Praxisnahe Handreichung zum Datenpannenmanagement

Passend zur jüngsten Verwarnung der BVG durch die BlnBDI hat das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) eine strukturierte Handreichung zum Vorgehen bei Datenpannen veröffentlicht – ein nützliches Referenzdokument für Datenschutzverantwortliche, das die wesentlichen Pflichten kompakt und praxisorientiert aufbereitet.

Meldepflicht und Risikobewertung als Ausgangspunkt

Die Meldepflicht nach Art. 33 DS-GVO liegt stets beim Verantwortlichen – auch wenn der Vorfall beim Auftragsverarbeiter eingetreten ist. Dieser muss den Verantwortlichen so schnell wie möglich informieren; die Meldung an die zuständige Aufsichtsbehörde hat innerhalb von 72 Stunden zu erfolgen. Bei noch laufenden Untersuchungen ist eine schrittweise Meldung zulässig.

Entscheidend ist zunächst eine sorgfältige Risikobewertung anhand von Schadenschwere und Eintrittswahrscheinlichkeit. Ergibt die Bewertung kein Risiko für die Rechte und Freiheiten natürlicher Personen, entfällt die Meldepflicht: Die interne Dokumentationspflicht nach Art. 33 Abs. 5 DS-GVO bleibt jedoch in jedem Fall bestehen. Bei hohem Risiko tritt zusätzlich die Pflicht zur unverzüglichen Benachrichtigung der betroffenen Personen nach Art. 34 DS-GVO hinzu.

Was das ULD nach Eingang einer Meldung prüft

Das ULD prüft insbesondere, ob die Benachrichtigungspflicht erkannt und umgesetzt wurde, ob die Frist eingehalten oder eine Verzögerung begründet wurde, ob das Risiko angemessen bewertet wurde und ob geeignete technische und organisatorische Maßnahmen zur Behebung und Prävention getroffen wurden. Ergänzend weist das ULD auf ein in der Praxis häufig übersehenes Verwertungsverbot hin: Inhalte, die im Rahmen einer Meldung oder Benachrichtigung zwingend mitzuteilen sind, dürfen in Straf- und Ordnungswidrigkeitenverfahren gegen Meldepflichtige grundsätzlich nicht verwendet werden.

Einordnung

Die Handreichung ergänzt sinnvoll die bestehenden DSK-Kurzpapiere und ist insbesondere für Organisationen hilfreich, die ihr internes Datenpannenmanagement, etwa im Nachgang zu aufsichtsbehördlichen Prüfungen, überarbeiten oder in Schulungsunterlagen einbetten möchten. Die im BVG-Fall festgestellten Defizite bei AVV-Gestaltung, Löschkontrolle und Meldeprozessen illustrieren dabei anschaulich, wie hoch die praktischen Anforderungen in diesem Bereich tatsächlich sind.

(Foto: MDABDUR – stock.adobe.com)