Wissen · Datenschutz· 5 Min. Lesezeit
Meldepflicht nach einem Hack: Was die DSGVO verlangt
Werden bei einem Angriff personenbezogene Daten gefährdet, etwa Kundendaten, Bestellungen oder Kontaktanfragen, greifen die Meldepflichten der DSGVO. Die Fristen sind kurz, deshalb lohnt es sich, die Grundzüge zu kennen.
Wann eine Meldung nötig sein kann
Artikel 33 DSGVO verlangt, eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde zu melden, möglichst binnen 72 Stunden, nachdem sie bekannt wurde. Ausgenommen sind Fälle, in denen voraussichtlich kein Risiko für die betroffenen Personen besteht.
- Ein Shop, in dessen Checkout Zahlungsdaten abgegriffen wurden.
- Eine Datenbank mit Kundenkonten, auf die der Angreifer Zugriff hatte.
- Ein Kontaktformular, dessen Anfragen an Dritte weitergeleitet wurden.
Wann Betroffene informiert werden müssen
Besteht voraussichtlich ein hohes Risiko für die Rechte der Betroffenen, verlangt Artikel 34 DSGVO zusätzlich, diese Personen selbst zu benachrichtigen, in klarer und einfacher Sprache.
Was Sie dokumentieren sollten
- Zeitpunkt, zu dem der Vorfall bemerkt wurde.
- Welche Systeme und welche Arten von Daten betroffen sein könnten.
- Wie der Angreifer vermutlich eingedrungen ist.
- Welche Maßnahmen zur Eindämmung und Bereinigung ergriffen wurden.
- Wer intern informiert wurde und welche Entscheidungen getroffen wurden.
Technische Grundlage
Für die Meldung braucht es eine belastbare technische Beschreibung des Vorfalls. Eine saubere Analyse liefert genau diese Angaben.
Hinweis
Diese Seite ersetzt keine Rechtsberatung. Die rechtliche Bewertung übernimmt Ihr Datenschutzbeauftragter oder eine Kanzlei.