Freitag, 15:40 Uhr. Die Personalsachbearbeiterin schreibt, dass sie die Lohnliste für Oktober an einen Kunden statt an das externe Steuerbüro geschickt hat, weil Outlook eine ähnliche Adresse vorgeschlagen hat. Jemand sagt: „Rufen wir an, er soll sie löschen, und gut ist." Jemand anderes hat von 72 Stunden und Bußgeldern gehört. Bis Montag passiert nichts.
Dieser Beitrag hilft Ihnen, innerhalb von zwei Stunden nach dem Vorfall eine von drei Entscheidungen zu treffen: nur ein Eintrag im internen Register, eine Meldung an den Präsidenten von UODO (die polnische Datenschutzbehörde) oder eine Meldung an UODO plus Benachrichtigung der Personen, deren Daten betroffen sind. Er ersetzt keinen Anwalt und keinen Datenschutzbeauftragten, sorgt aber dafür, dass Sie die Frist nicht verpassen und die Fakten haben, nach denen diese fragen werden.
Die Uhr läuft früher, als Sie denken
Artikel 33 DSGVO verlangt, dass der Verantwortliche die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, benachrichtigt (Quelle: DSGVO-Text bei EUR-Lex). 72 Stunden sind Uhrstunden, keine Arbeitsstunden. Eine E-Mail vom Freitag um 15:40 Uhr gibt Ihnen Zeit bis Montag 15:40 Uhr.
„Bekannt werden" ist der Moment, in dem das Unternehmen verlässliche Information hat, dass Daten dort gelandet sind, wo sie nicht hingehören. Nicht der Moment, in dem die IT ihre Analyse abschließt. Weiß die Personalsachbearbeiterin es am Freitag, weiß es das Unternehmen am Freitag.
Drei Dinge, die am häufigsten verwechselt werden:
- Kein Verschulden heißt nicht keine Verletzung. UODO schreibt ausdrücklich, dass eine E-Mail, die eine andere Person erreicht hat, eine Verletzung der Vertraulichkeit ist, auch wenn die Adresse korrekt eingegeben wurde und der Fehler beim Mailanbieter lag (Quelle: UODO-Bulletin, polnisch).
- „Der Empfänger hat versprochen zu löschen" schließt den Fall nicht. Es senkt das Risiko und gehört in die Bewertung, aber die Verletzung ist bereits geschehen.
- Jede Verletzung kommt ins Register. Auch die, die Sie nicht melden. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation aller Verletzungen: was passiert ist, welche Auswirkungen, was Sie getan haben.
In Polen melden Sie elektronisch über das Formular auf dem Regierungsportal biznes.gov.pl oder an das ePUAP-Postfach von UODO, das elektronische Postfach der öffentlichen Verwaltung (Quelle: UODO, Meldung von Verletzungen). Kennen Sie noch nicht alle Fakten, kreuzen Sie „vorläufige Meldung" an und ergänzen später. Fehlende Informationen sind kein Grund zu warten.
Drei Fragen, die die Entscheidung bestimmen
Die DSGVO unterscheidet drei Stufen: eine Verletzung, die voraussichtlich nicht zu einem Risiko führt (nur Register), eine Verletzung mit Risiko (Meldung an UODO) und eine mit hohem Risiko (Meldung plus Benachrichtigung der Betroffenen, Art. 34). Um zu wissen, wo Sie stehen, beantworten Sie schriftlich drei Fragen.
1. Welche Daten sind hinausgegangen? Name und dienstliche E-Mail eines Geschäftskontakts wiegen anders als eine PESEL-Nummer (die polnische Personenkennzahl), Kontonummer, Gehalt, Krankmeldungen oder Gesundheitsdaten. Eine Lohnliste mit PESEL-Nummern und Beträgen bedeutet fast immer mindestens eine Meldung an UODO.
2. Wer hat sie erhalten, und lassen sie sich zurückholen? Ein bekannter Geschäftspartner mit Geheimhaltungsvereinbarung, der die Löschung schriftlich bestätigt hat, ist ein geringeres Risiko als eine private Gmail-Adresse, deren Inhaber Sie nicht kennen. Ein im Zug verlorener USB-Stick ist „unbekannter Empfänger". Ein Cloud-Ordner, der drei Monate lang für „jeden mit dem Link" freigegeben war, ebenfalls.
