DatenschutzvorfallEin Datenschutzvorfall liegt vor, wenn es zu einer Verletzung des Schutzes personenbezogener Daten kommt. Diese Verletzung besteht in jeder Verletzung der Sicherheit, die – gleich ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt, welche übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
- Beispiele für Datenschutzvorfälle
- Meldung eines Datenschutzvorfalls
- Was kann ich als betroffene Person tun?
Beispiele für Datenschutzvorfälle
Ein Datenschutzvorfall liegt zum Beispiel vor, wenn Hacker im Rahmen eines Cyberangriffs personenbezogene Daten abgreifen, wenn falsche E-Mail-Adressen für den Versand von personenbezogenen Daten verwendet werden oder wenn Datenträger wie USB-Sticks, Festplatten oder Notebooks mit personenbezogenen Daten verloren gehen oder gestohlen werden. Konkret kann es sich dabei um folgende Vorfälle handeln:
- Datenverlust durch ein verlorenes oder ein gestohlenes Medium
- Unberechtigte Weitergabe oder unberechtigter Zugriff Dritter
- Sendungen an falsche Adressat:innen
- Fehlentsorgung
- Fehlerhafte Löschung
- Cyberangriff
- Ausspähen von Daten (Skimming)
- Malware und Ransomware
- Phishing
- Softwarefehler
Meldung eines Datenschutzvorfalls
Kommt es zu einem Datenschutzvorfall, der je nach Kontext auch als Datenleck oder Datenleak bezeichnet wird, sind Verantwortliche nach Art. 33 Datenschutz-Grundverordnung (DSGVO) und § 51 Berliner Datenschutzgesetz (BlnDSG) grundsätzlich verpflichtet, die Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden der Berliner Beauftragten für Datenschutz und Informationsfreiheit zu melden und unter Umständen auch die betroffenen Personen über den Vorfall zu informieren.
Eine Meldung an die Berliner Beauftragte für Datenschutz und Informationsfreiheit kann nur ausnahmsweise unterbleiben, wenn der Vorfall voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ist der Vorfall voraussichtlich sogar mit einem hohen Risiko für die betroffenen Personen verbunden, haben die Verantwortlichen nach § 52 Abs. 1 BlnDSG zusätzlich die betroffenen Personen zu benachrichtigen.
Mit unserem Onlineformular zur Meldung eines Datenschutzvorfalls bieten wir Verantwortlichen die einfache Möglichkeit, die Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO bzw. § 51 BlnDSG durchzuführen. Die Meldung muss mindestens die folgenden inhaltlichen Angaben nach Art. 33 Abs. 3 DSGVO bzw. § 51 Abs. 3 BlnDSG enthalten:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Anzahl der betroffenen Datensätze;
- den Namen und die Kontaktdaten der bzw. des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
- eine Beschreibung der von den Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Was kann ich als betroffene Person tun?
Wenn Bürger:innen erfahren, dass sie von einem Datenschutzvorfall persönlich betroffen sind, sind sie verunsichert. Um Betroffenen eine erste Orientierung zu bieten, haben wir Antworten auf häufig aufkommende Fragen zusammengestellt.
Um mögliche Folgen eines Datenschutzvorfalls zu verhindern oder abzumildern, empfehlen wir folgende Selbstschutzmaßnahmen. Die Maßnahmen richten sich nach den vom Vorfall betroffenen Kategorien von personenbezogenen Daten, d. h. ob zum Beispiel Passwörter oder Zahlungsinformationen entwendet worden sind.
Zugangsdaten (insbesondere Passwörter) ändern
Wenn Passwörter oder Passwort-Hashes entwendet wurden, sollten diese umgehend geändert werden. Aber auch wenn Zugangskennungen (etwa Ihre E-Mail-Adresse) betroffen sind, sollten Sie die Sicherheit Ihrer Onlinekonten prüfen. Für jedes Onlinekonto sollten Sie ein unterschiedliches und starkes Passwort verwenden. Wenn der Diensteanbieter bzw. Plattformbetreiber eine Zwei-Faktor-Authentifizierung anbietet (wie dies beim Onlinebanking bereits verpflichtender Standard ist), sollten Sie diese zum Schutz des Zugangs einrichten.
