MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Ein schwerwiegender Datenverstoß in den Corona-Systemen des Gesundheitsamtes (GGD), bei dem Mitarbeiter personenbezogene Daten wie Sozialversicherungsnummern und Adressen austauschten, verdeutlichte, wie wichtig die Sicherheit personenbezogener Daten ist – und wie streng die niederländische Datenschutzbehörde (AP) medizinische Daten überwacht. Zugriffsbeschränkungen, Protokollierung und Überwachung aller Vorgänge sowie schnelles Handeln und Melden von Datenverstößen sind kein Luxus, sondern Pflicht.
Die Ermittlungen ergaben, dass personenbezogene Daten aus den Corona-Systemen des Gesundheitsamtes (GGD) weitergegeben und gehandelt wurden; Mitarbeiter des Callcenters standen im Verdacht, diese Daten angeboten zu haben. Der Fall unterstreicht, wie wichtig der Schutz personenbezogener Daten und ein schnelles Handeln nach einem Datenleck sind.
Übermäßiger Zugriff auf sensible Daten
Die durchgesickerten Daten stammen aus zwei Datenbanken – CoronIT und HPzone Light –, auf die zahlreiche Mitarbeiter des Gesundheitsamtes und des Callcenters Zugriff hatten. Sie enthielten Informationen zu Testterminen, Testergebnissen sowie zur Kontaktnachverfolgung. Solche Daten können für Identitätsdiebstahl, Stalking und Phishing missbraucht werden.
Callcenter-Mitarbeiter mit niedrigem Stundenlohn und hohem Arbeitsdruck stellen ein attraktives Ziel für Kriminelle dar, die sie gezielt ansprechen. Hinzu kommt, dass ein Großteil der Arbeit von zu Hause aus und mit weniger Kontrolle erledigt wurde, was die Datenübertragung erleichterte. Da es sich um medizinische Daten handelt – die zu den sensibelsten personenbezogenen Daten überhaupt zählen – ist der Gesundheitssektor ohnehin ein bevorzugtes Ziel.
Sicherheitsmaßnahmen, die möglicherweise nicht ausreichend waren
Es wurden tatsächlich Maßnahmen ergriffen: Mitarbeiter mussten eine Verhaltenserklärung abgeben, eine Vertraulichkeitsvereinbarung , und es wurden Stichproben durchgeführt. Nach der Berichterstattung in den Medien kündigte die GGD an, die Kontrollen zu verstärken und die Systeme dauerhaft zu überwachen. Ein großer Kritikpunkt: Daten ließen sich leicht exportieren, und es gab keine Protokollierung darüber, wer auf welche Daten zugegriffen hatte.
Die AP ermittelt und ahndet Verstöße konsequent
Der Dachverband meldete den Datenverstoß offiziell – und das zu Recht, denn Organisationen sind verpflichtet, Datenverstöße der niederländischen Datenschutzbehörde (AP) zu melden. Die AP forderte Aufklärung. Dass die AP die Sicherheit medizinischer Daten äußerst ernst nimmt, war bereits bekannt: Das HagaZiekenhuis erhielt zuvor eine Geldstrafe von 460.000 €, nachdem mehrere Mitarbeiter unbefugt auf die Krankenakte von Samantha de Jong zugegriffen hatten, da das Krankenhaus die Protokolldateien nicht ausreichend überwachte und keine Zwei-Faktor-Authentifizierung implementiert hatte. Bezeichnenderweise existierten im HagaZiekenhuis Protokolldateien, während im Fall des GGD-Datenlecks nicht einmal protokolliert wurde, wer auf welche Daten zugegriffen hatte. Weitere Informationen zu solchen Geldstrafen finden Sie hier.
Was bedeutet das für Ihre Organisation?
Wird Fahrlässigkeit festgestellt, droht nicht nur eine Geldstrafe: Geschädigte können auch Schadensersatzansprüche geltend machen. Die Sicherheit personenbezogener Daten muss daher für jedes Unternehmen höchste Priorität haben. Andernfalls drohen öffentliche Empörung, negative Medienberichterstattung, Geldstrafen und Schadensersatzforderungen. Stellen Sie sicher, dass Sie die Anforderungen der DSGVO .
Häufig gestellte Fragen
Muss ich eine Datenschutzverletzung der niederländischen Datenschutzbehörde melden?
Grundsätzlich ja. Organisationen sind verpflichtet, Datenschutzverletzungen der niederländischen Datenschutzbehörde zu melden (und bei schwerwiegenden Risiken auch den betroffenen Personen). Schnelles und korrektes Handeln nach einer Datenschutzverletzung ist unerlässlich.
Welche Sicherheitsvorkehrungen erwartet die AP in Bezug auf medizinische Daten?
Hohe Standards: Zugriffsbeschränkung auf wirklich notwendige Personen, Protokollierung und Überprüfung des Zugriffs sowie starke Authentifizierung, beispielsweise durch Zwei-Faktor-Authentifizierung. Das Fehlen dieser Maßnahmen hat schwerwiegende Folgen.
Kann ich für eine Datenschutzverletzung haftbar gemacht werden?
Im Falle von Fahrlässigkeit riskieren Sie sowohl eine Geldstrafe der Straßenverkehrsbehörde als auch Schadensersatzansprüche von Geschädigten. Gute technische und organisatorische Maßnahmen begrenzen dieses Risiko.
Lassen Sie Ihre Datensicherheit testen
Ein Datenleck kann jedes Unternehmen treffen, und die Folgen sind gravierend. Die Datenschutzexperten von MKB Juristen unterstützen Sie bei der Einhaltung der DSGVO und sorgen für Ihre IT-Sicherheit. Informieren Sie sich über unsere Expertise im Bereich Datenschutz und Datensicherheit oder vereinbaren Sie einen Beratungstermin.
