MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Datenschutzverletzung gemäß DSGVO: Unbefugter Zugriff, Verlust oder Offenlegung personenbezogener Daten. Beispiele: gehackte Datenbank, verlorener Laptop mit Kundendaten, irrtümlich versendete E-Mail. Meldepflicht: Innerhalb von 72 Stunden an die niederländische Datenschutzbehörde (AP) bei Gefährdung der betroffenen Personen. Bei hohem Risiko müssen auch die betroffenen Personen informiert werden. Unterlassene Meldung: Geldbuße von bis zu 2 % des weltweiten Umsatzes. Im Folgenden: Wie Sie eine Datenschutzverletzung erkennen, das Meldeverfahren und wie Tessa einen Vorfall behebt, ohne dass er außer Kontrolle gerät.
Die kurze Antwort
- Worum geht es: um unbefugten Zugriff, Verlust oder Offenlegung personenbezogener Daten?
- Meldepflicht gegenüber der AP: innerhalb von 72 Stunden im Falle einer Gefährdung der betroffenen Personen.
- Stakeholder informieren: obligatorisch bei hohem Risiko.
- Dokumentation: Alle Datenschutzverletzungen werden in einem eigenen Register erfasst, einschließlich nicht gemeldeter Fälle.
- Sanktionen: AP muss bei Nichtmeldung eine Geldstrafe von bis zu 2 % des weltweiten Umsatzes zahlen.
Was ist eine Datenschutzverletzung?
Gemäß Art. 4 Abs. 12 DSGVO: eine Sicherheitsverletzung, die versehentlich oder rechtswidrig Folgendes zur Folge hat:
- Vernichtung personenbezogener Daten.
- Verlust.
- Ändern.
- Unerlaubte Bereitstellung.
- Unbefugter Zugriff.
Beispiele:
- Cyberangriff/Datenbankhack.
- Ransomware-Infektion.
- Laptop/USB-Stick mit Daten verloren oder gestohlen worden.
- Phishing-E-Mail, auf die ein Mitarbeiter geantwortet hat.
- Falsch adressierte E-Mail mit persönlichen Daten.
- Daten an den falschen Empfänger gesendet.
- Insiderzugang ohne legitimen Grund.
AP-Meldepflicht – 72 Stunden
Jede Datenschutzverletzung, die ein „Risiko für die Rechte und Freiheiten der betroffenen Personen“ darstellt, ist innerhalb von 72 Stunden nach ihrer Entdeckung der niederländischen Datenschutzbehörde zu melden. Inhalt der Meldung:
- Art der Datenschutzverletzung.
- Kategorien und Anzahl der beteiligten Personen.
- Kategorien und Umfang der personenbezogenen Daten.
- Mögliche Folgen.
- Maßnahmen zur Begrenzung der Folgen.
- Kontaktstelle für weitere Informationen.
Bei unvollständigen Informationen: Melden Sie so viel wie möglich und ergänzen Sie die Informationen später. Es ist besser, zu früh und nur teilweise zu informieren als zu spät.
Informieren Sie die Beteiligten
Bei hohem Risiko für die betroffenen Personen (z. B. finanzieller Schaden, Identitätsdiebstahl, Rufschädigung): Informieren Sie die betroffenen Personen auch direkt. Inhalt:
- Beschreibung des Datenlecks.
- Mögliche Konsequenzen für sie.
- Ergriffene Maßnahmen.
- Was sie selbst tun können (Passwort ändern, Finanzinstitute warnen).
Bei einer großen Anzahl Betroffener ist eine öffentliche Bekanntmachung oft sinnvoll.
Wann sollte man NICHTs melden?
Eine Nichtmeldung ist nur zulässig, wenn:
- „Keine Gefährdung von Rechten und Freiheiten“ – z. B. Pseudonym oder verschlüsselte Daten.
- Eine so starke Verschlüsselung, dass die Daten praktisch unzugänglich sind.
- Sofort wurden Maßnahmen ergriffen, jedoch ohne Erfolg.
Hohe Schwelle – im Zweifelsfall melden. Sie müssen im Nachhinein begründen können, warum Sie nicht gemeldet haben.