3. Waren die Daten lesbar? Eine verschlüsselte Datei mit Passwort über einen anderen Kanal oder ein Laptop mit aktiviertem BitLocker ändern die Bewertung. Art. 34 Abs. 3 DSGVO befreit von der Benachrichtigung der Betroffenen, wenn die Daten so geschützt waren, dass sie für Unbefugte unzugänglich sind. Deshalb ist Festplattenverschlüsselung in der Praxis der Unterschied zwischen einem Registereintrag und einem Schreiben an Dutzende Personen.
Die Faustregel aus unseren Projekten: Haben Sie nach diesen drei Fragen Zweifel, melden Sie. Eine vorläufige Meldung dauert etwa eine Stunde. Eine unbegründet unterlassene Meldung ist ein eigener Verstoß, den der Präsident von UODO unabhängig vom Datenabfluss selbst mit einem Bußgeld belegen kann.
Zwei Fälle aus Unternehmen, mit denen wir gearbeitet haben
Gut gelaufen: ein Steuerbüro, 14 Personen. Eine Mitarbeiterin schickte eine Gehaltsübersicht für 23 Beschäftigte eines Mandanten (Namen, PESEL-Nummern, Bruttobeträge) an einen anderen Mandanten des Büros. Sie bemerkte es nach 40 Minuten, weil der Empfänger antwortete. Die Inhaberin hatte ein einseitiges Verfahren: wer bewertet, wer die Meldung schreibt, wo die Vorlage liegt. Da der Mandant Verantwortlicher für die Daten seiner Beschäftigten war und das Büro nur Auftragsverarbeiter, informierte das Büro den Mandanten innerhalb einer Stunde (Art. 33 Abs. 2 DSGVO). Nach 3 Stunden hatte der Mandant die schriftliche Löschbestätigung des Empfängers, eine Beschreibung des Vorfalls und einen Meldungsentwurf. Die vorläufige Meldung ging am selben Tag über biznes.gov.pl hinaus, und beide Unternehmen trugen den Vorfall in ihre Register ein. Kosten: etwa 6 Stunden Arbeit der Inhaberin und des Datenschutzbeauftragten, rund 1.000–2.000 PLN (ca. 250–450 EUR). Danach schaltete das Büro in Microsoft 365 für die Lohnabteilung eine Sendeverzögerung von 2 Minuten ein und deaktivierte die Autovervollständigung externer Adressen. Die Lehre: Am schwierigsten war die Klärung, wer Verantwortlicher ist. Hätte das in den Auftragsverarbeitungsverträgen gestanden, hätten sie eine Stunde gespart.
Schlecht gelaufen: ein Handelsunternehmen, 28 Personen, Subiekt nexo (ein in Polen verbreitetes ERP für kleine Firmen) und Microsoft 365. Ein Vertriebsmitarbeiter gab in OneDrive einen Ordner mit einem Export der Kundenkartei frei, rund 1.900 Einzelunternehmer mit privaten Telefonnummern und Adressen, über einen Link für „jeden mit dem Link". Der Link kursierte vier Monate in E-Mails. Entdeckt wurde er zufällig beim Aufräumen von Berechtigungen. Die Geschäftsleitung diskutierte eine Woche, ob das „überhaupt ein Datenabfluss" sei, weil kein Beweis vorlag, dass ein Fremder die Datei geöffnet hatte. Die Meldung ging nach 9 Tagen hinaus, mit Begründung der Verspätung. Dazu kamen 2 Tage eines externen Anwalts (ca. 5.000–8.000 PLN, 1.200–1.900 EUR), eine Prüfung aller Freigaben im Tenant (3 Arbeitstage, ca. 6.000 PLN, 1.400 EUR) und drei Wochen Beantwortung von Kundenfragen. Die Lehre: Die Dateizugriffsprotokolle in Microsoft 365 waren vom ersten Tag an verfügbar und hätten gezeigt, wer den Link geöffnet hat. Niemand prüfte sie, weil niemand wusste, dass es sie gibt. Heute würden wir in der ersten Stunde damit beginnen.
