Meldungen von Datenpannen erreichen Höchststand

Databreach

Im April 2021 hatte die Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. im Rahmen der Konsultation des Europäischen Datenschutzausschusses zu Beispielfällen einer Datenschutzverletzung eine Umfrage für die Öffentlichkeit initiiert, deren Ergebnisse die Bedeutung dieser Thematik für die Datenschutzpraxis einordnen sollte und Datenschutzpraktikern einen tieferen Einblick anhand von fünf Beispielfällen aus der Praxis im Umgang mit “Datenpannen” geben sollte.

Aus dem im Anschluss veröffentlichten GDD-Praxisreport ließ sich die prozentuale Verteilung der gemeldeten Vorfälle wie folgt ablesen (siehe Grafik unten):

GDD-Praxisreport 2021 – Datenschutzverletzungen Stand: April 2021

Die unbeabsichtigte Übermittlung personenbezogener Daten an falsche Empfänger ist die mit Abstand am häufigsten gemeldete Kategorie (47 %). Cyberangriffe gaben ebenfalls einen Anlass für Datenschutzverletzungen (14 %), wobei sich diese nochmals in Unterkategorien einteilen lassen, so bspw. Phishing-, Ransomware- oder andere Attacken zur Umgehung von Zugangsbeschränkungen bzw. Rechteeskalation.

Der Sächsische Datenschutzbeauftragte hat am 17.06.2021 seinen Tätigkeitsbericht für das zurückliegende Jahr vorgestellt. Auch hier spielt das Thema „Meldung von Datenschutzpannen“ eine gewichtige Rolle und es fällt ins Auge, dass sich hier ein ähnliches Bild abzeichnet, wie im GDD-Praxisreport.
Die folgenden Fallgruppen sind im Berichtszeitraum besonders häufig gemeldet worden:

  • Cyberkriminalität: Typische Handlungsfelder waren die Verschlüsselung und das Abgreifen von personenbezogenen Daten aus E-Mail-Postfächern, von Servern oder anderweitigen Datenträgern. *
  • Fehlversand: Auf diese Fallgruppe entfielen im Berichtszeitraum die meisten Meldungen. Typische Fälle: Unterlagen mit falscher Zuordnung, fehlerhafter Kuvertierung oder Verwechslung der Empfängerperson. Vielfach waren Gesundheitsdaten betroffen, die aufgrund ihrer hohen Sensibilität und Vertraulichkeit ein besonders hohes Maß an Sorgfalt von der verantwortlichen Stelle fordern. *
  • Offene E-Mail-Verteiler stellen nach wie vor den Klassiker der Datenschutzverletzung dar. Obgleich hierbei in der Regel das Risiko für die Betroffenen als durchaus gering eingeschätzt werden kann, ist eine solche Datenschutzverletzung gemäß Datenschutz-Grundverordnung in den meisten Fällen meldepflichtig. *
  • Der Verlust von Unterlagen auf dem Postweg trat im Berichtsjahr häufig auf. Bei Bekanntwerden einer solchen Problematik, ist eine kritische Bewertung des Versanddienstleisters geboten. *
  • Einbrüche und Diebstähle sind besonders problematisch. Sie zählen zu den kriminellen Handlungen, und damit ist das verbundene Risiko für die betroffenen Personen besonders hoch. Daher sind technisch-organisatorische Maßnahmen geboten, wie zum Beispiel die ordnungsgemäße Verwahrung und Verschlüsselung von Datenträgern. 

(Foto: nmedia-stock.adobe.com)

Letztes Update:20.06.21

  • Datenschutzverletzungen richtig behandeln

    Datenschutzverletzungen richtig behandeln

    Seminar

    678.60 € Mehr erfahren
  • Online-Kompaktkurs: Der Überwachungsauftrag des DSB

    Online-Kompaktkurs: Der Überwachungsauftrag des DSB

    Online-Kompaktkurs

    138.04 € Mehr erfahren
  • Online-Schulung: Teil 3-Datenschutz-Management nach der DS-GVO

    Online-Schulung: Teil 3-Datenschutz-Management nach der DS-GVO

    Online-Schulung

    1264.40 € Mehr erfahren
  • Fax

    Nutzung von Fax-Diensten bei sensiblen Daten unzulässig

    Seit der offiziellen Einführung des Faxdienstes in Deutschland durch die damalige Deutsche Bundespost sind mehr als 40 Jahre vergangen. Der Faxdienst wird in Deutschland damit fast genauso lange genutzt, wie es Videotext (Teletext) gibt. Beide Dienste erfreuen sich in Deutschland eines Nutzerkreises in Millionenhöhe. Geht es nach dem Willen der deutschen Datenschutz-Aufsichtsbehörden geht es einem

    Mehr erfahren
  • Verwarnung wegen Mitarbeiterexzess

    Regel: Unternehmen haften für Datenschutzverstöße ihrer Beschäftigten Nach Auffassung der Datenschutzkonferenz (DSK) als Gremium der deutschen Datenschutzaufsichtsbehörden sollen Unternehmen im Rahmen von Art. 83 DS-GVO für Datenschutzverstöße eines jeden Beschäftigten haften, wenn der Mitarbeiter nicht im Exzess (für eigene Zwecke) gehandelt hat. Dabei sei nicht erforderlich, dass für die Handlung ein gesetzlicher Vertreter oder eine

    Mehr erfahren
  • Impfstatus

    Impfstatus: Abfrage durch Arbeitgeber

    Der Bundestag hat am Dienstag, 7. September 2021 einstimmig dem von den Koalitionsfraktionen initiierten 30-Milliarden-Euro-Aufbaufonds für die vom Juli-Hochwasser betroffenen Gebiete zugestimmt. Der angenommene Gesetzentwurf, mit dem auch das Infektionsschutzgesetz mit Blick auf die Corona-Pandemie geändert wurde, beinhaltet eine Verpflichtung, bei der Einreise über einen Test-, Impf- oder Genesungsnachweis zu verfügen. Ferner ist in bestimmten Einrichtungen eine Auskunftspflicht der Mitarbeiter

    Mehr erfahren