Dieser Beitrag vertieft ein Thema aus dem Überblick DSGVO im Maklerbüro: den Ernstfall, wenn Daten in falsche Hände geraten. Hier entscheidet weniger das Wissen als die Geschwindigkeit, deshalb lohnt es sich, den Ablauf vorab zu kennen.

Was als Datenpanne gilt

Der Begriff ist weiter, als viele denken. Eine Datenpanne, im Gesetz „Verletzung des Schutzes personenbezogener Daten", liegt bei jeder Verletzung der Sicherheit vor, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang dazu führt, und zwar gleichgültig, ob unbeabsichtigt oder absichtlich (Art. 4 Nr. 12 DSGVO). Es geht also nicht nur um den Hackerangriff, sondern genauso um das Versehen.1

Die Aufsichtsbehörden unterscheiden drei Erscheinungsformen, an denen Sie eine Panne erkennen: die Verletzung der Vertraulichkeit (Unbefugte sehen Daten), der Integrität (Daten werden unbefugt verändert) und der Verfügbarkeit (Daten gehen verloren oder sind nicht mehr zugänglich). Im Makleralltag sind das die typischen Fälle:1

  • eine E-Mail oder ein Brief mit Kundendaten an den falschen Empfänger,
  • ein verlorener oder gestohlener Laptop, USB-Stick oder Aktenordner,
  • ein Hacker- oder Ransomware-Angriff, der Daten verschlüsselt oder abgreift,
  • der Fehlversand von Antrags- oder Gesundheitsunterlagen an die falsche Person.

Wichtig: Nicht jeder Sicherheitsvorfall ist automatisch eine meldepflichtige Datenpanne, aber jede Datenpanne ist zugleich ein Sicherheitsvorfall, der eine Bewertung auslöst. Ob daraus eine Meldung wird, entscheidet das Risiko (dazu unten).1

Die 72-Stunden-Meldung an die Aufsicht

Steht fest, dass eine Datenpanne vorliegt, ist die zentrale Pflicht die Meldung. Der Verantwortliche, also der Makler, meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen (Art. 33 Abs. 1 DSGVO).2

Drei Punkte sind dabei entscheidend. Erstens der Fristbeginn: „Bekannt" ist die Panne, sobald Sie mit hinreichender Gewissheit wissen, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Eine kurze Untersuchungsphase, um das festzustellen, ist erlaubt, aber sobald die Gewissheit da ist, läuft die Uhr, nicht erst, wenn alles aufgeklärt ist. Schaffen Sie die 72 Stunden nicht, ist der Meldung eine Begründung für die Verzögerung beizufügen. Zweitens der Inhalt: Die Meldung beschreibt die Art der Verletzung (mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze), nennt eine Anlaufstelle, schildert die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen. Drittens die schrittweise Meldung: Fehlen einzelne Angaben noch, dürfen Sie diese ohne unangemessene Verzögerung nachreichen, fehlende Details dürfen die fristgerechte Erstmeldung nicht aufhalten.2

Wohin gemeldet wird. Zuständig ist die Datenschutzaufsicht Ihres Bundeslandes. Die Landesbehörden bieten dafür Online-Meldewege an, über die Sie die Panne strukturiert erfassen und einen Eingangsnachweis erhalten. Es lohnt sich, den Link zur eigenen Landesbehörde vorab zu kennen, im Ernstfall fehlt die Zeit, ihn zu suchen.2

Müssen Sie die Kunden informieren?

Die Meldung an die Behörde ist das eine, die Information der Kunden das andere, und dafür gilt eine höhere Schwelle. Die betroffenen Personen müssen Sie nur dann benachrichtigen, wenn die Datenpanne voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat (Art. 34 Abs. 1 DSGVO). Dann aber unverzüglich und in klarer, einfacher Sprache, mit Beschreibung der Verletzung, Anlaufstelle, wahrscheinlichen Folgen und Massnahmen.3

Das Gesetz nennt drei Ausnahmen, in denen die individuelle Benachrichtigung entfällt (Art. 34 Abs. 3 DSGVO): wenn die Daten durch geeignete Massnahmen, insbesondere Verschlüsselung, für Unbefugte unzugänglich waren; wenn Sie durch nachträgliche Massnahmen dafür gesorgt haben, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr eintritt; oder wenn die individuelle Benachrichtigung einen unverhältnismässigen Aufwand bedeuten würde, dann tritt an ihre Stelle eine öffentliche Bekanntmachung oder eine ähnlich wirksame Massnahme. Hat die Aufsichtsbehörde Zweifel, kann sie die Benachrichtigung anordnen.3

Wann ist das Risiko hoch? Beispiele aus der Praxis

Die ganze Mechanik hängt an der Risikobewertung. Massgeblich sind die Eintrittswahrscheinlichkeit und die Schwere möglicher Nachteile, etwa Identitätsdiebstahl, finanzieller Verlust, Rufschädigung oder Diskriminierung. Die Aufsichtsbehörden haben dazu Beispielfälle veröffentlicht, die sich gut auf das Maklerbüro übertragen lassen:4