Kontobewegungen auf Girokonten und Kreditkarten prüfen
Wenn Zahlungsinformationen wie Kreditkartendaten oder IBAN betroffen sind, sollten Sie Ihre Kontobewegungen prüfen. Nach einem Datenschutzvorfall, der diese Daten offengelegt hat, könnten die Daten genutzt werden, um unbefugt Bestellungen beispielsweise auf Lastschrift durchzuführen. Bei unbefugten Abbuchungen sollten Sie diese umgehend widerrufen bzw. Ihr Geldinstitut hierüber informieren. Ein Zugang zu Ihrem Konto ist in der Regel über die Zahlungsinformationen allein nicht möglich.
Ungewöhnliche Post prüfen
Mahnungen, Inkassobriefe oder Rechnungen für nicht selbst bestellte Ware sollten Sie nicht ignorieren. Sofern es sich augenscheinlich um authentische Schreiben handelt, sollten Sie sich an den Absender wenden und klarstellen, dass Sie die Bestellung nicht veranlasst haben.
Bei E-Mails und Anrufen wachsam sein
Hinsichtlich möglicher Phishing- und Schadmails sowie entsprechender Anrufe, in denen man aufgefordert wird, (auf einer externen Webseite) Zugangsdaten oder andere Informationen preiszugeben oder verschlüsselte Dateianhänge zu öffnen, ist Wachsamkeit geboten.
Beim Social Engineering nutzen Angreifer die Gutgläubigkeit mancher Menschen als vermeintlich schwächstes Glied der Sicherheitskette aus, um ihre kriminellen Absichten zu verwirklichen. Im Zweifel sollten Sie sich über einen anderen Kommunikationskanal (beispielsweise eine offizielle oder Ihnen bekannte Telefonnummer) die Richtigkeit der E-Mail oder des Anrufs bestätigen lassen, bevor Sie Informationen preisgeben oder Anhänge öffnen.
Weitere Informationen zur Erkennung von Phishing- und Spammails finden sich beim Bundesamt für Sicherheit in der Informationstechnik.
Bei Betrug Strafanzeige erstatten
Liegt ein Betrug oder der Verdacht auf einen Betrug vor, können Sie bei der Polizei Anzeige erstatten. Für die Ermittlung und Verfolgung der Täter:innen ist die Polizei bzw. die Staatsanwaltschaft zuständig.
Allgemeine IT-Sicherheitsmaßnahmen beachten
Auch unabhängig von Datenpannen sollten Sie Ihre Endgeräte und verwendeten Dienste durch Selbstschutzmaßnahmen schützen. Dazu stellen wir hier Informationen bereit.
Führt ein Datenschutzvorfall voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen diese unverzüglich benachrichtigt werden. Sofern es für den Verantwortlichen möglich und zumutbar ist, sollte die Benachrichtigung individuell erfolgen. Ist dies nicht möglich oder zumutbar, kann die Benachrichtigung über eine öffentliche Bekanntmachung erfolgen.
Für betroffene Personen besteht keine Pflicht zur Meldung einer Datenpanne. Diese Pflicht besteht nur für die Verantwortlichen des Datenschutzvorfalls.
Wenn Sie vom Verantwortlichen eine Benachrichtigung erhalten haben, liegt der zuständigen Aufsichtsbehörde hierzu in der Regel bereits die Meldung des Verantwortlichen vor. Häufig weisen Verantwortliche in ihren Benachrichtigungen bereits daraufhin, dass die zuständige Aufsichtsbehörde informiert wurde. Dies liegt daran, dass im Falle einer Benachrichtigungspflicht immer auch eine Meldepflicht besteht.
Sollten Sie auf einem anderen Weg von der Datenpanne erfahren haben und haben Sie Zweifel daran, dass die Stelle, die von der Datenpanne betroffen ist, ihren Pflichten nachkommt, können Sie uns dies als Beschwerde mitteilen.
Sofern Ihnen wegen eines Datenschutzvorfalls und Verstoßes gegen datenschutzrechtliche Vorschriften ein Schaden entstanden ist, besteht die Möglichkeit, Ersatz zu verlangen (Art. 82 DS-GVO). Dafür ist nicht die Aufsichtsbehörde zuständig, sondern das Zivilgericht. Wenden Sie sich hierfür bitte an auf diese Fälle spezialisierte Rechtsanwält:innen oder andere Angehörige der rechtsberatenden Berufe.
