DatenschutzvorfallEin Datenschutzvorfall liegt vor, wenn es zu einer Verletzung des Schutzes personenbezogener Daten kommt. Diese Verletzung besteht in jeder Verletzung der Sicherheit, die – gleich ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt, welche übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
- Aktuell
- Was kann ein Datenschutzvorfall sein?
- Was muss ich als Verantwortliche:r nach einem Vorfall tun?
- Was kann ich als betroffene Person nach einem Vorfall tun?
Was kann ein Datenschutzvorfall sein?
Wenn Hacker im Rahmen eines Cyberangriffs personenbezogene Daten abgreifen, wenn man falsche E-Mail-Adressen für den Versand von personenbezogenen Daten verwendet oder wenn Datenträger wie USB-Sticks, Festplatten oder Notebooks mit personenbezogenen Daten verloren gehen oder gestohlen werden, handelt es sich um einen Datenschutzvorfall. Dieser wird bisweilen auch als Datenpanne oder Datenleck bezeichnet. Konkret kann es sich dabei um folgende Vorfälle handeln:
- Datenverlust durch ein verlorenes oder ein gestohlenes Medium
- Unberechtigte Weitergabe oder unberechtigter Zugriff Dritter
- Versand an falsche Adressat:innen
- Fehlentsorgung
- Fehlerhafte Löschung
- Cyberangriff
- Ausspähen von Daten (Skimming)
- Malware und Ransomware
- Phishing
- Softwarefehler
Was muss ich als Verantwortliche:r nach einem Vorfall tun?
Kommt es zu einem Datenschutzvorfall, sind Verantwortliche nach Art. 33 Datenschutz-Grundverordnung (DSGVO) und § 51 Berliner Datenschutzgesetz (BlnDSG) grundsätzlich verpflichtet, die Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden der Berliner Beauftragten für Datenschutz und Informationsfreiheit als zuständige Aufsichtsbehörde zu melden und unter Umständen auch die betroffenen Personen über den Vorfall zu informieren.
Eine Meldung an die zuständige Aufsichtsbehörde kann nur ausnahmsweise unterbleiben, wenn der Vorfall voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ist der Vorfall voraussichtlich sogar mit einem hohen Risiko für die betroffenen Personen verbunden, haben die Verantwortlichen nach § 52 Abs. 1 BlnDSG zusätzlich die betroffenen Personen zu benachrichtigen.
Mit unserem Onlineformular zur Meldung eines Datenschutzvorfalls bieten wir Verantwortlichen die einfache Möglichkeit, die Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO bzw. § 51 BlnDSG durchzuführen. Die Meldung muss mindestens die folgenden inhaltlichen Angaben nach Art. 33 Abs. 3 DSGVO bzw. § 51 Abs. 3 BlnDSG enthalten:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Anzahl der betroffenen Datensätze
- den Namen und die Kontaktdaten der bzw. des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten
- eine Beschreibung der von den Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
Was kann ich als betroffene Person nach einem Vorfall tun?
Um mögliche Folgen eines Datenschutzvorfalls zu verhindern bzw. abzumildern, empfehlen wir Ihnen, geeignete Schutzmaßnahmen durchzuführen. Die Maßnahmen richten sich jeweils nach den vom Vorfall betroffenen Kategorien von personenbezogenen Daten, d. h. ob zum Beispiel Passwörter oder Zahlungsinformationen entwendet worden sind.
Zugangsdaten (insbesondere Passwörter) ändern
Wenn Passwörter oder Passwort-Hashes entwendet wurden, sollten Sie diese umgehend ändern. Aber auch wenn Zugangskennungen (etwa Ihre E-Mail-Adresse) betroffen sind, sollten Sie die Sicherheit Ihrer Onlinekonten prüfen. Verwenden Sie für jedes Onlinekonto ein unterschiedliches und starkes Passwort. Wenn der bzw. die jeweilige Diensteanbieter:in bzw. Plattformbetreiber:in eine Zwei-Faktor-Authentifizierung anbietet (wie dies beim Onlinebanking bereits verpflichtender Standard ist), richten Sie diese zum Schutz des Zugangs ein.
Kontobewegungen auf Girokonten und Kreditkarten prüfen
Wenn Zahlungsinformationen wie Kreditkartendaten oder IBAN betroffen sind, prüfen Sie Ihre Kontobewegungen. Nach einem Datenschutzvorfall, bei dem diese Daten offengelegt wurden, könnten die Daten genutzt werden, um unbefugt Bestellungen zu Ihren Lasten (beispielsweise auf Lastschrift) durchzuführen. Bei unbefugten Abbuchungen widerrufen Sie diese umgehend und informieren Sie Ihr Geldinstitut. Ein Zugang zu Ihrem Konto ist in der Regel allein über die Zahlungsinformationen nicht möglich.
Ungewöhnliche Post prüfen
Mahnungen, Inkassobriefe oder Rechnungen für nicht selbst bestellte Ware sollten Sie nicht ignorieren. Sofern es sich augenscheinlich um authentische Schreiben handelt, wenden Sie sich an den bzw. die Absender:in und stellen klar, dass Sie die Bestellung nicht veranlasst haben.