  • E-Mail an den falschen Empfänger. Auch bei einfachen Kontaktdaten an einen einzelnen falschen Empfänger sind der konkrete Inhalt, der Empfänger, vorhandener Schutz und wirksame Abhilfe zu prüfen. Eine Meldung an die Aufsichtsbehörde entfällt nur, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen besteht; ein bloss geringes Risiko genügt dafür nicht. Der Vorfall und die Bewertung sind zu dokumentieren. Bei sensiblen Daten vieler Kunden kann ein hohes Risiko bestehen, das zusätzlich die Benachrichtigung der Betroffenen nach Art. 34 DSGVO auslöst; die dortigen Ausnahmen sind gesondert zu prüfen.
  • Fehlversand per Post. Bei einem falsch eingetüteten Versicherungsbrief mit Name, Adresse und Vertragsdaten sind insbesondere Inhalt, Empfänger und mögliche Folgen zu prüfen. Daraus ergibt sich, ob ein Risiko oder ein hohes Risiko besteht.
  • Verlorener oder gestohlener Laptop. Ohne Verschlüsselung und Passwort erhöht sich das Risiko erheblich. Ob es hoch ist, hängt auch von den betroffenen Daten und möglichen Folgen ab. War das Gerät wirksam verschlüsselt und ausgeschaltet und besteht ein Backup, fehlt es regelmässig an einem Risiko, eine Meldung kann dann entfallen.
  • Ransomware. Die Bewertung ist abgestuft: Gibt es ein sauberes Backup und wurden keine Daten abgegriffen, kann der Schaden gering sein; sind zusätzlich Daten abgeflossen, ist insbesondere anhand der betroffenen Daten und möglichen Folgen zu prüfen, ob ein hohes Risiko besteht.

Eine Besonderheit gilt für Gesundheitsdaten: Sind besondere Kategorien betroffen, wie bei der Kranken-, Berufsunfähigkeits- oder Lebensversicherung, erhöht das das Risiko in der Regel, ohne dass dies ein starrer Automatismus wäre. Mehr dazu in Gesundheitsdaten im Maklerbüro.4

Wer nicht meldet, trägt die Beweislast. Entscheiden Sie sich gegen eine Meldung, weil Sie kein Risiko sehen, müssen Sie diese Einschätzung nachweisen können, das verlangt die Rechenschaftspflicht. Können Sie das nicht belastbar, ist die Meldung der sichere Weg. Im Zweifel gilt: lieber einmal zu viel gemeldet als die Frist und damit ein eigenes Bussgeldrisiko riskiert.4

Dokumentieren, Dienstleister-Kette, Folgen

Drei Dinge runden das Bild ab. Erstens die Dokumentation: Sie müssen jede Datenpanne intern festhalten, mit den Fakten, ihren Auswirkungen und den ergriffenen Abhilfemassnahmen, und zwar unabhängig davon, ob eine Meldung nötig war (Art. 33 Abs. 5 DSGVO). Diese Dokumentation ist nicht nur Pflicht, sie schützt Sie auch: Im Streit mit der Aufsicht belegt sie, dass Sie den Vorfall erkannt, bewertet und beherrscht haben.5

Zweitens die Dienstleister-Kette: Passiert die Panne bei einem Auftragsverarbeiter, etwa Ihrem IT-Dienstleister, einem Cloud-Anbieter oder einem Pool, der Daten in Ihrem Auftrag verarbeitet, dann meldet dieser sie nicht selbst der Behörde, sondern unverzüglich Ihnen. Die rechtliche Meldepflicht gegenüber der Aufsicht bleibt bei Ihnen als Verantwortlichem. Deshalb gehört in jeden Auftragsverarbeitungsvertrag eine schnelle Meldekette, dazu mehr in Auftragsverarbeitung im Maklerbüro.5

Drittens die Folgen: Wer die Melde- oder Benachrichtigungspflicht verletzt, begeht einen eigenständigen Verstoss, der mit einem Bussgeld bis zu 10 Millionen Euro oder bei Unternehmen 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist kann; eine verspätete Meldung kann zusätzlich zur eigentlichen Panne sanktioniert werden. Ein Bussgeld setzt aber Verschulden voraus, und eine ordentliche Dokumentation, schnelle Reaktion und Kooperation mit der Aufsicht wirken sich ausdrücklich mildernd aus. Daneben können betroffene Kunden Schadenersatz verlangen; wie Bussgeld und Schadenersatz zusammenhängen, vertieft der Beitrag DSGVO-Bussgeld und Schadenersatz.5

Der Notfallplan, und was das praktisch heisst

Ein vorbereiteter Notfallplan hilft, innerhalb der 72-Stunden-Frist zu handeln. Die folgenden fünf Schritte können als Grundlage dienen:

  • Erkennen. Wer meldet einen Verdacht an wen? Jeder im Büro muss wissen, dass ein Fehlversand oder ein verlorenes Gerät sofort zu melden ist.
  • Bewerten. Eine verantwortliche Person prüft zügig: Welche Daten, wie viele Betroffene, welches Risiko?
  • Melden. Bei Risiko die Meldung an die Landesbehörde, innerhalb der Frist, notfalls mit Begründung der Verzögerung und schrittweise.
  • Benachrichtigen. Bei hohem Risiko die betroffenen Kunden, klar und verständlich.
  • Dokumentieren. Jeden Vorfall festhalten, mit Bewertung und Massnahmen, auch wenn nicht gemeldet wird.

Wer diese fünf Schritte einmal aufschreibt, Zuständigkeiten festlegt und den Meldelink bereithält, verwandelt den gefürchteten Ernstfall in einen abgearbeiteten Prozess. Das ist der eigentliche Schutz: nicht die Hoffnung, dass nichts passiert, sondern die Fähigkeit, im Fall der Fälle ruhig und fristgerecht zu reagieren.