Ein Datenschutzvorfall liegt vor, wenn es zu einer Verletzung des Schutzes personenbezogener Daten kommt. Diese Verletzung besteht in jeder Verletzung der Sicherheit, die – gleich ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt, welche übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
Beispiele für Datenschutzvorfälle
Ein Datenschutzvorfall liegt zum Beispiel vor, wenn Hacker im Rahmen eines Cyberangriffs personenbezogene Daten abgreifen, wenn falsche E-Mail-Adressen für den Versand von personenbezogenen Daten verwendet werden oder wenn Datenträger wie USB-Sticks, Festplatten oder Notebooks mit personenbezogenen Daten verloren gehen oder gestohlen werden. Konkret kann es sich dabei um folgende Vorfälle handeln:
- Datenverlust durch ein verlorenes oder ein gestohlenes Medium
- Unberechtigte Weitergabe oder unberechtigter Zugriff Dritter
- Sendungen an falsche Adressat:innen
- Fehlentsorgung
- Fehlerhafte Löschung
- Cyberangriff
- Ausspähen von Daten (Skimming)
- Malware und Ransomware
- Phishing
- Softwarefehler
Meldung eines Datenschutzvorfalls
Kommt es zu einem Datenschutzvorfall, der je nach Kontext auch als Datenleck oder Datenleak bezeichnet wird, sind Verantwortliche nach Art. 33 Datenschutz-Grundverordnung (DSGVO) und § 51 Berliner Datenschutzgesetz (BlnDSG) grundsätzlich verpflichtet, die Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden der Berliner Beauftragten für Datenschutz und Informationsfreiheit zu melden und unter Umständen auch die betroffenen Personen über den Vorfall zu informieren.
Eine Meldung an die Berliner Beauftragte für Datenschutz und Informationsfreiheit kann nur ausnahmsweise unterbleiben, wenn der Vorfall voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Ist der Vorfall voraussichtlich sogar mit einem hohen Risiko für die betroffenen Personen verbunden, haben die Verantwortlichen nach § 52 Abs. 1 BlnDSG zusätzlich die betroffenen Personen zu benachrichtigen.
Mit unserem Onlineformular zur Meldung eines Datenschutzvorfalls bieten wir Verantwortlichen die einfache Möglichkeit, die Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO bzw. § 51 BlnDSG durchzuführen. Die Meldung muss mindestens die folgenden inhaltlichen Angaben nach Art. 33 Abs. 3 DSGVO bzw. § 51 Abs. 3 BlnDSG enthalten:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Anzahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Anzahl der betroffenen Datensätze;
- den Namen und die Kontaktdaten der bzw. des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
- eine Beschreibung der von den Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Was kann ich als betroffene Person tun?
Wenn Bürger:innen erfahren, dass sie von einem Datenschutzvorfall persönlich betroffen sind, sind sie verunsichert. Um Betroffenen eine erste Orientierung zu bieten, haben wir Antworten auf häufig aufkommende Fragen zusammengestellt.
Um mögliche Folgen eines Datenschutzvorfalls zu verhindern oder abzumildern, empfehlen wir folgende Selbstschutzmaßnahmen. Die Maßnahmen richten sich nach den vom Vorfall betroffenen Kategorien von personenbezogenen Daten, d. h. ob zum Beispiel Passwörter oder Zahlungsinformationen entwendet worden sind.
Zugangsdaten (insbesondere Passwörter) ändern
Wenn Passwörter oder Passwort-Hashes entwendet wurden, sollten diese umgehend geändert werden. Aber auch wenn Zugangskennungen (etwa Ihre E-Mail-Adresse) betroffen sind, sollten Sie die Sicherheit Ihrer Onlinekonten prüfen. Für jedes Onlinekonto sollten Sie ein unterschiedliches und starkes Passwort verwenden. Wenn der Diensteanbieter bzw. Plattformbetreiber eine Zwei-Faktor-Authentifizierung anbietet (wie dies beim Onlinebanking bereits verpflichtender Standard ist), sollten Sie diese zum Schutz des Zugangs einrichten.