Bei E-Mails und Anrufen wachsam sein
Hinsichtlich möglicher Phishing- und Schad-E-Mails sowie entsprechender Anrufe, in denen Sie aufgefordert werden, (auf einer externen Website) Zugangsdaten oder andere Informationen preiszugeben oder verschlüsselte Dateianhänge zu öffnen, ist Wachsamkeit geboten. Beim Social Engineering nutzen Angreifer:innen die Gutgläubigkeit mancher Menschen als vermeintlich schwächstes Glied der Sicherheitskette aus, um ihre kriminellen Absichten zu verwirklichen. Im Zweifel lassen Sie sich über einen anderen Kommunikationskanal (beispielsweise eine offizielle oder Ihnen bekannte Telefonnummer) die Richtigkeit der E-Mail oder des Anrufs bestätigen, bevor Sie Informationen preisgeben oder Anhänge öffnen. Weitere Informationen zur Erkennung von Phishing- und Spam-E-Mails finden Sie auf der Website des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Bei Betrug Strafanzeige erstatten
Liegt ein Betrug oder der Verdacht auf einen Betrug vor, können Sie bei der Polizei Anzeige erstatten. Für die Ermittlung und Verfolgung der Täter:innen ist die Polizei bzw. die Staatsanwaltschaft zuständig.
IT-Sicherheitsmaßnahmen beachten
Auch unabhängig von Datenpannen sollten Sie Ihre Endgeräte und verwendeten Dienste durch geeignete Sicherheitsmaßnahmen schützen. Beachten Sie hierzu die von uns bereitgestellten weiterführenden Informationen.
Führt ein Datenschutzvorfall voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen diese unverzüglich benachrichtigt werden. Sofern es für den bzw. die Verantwortliche:n möglich und zumutbar ist, sollte die Benachrichtigung individuell erfolgen. Ist dies nicht möglich oder zumutbar, kann die Benachrichtigung auch über eine öffentliche Bekanntmachung erfolgen.
Für betroffene Personen besteht keine Pflicht zur Meldung eines Datenschutzvorfalls. Diese Pflicht besteht nur für diejenigen, die für den Datenschutzvorfall verantwortlich sind.
Haben Sie von den für den Vorfall Verantwortlichen bereits eine Benachrichtigung erhalten, liegt der zuständigen Aufsichtsbehörde hierzu in der Regel die Meldung des Verantwortlichen vor. Häufig weisen die Verantwortlichen in ihrer Benachrichtigung auch darauf hin, dass die zuständige Aufsichtsbehörde informiert wurde. Dies liegt daran, dass im Falle einer Benachrichtigungspflicht immer auch eine Meldepflicht besteht.
Ein Datenschutzvorfall liegt vor, wenn es zu einer Verletzung des Schutzes personenbezogener Daten kommt. Diese Verletzung besteht in jeder Verletzung der Sicherheit, die – gleich ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt, welche übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
Was kann ein Datenschutzvorfall sein?
Wenn Hacker im Rahmen eines Cyberangriffs personenbezogene Daten abgreifen, wenn man falsche E-Mail-Adressen für den Versand von personenbezogenen Daten verwendet oder wenn Datenträger wie USB-Sticks, Festplatten oder Notebooks mit personenbezogenen Daten verloren gehen oder gestohlen werden, handelt es sich um einen Datenschutzvorfall. Dieser wird bisweilen auch als Datenpanne oder Datenleck bezeichnet. Konkret kann es sich dabei um folgende Vorfälle handeln:
- Datenverlust durch ein verlorenes oder ein gestohlenes Medium
- Unberechtigte Weitergabe oder unberechtigter Zugriff Dritter
- Versand an falsche Adressat:innen
- Fehlentsorgung
- Fehlerhafte Löschung
- Cyberangriff
- Ausspähen von Daten (Skimming)
- Malware und Ransomware
- Phishing
- Softwarefehler
Was muss ich als Verantwortliche:r nach einem Vorfall tun?
Kommt es zu einem Datenschutzvorfall, sind Verantwortliche nach Art. 33 Datenschutz-Grundverordnung (DSGVO) und § 51 Berliner Datenschutzgesetz (BlnDSG) grundsätzlich verpflichtet, die Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden der Berliner Beauftragten für Datenschutz und Informationsfreiheit als zuständige Aufsichtsbehörde zu melden und unter Umständen auch die betroffenen Personen über den Vorfall zu informieren.
Eine Meldung an die zuständige Aufsichtsbehörde kann nur ausnahmsweise unterbleiben, wenn der Vorfall voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ist der Vorfall voraussichtlich sogar mit einem hohen Risiko für die betroffenen Personen verbunden, haben die Verantwortlichen nach § 52 Abs. 1 BlnDSG zusätzlich die betroffenen Personen zu benachrichtigen.
Mit unserem Onlineformular zur Meldung eines Datenschutzvorfalls bieten wir Verantwortlichen die einfache Möglichkeit, die Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO bzw. § 51 BlnDSG durchzuführen. Die Meldung muss mindestens die folgenden inhaltlichen Angaben nach Art. 33 Abs. 3 DSGVO bzw. § 51 Abs. 3 BlnDSG enthalten:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Anzahl der betroffenen Datensätze
- den Namen und die Kontaktdaten der bzw. des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten
- eine Beschreibung der von den Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
Was kann ich als betroffene Person nach einem Vorfall tun?
