Data Breach Erkennen - Melden - Dokumentieren

Die DSGVO versteht unter einem Data Breach eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmässig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungs- weise zum unbefugten Zugang zu personenbezogenen Daten führt.
Verantwortliche und Auftragsverarbeiter müssen in der Lage sein eine Datenschutzverletzung zu erkennen.

Es ist Aufgabe des Verantwortlichen entsprechende Massnahmen zu setzen, damit es erst gar nicht zu einer Datenschutzverletzung kommt. Diese Massnahmen sind unter Berücksichtigung des Stands der Technik umzusetzen.

Hat man eine Datenschutzverletzung erkannt, ist diese grundsätzlich binnen 72 Stunden an die Aufsichtsbehörde zu melden. Nur in Ausnahmefällen entfällt die Meldepflicht, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ob ein Data Breach ein Risiko für die Rechte und Freiheiten von Betroffenen mit sich bringt, ist vom Verantwortlichen im Einzelfall im Zuge einer Risikobewertung festzustellen. Welche Faktoren dabei zu berücksichtigen sind, wird auf Basis der WP 250 ausführlich erläutert.

Unabhängig von einer Meldepflicht an die Aufsichtsbehörde und einer etwaigen Benachrichtigungspflicht an die betroffenen Personen, hat der Verantwortliche jedenfalls die Datenschutzverletzung zu dokumentieren.

Die Faktoren für die Risikobewertung auf Basis der WP250 sowie die empfohlenen Schritte im Verlauf einer Datenschutzverletzung werden in diesem Buch übersichtlich dargestellt.