Kontobewegungen auf Girokonten und Kreditkarten prüfen
Wenn Zahlungsinformationen wie Kreditkartendaten oder IBAN betroffen sind, sollten Sie Ihre Kontobewegungen prüfen. Nach einem Datenschutzvorfall, der diese Daten offengelegt hat, könnten die Daten genutzt werden, um unbefugt Bestellungen beispielsweise auf Lastschrift durchzuführen. Bei unbefugten Abbuchungen sollten Sie diese umgehend widerrufen bzw. Ihr Geldinstitut hierüber informieren. Ein Zugang zu Ihrem Konto ist in der Regel über die Zahlungsinformationen allein nicht möglich.
Ungewöhnliche Post prüfen
Mahnungen, Inkassobriefe oder Rechnungen für nicht selbst bestellte Ware sollten Sie nicht ignorieren. Sofern es sich augenscheinlich um authentische Schreiben handelt, sollten Sie sich an den Absender wenden und klarstellen, dass Sie die Bestellung nicht veranlasst haben.
Bei E-Mails und Anrufen wachsam sein
Hinsichtlich möglicher Phishing- und Schadmails sowie entsprechender Anrufe, in denen man aufgefordert wird, (auf einer externen Webseite) Zugangsdaten oder andere Informationen preiszugeben oder verschlüsselte Dateianhänge zu öffnen, ist Wachsamkeit geboten.
Beim Social Engineering nutzen Angreifer die Gutgläubigkeit mancher Menschen als vermeintlich schwächstes Glied der Sicherheitskette aus, um ihre kriminellen Absichten zu verwirklichen. Im Zweifel sollten Sie sich über einen anderen Kommunikationskanal (beispielsweise eine offizielle oder Ihnen bekannte Telefonnummer) die Richtigkeit der E-Mail oder des Anrufs bestätigen lassen, bevor Sie Informationen preisgeben oder Anhänge öffnen.
Weitere Informationen zur Erkennung von Phishing- und Spammails finden sich beim Bundesamt für Sicherheit in der Informationstechnik.
Bei Betrug Strafanzeige erstatten
Liegt ein Betrug oder der Verdacht auf einen Betrug vor, können Sie bei der Polizei Anzeige erstatten. Für die Ermittlung und Verfolgung der Täter:innen ist die Polizei bzw. die Staatsanwaltschaft zuständig.
Allgemeine IT-Sicherheitsmaßnahmen beachten
Auch unabhängig von Datenpannen sollten Sie Ihre Endgeräte und verwendeten Dienste durch Selbstschutzmaßnahmen schützen. Dazu stellen wir hier Informationen bereit.
Führt ein Datenschutzvorfall voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen diese unverzüglich benachrichtigt werden. Sofern es für den Verantwortlichen möglich und zumutbar ist, sollte die Benachrichtigung individuell erfolgen. Ist dies nicht möglich oder zumutbar, kann die Benachrichtigung über eine öffentliche Bekanntmachung erfolgen.
Für betroffene Personen besteht keine Pflicht zur Meldung einer Datenpanne. Diese Pflicht besteht nur für die Verantwortlichen des Datenschutzvorfalls.
Wenn Sie vom Verantwortlichen eine Benachrichtigung erhalten haben, liegt der zuständigen Aufsichtsbehörde hierzu in der Regel bereits die Meldung des Verantwortlichen vor. Häufig weisen Verantwortliche in ihren Benachrichtigungen bereits daraufhin, dass die zuständige Aufsichtsbehörde informiert wurde. Dies liegt daran, dass im Falle einer Benachrichtigungspflicht immer auch eine Meldepflicht besteht.
Sollten Sie auf einem anderen Weg von der Datenpanne erfahren haben und haben Sie Zweifel daran, dass die Stelle, die von der Datenpanne betroffen ist, ihren Pflichten nachkommt, können Sie uns dies als Beschwerde mitteilen.
Sofern Ihnen wegen eines Datenschutzvorfalls und Verstoßes gegen datenschutzrechtliche Vorschriften ein Schaden entstanden ist, besteht die Möglichkeit, Ersatz zu verlangen (Art. 82 DS-GVO). Dafür ist nicht die Aufsichtsbehörde zuständig, sondern das Zivilgericht. Wenden Sie sich hierfür bitte an auf diese Fälle spezialisierte Rechtsanwält:innen oder andere Angehörige der rechtsberatenden Berufe.