Was passiert, wenn wir die Frist reißen?

Verstöße gegen die Art. 33 und 34 sind nach Art. 83 Abs. 4 mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bewehrt, je nachdem, welcher Betrag höher ist. In der Praxis wiegt schwerer, dass eine verspätete oder unterlassene Meldung als erschwerender Umstand in die Bewertung des eigentlichen Vorfalls eingeht.

Ist ein Ransomware-Angriff automatisch eine meldepflichtige Datenpanne?

Nicht automatisch, aber fast immer. Verschlüsselung ist ein Verlust der Verfügbarkeit, und das ist eine Verletzung des Schutzes personenbezogener Daten. Hinzu kommt, dass heute in der Regel vor der Verschlüsselung Daten abgeflossen sind. Die Annahme „nur verschlüsselt, nichts abgeflossen" muss belegt werden und lässt sich ohne forensische Untersuchung nicht belegen.

Wir wissen nach 72 Stunden noch nicht, wer betroffen ist. Was dann?

Dann meldest Du das. Der Sachverhalt, die geschätzte Größenordnung, der Stand der Untersuchung und der Zeitpunkt, zu dem Du nachliefern kannst. Die schrittweise Meldung ist der Normalfall, nicht die Notlösung.

Zählt ein verlorenes Notebook?

Ja, wenn personenbezogene Daten darauf lagen. War die Festplatte wirksam verschlüsselt und das Kennwort nicht mit verloren, ist das Risiko meist gering, die Dokumentationspflicht bleibt aber bestehen.

Wer meldet, wenn der Vorfall beim Dienstleister passiert ist?

Du. Der Auftragsverarbeiter meldet an Dich, nicht an die Behörde. Gegenüber der Aufsichtsbehörde bleibst Du der Verantwortliche.

Datenpanne melden: 72 Stunden nach Art. 33 DSGVO

Jetzt Termin vereinbaren

Wiki

Bereit für planbare IT?

Erstes Gespräch kostenlos und unverbindlich.

Jetzt Termin vereinbaren →

Bereit für planbare IT?

{{ h1 }}

Bereit für planbare IT?