Was ist passiert? Sie haben gerade eine Verletzung erlitten
Hacking, Verlust eines Laptops, an den falschen Empfänger gesendete E-Mail, exponierte Datenbank, Ransomware: Jede Verletzung personenbezogener Daten – Zerstörung, Verlust, Veränderung, unbefugte Offenlegung – löst sofortige Pflichten für das verantwortliche Unternehmen aus. Der Ausgangspunkt der Fristen ist die Kenntniserlangung: Jede Stunde zählt.
Die 72-Stunden-Frist: Was zu tun ist, in der Reihenfolge
Seit der DSGVO (Artikel 33) muss die Verletzung der CNIL innerhalb von 72 Stunden nach Kenntniserlangung gemeldet werden, wenn sie ein Risiko für die Rechte der Personen darstellen kann. Innerhalb dieser Frist: die Fakten qualifizieren, die betroffenen Daten identifizieren (Kategorien, Umfang, Sensibilität), das Risiko bewerten, Korrekturmaßnahmen vorbereiten. Eine unvollständige Meldung innerhalb von 72 Stunden ist besser als eine perfekte, aber zu späte Meldung: Sie kann später ergänzt werden.
Die betroffenen Personen informieren
Artikel 34 fügt eine zweite Pflicht hinzu: Wenn das Risiko hoch ist (Gesundheitsdaten, Bankdaten, Daten, die Identitätsdiebstahl ermöglichen), müssen die Personen einzeln und unverzüglich informiert werden – per separater E-Mail vom Werbemailing, mit Erklärung der Art der Verletzung, der möglichen Folgen und der zu ergreifenden Maßnahmen (Passwortänderung, Bankwachsamkeit). Die Ausnahme des durch wirksame Verschlüsselungsmaßnahmen unwahrscheinlich gemachten Risikos muss dokumentiert werden.
In der Praxis: Das Register und das interne Verfahren
Jede Verletzung – auch wenn sie nicht gemeldet wird, weil kein Risiko besteht – muss in einem internen Register festgehalten werden (Fakten, Auswirkungen, Maßnahmen). Dieses Register verlangt die CNIL bei Kontrollen. Unternehmen mit einem schriftlichen Verfahren (wer macht was, Meldeformulare, Kontaktdaten des DSB) halten die 72 Stunden ein; andere improvisieren und bestrafen sich selbst.
Und wenn man sich nicht daran hält?
Verstoß gegen die Meldepflicht: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes, verschärft, wenn die Verletzung selbst einen Sicherheitsmangel offenbart (geteilte Passwörter, fehlende Verschlüsselung, vernachlässigte Updates). Die CNIL sanktioniert auch regelmäßig das Fehlen eines Registers.
Für Unternehmen wie für Opfer: Me Zakine, Anwalt für DSGVO und CNIL in Antibes, bereitet Meldeverfahren vor, begleitet Kontrollen und verteidigt Personen, die Opfer von Datenverletzungen geworden sind.