Dokumentation und Register
Alle Datenschutzverletzungen (auch nicht gemeldete) sind im internen Datenschutzverletzungsregister zu erfassen:
- Datum der Entdeckung.
- Beschreibung des Vorfalls.
- Datenkategorie.
- Anzahl der Betroffenen.
- Ergriffene Maßnahmen.
- Risikobewertung und Meldeentscheidung.
Die AP kann das Register bei der Aufsichtsbehörde anfordern. Obligatorisch für jedes Unternehmen mit Kundendaten.
Sanktionen
- Bei Nichteinhaltung der Meldepflichtdroht eine Geldbuße von bis zu 2 % des weltweiten Umsatzes oder 10 Millionen Euro.
- Unzureichende Sicherheitsvorkehrungen: Geldstrafe von bis zu 4 % des weltweiten Umsatzes oder 20 Millionen Euro.
- Zivilrechtliche Haftung: Geschädigte können Schadensersatz verlangen.
- Reputationsschaden: oft die größte Auswirkung von schwerwiegenden Datenpannen.
Aspekt der Cyberversicherung
Eine gute Cyberversicherung deckt häufig die Reaktion auf Datenpannen ab, einschließlich Rechtsberatung, Kommunikation und potenzieller Bußgelder. Siehe Cyberversicherung.
Ehrliche Empfehlung
Für KMU mit beschränkter Haftung: Erstellen Sie im Voraus einen Notfallplan – wer übernimmt welche Aufgaben im Falle einer Datenschutzverletzung? Halten Sie Kontakt zu einem auf DSGVO spezialisierten Anwalt (Beratung: 1.500–5.000 €). Handeln Sie im Falle eines Vorfalls schnell – die ersten 24 Stunden sind entscheidend für die Schadensbegrenzung und die ordnungsgemäße Meldung an die Datenschutzbehörde. Führen Sie ein Register für Datenschutzverletzungen, auch für kleinere Vorfälle. Schließen Sie zusätzlich eine Cyberversicherung ab, um sich finanziell und betrieblich abzusichern.
Weitere Themen: Datenschutzerklärung, Cyberversicherung und UBO-Erklärung.
Häufig gestellte Fragen
Eine Sicherheitsverletzung, die versehentlich oder unrechtmäßig zur Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Beispiele: Hackerangriff, verlorener Laptop, fehlerhafte E-Mail.
Innerhalb von 72 Stunden nach Entdeckung – bei Gefährdung der Rechte und Freiheiten der Betroffenen. Bei unvollständigen Informationen: Melden Sie, was Ihnen bekannt ist, und ergänzen Sie die Informationen später. Manche Meldungen erfolgen zu früh, manche zu spät.
Bei hohem Risiko für die Betroffenen (finanzieller Schaden, Identitätsdiebstahl, Rufschädigung): Beschreibung, mögliche Folgen, ergriffene Maßnahmen, was die Betroffenen selbst tun können. Bei einer großen Anzahl: öffentliche Bekanntmachung.
Nur wenn keine Gefahr für Rechte und Freiheiten besteht – z. B. bei Pseudonymisierung oder verschlüsselten Daten ohne Schlüssel. Hohe Hürde – im Zweifelsfall melden. Sie müssen im Nachhinein begründen können, warum Sie keine Meldung erstattet haben.
Alle Datenschutzverletzungen (auch nicht gemeldete): Datum der Entdeckung, Beschreibung, Datenkategorie, Anzahl der Betroffenen, ergriffene Maßnahmen, Risikobewertung und Meldeentscheidung. Pflicht für jedes Unternehmen mit Kundendaten.
Meldepflichtverletzung: Geldbuße von bis zu 2 % des weltweiten Umsatzes oder 10 Millionen Euro. Unzureichende Sicherheiten: Geldbuße von bis zu 4 % oder 20 Millionen Euro. Hinzu kommen die zivilrechtliche Haftung für Ansprüche der Beteiligten und Reputationsschäden.
Erstellen Sie im Voraus einen Notfallplan – wer übernimmt welche Aufgaben? Halten Sie einen DSGVO-Rechtsexperten bereit. Führen Sie ein Register für Datenschutzverletzungen. Schulen Sie Ihre Mitarbeiter regelmäßig. Schließen Sie eine Cyberversicherung für finanzielle und operative Absicherung ab.
