Was gilt als Verletzung?
Art. 4 Nummer 12 DSGVO erfasst Vertraulichkeits-, Integritäts- und Verfügbarkeitsverletzungen. Beispiele sind fehlgeleitete E-Mails, veröffentlichte Kundendaten, gestohlene Geräte, Ransomware, versehentlich gelöschte Datensätze oder ein unberechtigter interner Zugriff. Ein Angriff muss nicht erfolgreich von außen erfolgen; auch Bedienfehler und zu weit vergebene Zugriffsrechte können genügen. Entscheidend ist die tatsächliche Sicherheitsverletzung mit Bezug zu personenbezogenen Daten.
Sofortmaßnahmen und Risikoprüfung
Zuerst sind Ursache und Ausbreitung einzudämmen, ohne Beweise zu vernichten. Zugänge können gesperrt, Empfänger zur Löschung aufgefordert und Backups geprüft werden. Danach ist das Risiko für Rechte und Freiheiten der Betroffenen anhand von Datenart, Umfang, Identifizierbarkeit, möglichen Folgen und Schutzmaßnahmen zu bewerten. Verschlüsselung kann das Risiko senken, wenn der Schlüssel nicht betroffen ist. Entscheidung und Tatsachengrundlage müssen dokumentiert werden.
Meldung binnen 72 Stunden
Besteht voraussichtlich ein Risiko, muss der Verantwortliche die Verletzung nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Kenntniserlangung der zuständigen Aufsichtsbehörde melden. Fehlende Einzelheiten dürfen gestaffelt nachgereicht werden. Wird später gemeldet, ist die Verzögerung zu begründen. Auftragsverarbeiter informieren den Verantwortlichen unverzüglich; sie melden nicht automatisch an dessen Stelle. Interne Eskalationswege müssen deshalb auch außerhalb üblicher Bürozeiten funktionieren.
Benachrichtigung betroffener Personen
Bei voraussichtlich hohem Risiko verlangt Art. 34 DSGVO grundsätzlich eine unverzügliche Benachrichtigung in klarer Sprache. Sie soll Art der Verletzung, mögliche Folgen, Kontaktstelle und Schutzmaßnahmen erklären. Ausnahmen bestehen etwa bei wirksamer Verschlüsselung oder nachträglichen Maßnahmen, die das hohe Risiko beseitigen. Reine Beschwichtigung ist ebenso ungeeignet wie eine technische Informationsflut. Die Mitteilung sollte konkrete Schritte zur Selbsthilfe nennen.
EuGH zum immateriellen Schaden
Der Europäische Gerichtshof entschied am 4. Mai 2023, C-300/21 – Österreichische Post, dass ein bloßer DSGVO-Verstoß noch keinen Schadensersatzanspruch begründet. Erforderlich sind Verstoß, materieller oder immaterieller Schaden und Kausalität. Eine Erheblichkeitsschwelle für immaterielle Schäden darf jedoch nicht verlangt werden. Für Datenschutzverletzungen bedeutet das: Betroffene müssen konkrete nachteilige Folgen darlegen, während Verantwortliche Reaktion und Risikobewertung nachvollziehbar dokumentieren sollten.
Dokumentationspflicht und Bußgeldrisiko
Jede Datenschutzverletzung ist intern zu dokumentieren, auch wenn keine Meldung erfolgt. Die Dokumentation muss Art, Auswirkungen und Abhilfemaßnahmen enthalten und der Aufsicht eine Kontrolle ermöglichen. Verstöße gegen Melde- oder Sicherheitsanforderungen können Bußgelder auslösen. Die Aufsicht bewertet dabei unter anderem Schwere, Dauer, Betroffenenzahl, Kooperation und vorbeugende Maßnahmen. Eine rechtzeitige, vollständige Reaktion wirkt sich regelmäßig günstiger aus als Verschleierung.
Vorbereitung auf den Ernstfall
Ein Incident-Response-Plan sollte Zuständigkeiten, Erreichbarkeit, Beweissicherung, Risikomatrix und freigegebene Kommunikationswege enthalten. Verträge mit IT-Dienstleistern müssen kurze Informationsketten sichern. Übungen zeigen, ob Logdaten, Ansprechpartner und Entscheidungsbefugnisse tatsächlich verfügbar sind. Nach dem Vorfall sind technische und organisatorische Maßnahmen anzupassen. Benötigt werden Zeitlinie, betroffene Systeme, Datenkategorien, Personenkreise, Empfänger, Sicherungen und alle getroffenen Entscheidungen. Maßgeblich bleibt stets der konkrete Verarbeitungszweck. Antrag, Datensatz, technische Umsetzung und Kommunikation sollten deshalb in einer nachvollziehbaren Zeitlinie dokumentiert werden. Nur so lässt sich beurteilen, ob die gesetzlichen Voraussetzungen vorlagen, die Antwort vollständig war und Rechte anderer angemessen berücksichtigt wurden. Verantwortliche sollten außerdem festlegen, wer den Eingang bestätigt, Fachabteilungen einbindet, Fristen überwacht und die Entscheidung freigibt. Ein standardisierter Ablauf darf die Einzelfallprüfung nicht ersetzen. Abweichungen und offene Tatsachen müssen sichtbar bleiben, damit eine Aufsichtsbehörde oder ein Gericht die Entscheidung später nachvollziehen kann.