und Alice wählte sie aus, ohne die Adresse sorgfältig zu prüfen. 847 Kundendatensätze befinden sich nun in den Händen einer unbekannten Person.

4. Die kritische Entscheidung

   Alice wird mulmig. Ihre erste Reaktion ist die Hoffnung, dass es niemand bemerkt – vielleicht löscht der Empfänger die E-Mail einfach? Vielleicht kann sie so tun, als wäre es nie passiert? Doch Alice erinnert sich an ihre DSGVO-Schulung. Eine Datenschutzverletzung umfasst auch die „versehentliche oder unrechtmäßige Offenlegung personenbezogener Daten“. Das Versenden von Kundendaten an die falsche E-Mail-Adresse erfüllt diese Definition eindeutig. Gemäß Artikel 33 der DSGVO muss ihr Unternehmen die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis der Datenschutzverletzung informieren. Die Frist läuft ab jetzt, nicht erst nach Abschluss der Untersuchung.

5. Das Vorfallportal aufrufen

   Alice beschließt, das Richtige zu tun und den Vorfall sofort zu melden. Sie öffnet das unternehmensinterne Vorfallmeldesystem. DataGuard Solutions verfügt über ein spezielles Portal zur Meldung von Datenschutzverletzungen, über das Meldungen direkt den Data Protection Officer (DPO) und das Incident-Response-Team erreichen.

6. Den Vorfallbericht einreichen

   Alice füllt den Vorfallbericht mit vollständigen Angaben zur fehlgeleiteten E-Mail aus. Gründlichkeit und Ehrlichkeit sind unerlässlich – der DPO benötigt genaue Informationen, um die Schwere der Datenschutzverletzung einzuschätzen und die Meldepflichten zu bestimmen.

7. Was den Bericht verwertbar macht

   Das Portal zeigt den Bericht noch einmal an, bevor der DPO ihn öffnet.

8. Rückmeldung des DPO

   Wenige Minuten nach dem Einreichen des Berichts erhält Alice einen Anruf von Dr. Sarah Chen, die als Data Protection Officer des Unternehmens tätig ist. Dr. Chen dankt Alice für die sofortige Meldung und erklärt das Verfahren zur Bewertung der Datenschutzverletzung nach der DSGVO.

9. Die 72-Stunden-Regel verstehen

   Dr. Chen erklärt die wichtigsten Anforderungen der DSGVO: Artikel 33 : Verantwortliche müssen eine Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie davon Kenntnis erlangt haben, der Aufsichtsbehörde melden Die Frist begann, als Alice bemerkte, dass die E-Mail an die falsche Adresse gegangen war – nicht erst nach Abschluss der Untersuchung Wochenenden und Feiertage verlängern die Frist nicht. Eine verspätete Meldung hebt die Pflicht nicht auf, muss dann aber die Gründe für die Verzögerung nennen Eine unterlassene Meldung kann Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen Der DPO beurteilt nun, ob diese Datenschutzverletzung „voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“ – wenn ja, ist die Meldung an die Behörde verpflichtend.

10. Eindämmungsmaßnahmen

    Das Incident-Response-Team hat mit den Eindämmungsmaßnahmen begonnen: Versuch, die E-Mail zurückzurufen, wobei ein Rückruf eine Nachricht nicht aus einem externen Gmail-Postfach zurückholen kann Das IT-Sicherheitsteam analysiert die Serverprotokolle Die Rechtsabteilung wurde benachrichtigt Der unbekannte Gmail-Empfänger wurde kontaktiert und um Löschung gebeten Dr. Chen erklärt, dass die Datenschutzverletzung trotz der Eindämmungsmaßnahmen dokumentiert und möglicherweise gemeldet werden muss. Entscheidend ist, ob sie ein Risiko für die betroffenen Personen darstellt.