Was schiefgehen kann und was es kostet
Eine Meldung an UODO ist nicht kostenlos, auch wenn das Formular es ist. Rechnen Sie damit:
- UODO kann nachfragen. Typischerweise erhalten Sie ein Schreiben mit der Bitte um Erläuterungen und Unterlagen: Register, Risikobewertung, Verfahren. Fehlen diese, dauert die Erstellung meist 2–5 Arbeitstage einer Person.
- Benachrichtigung der Betroffenen ist operative Arbeit. Ein Schreiben an 23 Personen ist ein halber Tag. An 1.900 Personen ist es ein Serienbrief, eine Hotline für einige Tage und Fragen, die jemand einheitlich beantworten muss.
- Anwalt und Datenschutzbeauftragter. Ohne festen Datenschutzbeauftragten kostet Ad-hoc-Hilfe bei einem Vorfall meist 2.000–8.000 PLN (500–1.900 EUR), je nach Umfang.
- Der teuerste Fehler ist Verzögerung. Eine verspätete Meldung müssen Sie begründen. „Wir wussten nicht, dass wir müssen" ist keine Begründung.
Wann eine Meldung keinen Sinn hat: wenn die Daten verschlüsselt waren und der Schlüssel nicht abgeflossen ist, wenn nur geschäftliche Kontaktdaten (Name, dienstliche E-Mail) an einen bekannten Partner gingen, der die Löschung bestätigt hat, oder wenn die Daten das Unternehmen nie verlassen haben, etwa wenn eine Datei an den falschen Mitarbeiter derselben Abteilung mit denselben Rechten ging. Dann machen Sie einen sauberen Registereintrag mit Begründung und belassen es dabei. Die Begründung muss schriftlich sein, denn bei einer Prüfung werden Sie daran gemessen.
Die günstigere Alternative zu „immer den Anwalt anrufen": ein einseitiges Verfahren und eine Vorlage zur Risikobewertung, einmal mit Datenschutzbeauftragtem oder Anwalt erstellt, meist für 2.000–4.000 PLN (500–950 EUR) und in 1–2 Wochen. Beim ersten Vorfall amortisiert sich das in den gesparten Stunden. Proben Sie es trocken, wie in einer Tabletop-Übung.
Was Sie diese Woche tun können
- Prüfen Sie, ob Sie ein Register für Datenschutzverletzungen haben. Falls nicht, legen Sie eine Tabelle an mit den Spalten: Datum der Kenntnisnahme, was passiert ist, welche Daten, wie viele Personen, Risikobewertung, Entscheidung und Begründung, Maßnahmen.
- Schreiben Sie auf eine Seite: wer im Unternehmen über die Meldung entscheidet, wer ein Profil Zaufany (die polnische staatliche E-ID) oder eine qualifizierte Signatur für das Formular auf biznes.gov.pl hat, und die Telefonnummer Ihres Datenschutzbeauftragten oder Anwalts. Hängen Sie sie dort auf, wo Personal und Buchhaltung sitzen.
- Öffnen Sie in Microsoft 365 oder Google Workspace den Bericht über externe Freigaben und zählen Sie die Links „jeder mit dem Link" auf Ordner mit personenbezogenen Daten.
- Prüfen Sie in zwei oder drei Verträgen mit Steuerbüro, Personaldienstleister oder CRM-Anbieter, wer Verantwortlicher und wer Auftragsverarbeiter ist und wie schnell man Sie über einen Vorfall informieren muss.
- Fragen Sie Personal und Buchhaltung, ob im letzten Jahr etwas an die falsche Person ging. Wenn ja und es nicht im Register steht, tragen Sie es jetzt ein.
Jede Verletzung kommt ins Register, riskante melden Sie binnen 72 Uhrstunden an UODO, und bei hohem Risiko benachrichtigen Sie die Betroffenen. Drei Fragen zeigen, wo Sie stehen: welche Daten, an wen und waren sie lesbar. Im Zweifel melden Sie vorläufig und ergänzen später.