Datenlecks

Was wir tun

Trotz wirksamer Präventionsmaßnahmen kann es in Unternehmen zu Datenschutzverletzungen kommen. Eine Datenschutzverletzung liegt vor, wenn Dritte unbefugt oder unbeabsichtigt Zugriff auf personenbezogene Daten erlangen. Ebenso kann eine Datenschutzverletzung vorliegen, wenn personenbezogene Daten ohne Einwilligung verändert, verloren oder vernichtet werden. Im Falle einer Datenschutzverletzung in Ihrem Unternehmen sind sofortige Maßnahmen erforderlich. Unsere Datenschutzexperten analysieren die Situation und unterstützen Sie gegebenenfalls bei der Meldung an die niederländische Datenschutzbehörde (AP).

Haben Sie Fragen zu Datenschutzverletzungen? Bitte kontaktieren Sie uns.

Was genau ist eine Datenschutzverletzung?

Ein Datenschutzverstoß ist eine Sicherheitsverletzung, die personenbezogene Daten betrifft. Die Datenschutz-Grundverordnung (DSGVO) definiert dies in Artikel 4 Absatz 12 als eine Verletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Daher stellt nicht jeder Sicherheitsvorfall einen Datenschutzverstoß dar: Rechtlich sprechen wir nur dann von einem Datenschutzverstoß, wenn tatsächlich personenbezogene Daten betroffen sind.

In der Praxis können Datenschutzverletzungen sehr unterschiedlich ausfallen. Beispiele hierfür sind Ransomware-Angriffe, bei denen eine Kundendatenbank verschlüsselt wird, E-Mails mit personenbezogenen Daten, die an den falschen Empfänger gesendet werden, gestohlene oder verlorene Laptops oder USB-Sticks, Hackerangriffe auf Webanwendungen oder Postsendungen mit Finanzdaten, die an die falsche Adresse gelangen. Ob es sich um einen internationalen Konzern oder den Bäcker um die Ecke mit seiner Kundenkarte handelt: Sobald personenbezogene Daten in falsche Hände geraten, gelten dieselben rechtlichen Verpflichtungen.

Die Meldepflicht gegenüber der niederländischen Datenschutzbehörde (Artikel 33 DSGVO)

Gemäß Artikel 33 DSGVO muss eine Datenschutzverletzung unverzüglich und möglichst innerhalb von 72 Stunden nach ihrer Entdeckung der Datenschutzbehörde gemeldet werden. Dies ist nur erforderlich, wenn die Datenschutzverletzung voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Ist eine Meldung innerhalb von 72 Stunden nicht möglich, muss die Verzögerung begründet werden.

Die Meldung umfasst unter anderem die Art der Datenschutzverletzung, die Kategorien und die Anzahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen. Die Beweislast dafür, dass von einer Datenschutzverletzung kein Risiko ausgeht, liegt beim Verantwortlichen. Unsere Anwälte und unsere interne Rechtsabteilung unterstützen Sie bei dieser schnellen und sorgfältigen Beurteilung, damit Sie weder unnötige Meldungen abgeben noch meldepflichtige Vorfälle übersehen.

Wann müssen Sie die betroffenen Personen informieren? (Artikel 34 DSGVO)

Zusätzlich zur Meldung an die Aufsichtsbehörde verpflichtet Artikel 34 der DSGVO Sie, die betroffenen Personen selbst zu informieren, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt. Dies stellt höhere Anforderungen als die Meldung an die niederländische Datenschutzbehörde. Die Benachrichtigung der betroffenen Personen kann beispielsweise entfallen, wenn die Daten ordnungsgemäß verschlüsselt wurden, wenn nachträglich Maßnahmen ergriffen wurden, die das hohe Risiko beseitigt haben, oder wenn die individuelle Benachrichtigung einen unverhältnismäßigen Aufwand bedeuten würde.

Darüber hinaus verpflichtet Sie Artikel 33 Absatz 5 der DSGVO, alle Datenschutzverletzungen intern in einem Register zu dokumentieren, auch solche, die Sie nicht melden. Dies ermöglicht es Ihnen, der niederländischen Datenschutzbehörde nachzuweisen, dass Sie Ihre Pflichten ernst nehmen.

Schritt-für-Schritt-Plan: Was tun im Falle einer Datenschutzverletzung?

Im Falle einer Datenschutzverletzung zählt jede Stunde. Wir befolgen einen festgelegten Schritt-für-Schritt-Plan, den wir mit Ihnen durchgehen:

1. Eindämmen und untersuchen: Die Datenschutzverletzung stoppen, feststellen, welche personenbezogenen Daten betroffen sind und wie viele betroffene Personen betroffen sind.
2. Risiko einschätzen: Die Wahrscheinlichkeit und Schwere der Folgen für die Beteiligten abwägen.
3. Meldung an die AP: falls meldepflichtig, innerhalb von 72 Stunden und mit den korrekten Informationen.
4. Informieren Sie die Beteiligten: im Falle eines hohen Risikos in klarer und einfacher Sprache.
5. Maßnahmen ergreifen und dokumentieren: Sicherheit wiederherstellen, Wiederholungen verhindern und alles im Register für Datenschutzverletzungen aufzeichnen.