Um mögliche Folgen eines Datenschutzvorfalls zu verhindern bzw. abzumildern, empfehlen wir Ihnen, geeignete Schutzmaßnahmen durchzuführen. Die Maßnahmen richten sich jeweils nach den vom Vorfall betroffenen Kategorien von personenbezogenen Daten, d. h. ob zum Beispiel Passwörter oder Zahlungsinformationen entwendet worden sind.
Zugangsdaten (insbesondere Passwörter) ändern
Wenn Passwörter oder Passwort-Hashes entwendet wurden, sollten Sie diese umgehend ändern. Aber auch wenn Zugangskennungen (etwa Ihre E-Mail-Adresse) betroffen sind, sollten Sie die Sicherheit Ihrer Onlinekonten prüfen. Verwenden Sie für jedes Onlinekonto ein unterschiedliches und starkes Passwort. Wenn der bzw. die jeweilige Diensteanbieter:in bzw. Plattformbetreiber:in eine Zwei-Faktor-Authentifizierung anbietet (wie dies beim Onlinebanking bereits verpflichtender Standard ist), richten Sie diese zum Schutz des Zugangs ein.
Kontobewegungen auf Girokonten und Kreditkarten prüfen
Wenn Zahlungsinformationen wie Kreditkartendaten oder IBAN betroffen sind, prüfen Sie Ihre Kontobewegungen. Nach einem Datenschutzvorfall, bei dem diese Daten offengelegt wurden, könnten die Daten genutzt werden, um unbefugt Bestellungen zu Ihren Lasten (beispielsweise auf Lastschrift) durchzuführen. Bei unbefugten Abbuchungen widerrufen Sie diese umgehend und informieren Sie Ihr Geldinstitut. Ein Zugang zu Ihrem Konto ist in der Regel allein über die Zahlungsinformationen nicht möglich.
Ungewöhnliche Post prüfen
Mahnungen, Inkassobriefe oder Rechnungen für nicht selbst bestellte Ware sollten Sie nicht ignorieren. Sofern es sich augenscheinlich um authentische Schreiben handelt, wenden Sie sich an den bzw. die Absender:in und stellen klar, dass Sie die Bestellung nicht veranlasst haben.
Bei E-Mails und Anrufen wachsam sein
Hinsichtlich möglicher Phishing- und Schad-E-Mails sowie entsprechender Anrufe, in denen Sie aufgefordert werden, (auf einer externen Website) Zugangsdaten oder andere Informationen preiszugeben oder verschlüsselte Dateianhänge zu öffnen, ist Wachsamkeit geboten. Beim Social Engineering nutzen Angreifer:innen die Gutgläubigkeit mancher Menschen als vermeintlich schwächstes Glied der Sicherheitskette aus, um ihre kriminellen Absichten zu verwirklichen. Im Zweifel lassen Sie sich über einen anderen Kommunikationskanal (beispielsweise eine offizielle oder Ihnen bekannte Telefonnummer) die Richtigkeit der E-Mail oder des Anrufs bestätigen, bevor Sie Informationen preisgeben oder Anhänge öffnen. Weitere Informationen zur Erkennung von Phishing- und Spam-E-Mails finden Sie auf der Website des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Bei Betrug Strafanzeige erstatten
Liegt ein Betrug oder der Verdacht auf einen Betrug vor, können Sie bei der Polizei Anzeige erstatten. Für die Ermittlung und Verfolgung der Täter:innen ist die Polizei bzw. die Staatsanwaltschaft zuständig.
IT-Sicherheitsmaßnahmen beachten
Auch unabhängig von Datenpannen sollten Sie Ihre Endgeräte und verwendeten Dienste durch geeignete Sicherheitsmaßnahmen schützen. Beachten Sie hierzu die von uns bereitgestellten weiterführenden Informationen.
Führt ein Datenschutzvorfall voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen diese unverzüglich benachrichtigt werden. Sofern es für den bzw. die Verantwortliche:n möglich und zumutbar ist, sollte die Benachrichtigung individuell erfolgen. Ist dies nicht möglich oder zumutbar, kann die Benachrichtigung auch über eine öffentliche Bekanntmachung erfolgen.
Für betroffene Personen besteht keine Pflicht zur Meldung eines Datenschutzvorfalls. Diese Pflicht besteht nur für diejenigen, die für den Datenschutzvorfall verantwortlich sind.
Haben Sie von den für den Vorfall Verantwortlichen bereits eine Benachrichtigung erhalten, liegt der zuständigen Aufsichtsbehörde hierzu in der Regel die Meldung des Verantwortlichen vor. Häufig weisen die Verantwortlichen in ihrer Benachrichtigung auch darauf hin, dass die zuständige Aufsichtsbehörde informiert wurde. Dies liegt daran, dass im Falle einer Benachrichtigungspflicht immer auch eine Meldepflicht besteht.