Unsere Rechtsexperten übernehmen auch die Kommunikation mit der Aufsichtsbehörde, den Mandanten und gegebenenfalls der Presse, um Reputationsschäden zu begrenzen.

Die Rolle des Auftragsverarbeiters und die Auftragsverarbeitervereinbarung (Artikel 28 DSGVO)

Viele Organisationen lagern die Verarbeitung personenbezogener Daten aus, beispielsweise an Hosting-Anbieter, Softwarelieferanten oder Lohnbuchhalter. Gemäß Artikel 28 DSGVO müssen die Vereinbarungen zwischen Verantwortlichem und Auftragsverarbeiter in einem Auftragsverarbeitungsvertrag festgehalten werden. Dieser Vertrag sollte auch festlegen, dass der Auftragsverarbeiter eine Datenschutzverletzung unverzüglich dem Verantwortlichen meldet, damit dieser seiner Meldepflicht fristgerecht nachkommen kann.

Wenn bei Ihrem Lieferanten Probleme auftreten, sind Sie als Verantwortlicher für die Datenverarbeitung häufig der Hauptansprechpartner für die Aufsichtsbehörde. Wir prüfen Ihre Datenverarbeitungsvereinbarungen, klären die Haftung und unterstützen Sie bei der Geltendmachung von Ansprüchen gegen einen fahrlässig handelnden Auftragsverarbeiter.

Geldbußen, Durchsetzung und Entschädigung (Artikel 82 und 83 DSGVO)

Die niederländische Datenschutzbehörde kann bei Verstößen gegen die Meldepflicht oder unzureichender Sicherheit eine Geldbuße von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen. Bei schwerwiegenderen Verstößen, wie der unrechtmäßigen Verarbeitung personenbezogener Daten, erhöht sich die Geldbuße auf 20 Millionen Euro oder 4 % des Jahresumsatzes (Artikel 83 DSGVO). In der niederländischen Praxis bewegen sich die verhängten Geldbußen zwischen Zehntausenden und Hunderttausenden von Euro.

Darüber hinaus können Betroffene gemäß Artikel 82 DSGVO Schadensersatz für materielle und immaterielle Schäden geltend machen, die durch eine Datenschutzverletzung entstanden sind. Dieses Risiko von Schadensersatzansprüchen sowie die Durchsetzung durch die Aufsichtsbehörde machen ein sorgfältiges Vorgehen unerlässlich. Unsere Anwälte unterstützen sowohl Unternehmen, denen ein Bußgeld oder eine Schadensersatzforderung droht, als auch Kleinunternehmer, die einer solchen Situation vorbeugen möchten.

Datenschutzverletzungen verhindern: Sicherheit in Ordnung (Artikel 32 DSGVO)

Die beste Benachrichtigung ist die, die nie nötig ist. Artikel 32 der DSGVO verpflichtet Sie zu geeigneten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten, wie z. B. Verschlüsselung, Zugriffskontrolle und Sensibilisierung Ihrer Mitarbeiter. Unsere Datenschutzexperten unterstützen Sie bei der Optimierung Ihrer Sicherheits- und internen Abläufe, damit Sie im Falle eines Vorfalls schnell und angemessen handeln können.

Eine gute Prävention ist eng mit anderen Bestandteilen Ihrer Datenschutzrichtlinie verknüpft. Bitte lesen Sie daher auch unsere Seiten zum Datenschutz-Audit, zur DSFA ) und zum Datenschutzbeauftragten (DSB).

Häufig gestellte Fragen zu Datenschutzverletzungen

Muss ich jede Datenschutzverletzung der niederländischen Datenschutzbehörde melden?
Nein. Eine Meldung ist nur dann erforderlich, wenn die Datenschutzverletzung voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Sie müssen jedoch alle Datenschutzverletzungen in Ihrem internen Register erfassen.

Innerhalb welcher Frist muss ich eine Datenschutzverletzung melden?
Unverzüglich und möglichst innerhalb von 72 Stunden nach Entdeckung (Artikel 33 DSGVO). Ist dies nicht möglich, müssen Sie die Verzögerung begründen.

Was passiert, wenn die Datenschutzverletzung bei meinem Lieferanten ihren Ursprung hat?
Als Verantwortlicher bleiben Sie gegenüber der Aufsichtsbehörde verantwortlich. Der Auftragsverarbeiter muss Ihnen die Verletzung jedoch unverzüglich melden; dies ist im Auftragsverarbeitungsvertrag festgelegt (Art. 28 DSGVO).

Kann ich mit einer Geldstrafe belegt werden, wenn ich keine Meldung erstatte?
Ja. Eine unterlassene oder zu späte Meldung kann eine Geldstrafe von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen (Artikel 83 DSGVO).

Teil des Themas Datenschutz und Datensicherheit

Datenschutzverletzungen sind ein Spezialgebiet unserer umfassenden Expertise im Bereich Datenschutz. In gemischten Teams aus Anwälten und Unternehmensjuristen unterstützen wir Organisationen jeder Größe – von internationalen Konzernen bis hin zum Bäcker um die Ecke – sowohl bei akuten Datenschutzverletzungen als auch bei der strukturellen Anpassung Ihrer Datenschutzrichtlinie an die geltenden Standards.