Was tun bei einer Datenpanne im CRM?

Die ersten Schritte

1. Eindämmen. Zugang sperren, Passwörter ändern, betroffenes System vom Netz nehmen, wenn nötig.
2. Dokumentieren. Was ist passiert, wann bemerkt, welche Daten, wie viele Personen, welche Massnahmen. Ab der ersten Minute.
3. Bewerten. Besteht ein Risiko für die Rechte und Freiheiten der betroffenen Personen?
4. Melden, wenn ja – in der Regel binnen 72 Stunden.
5. Betroffene informieren bei hohem Risiko.

Was als Datenpanne zählt

Nicht nur ein Hackerangriff. Auch:

• Eine E-Mail mit Kundendaten an den falschen Empfänger
• Ein verlorener Laptop ohne Verschlüsselung
• Ein Export, der versehentlich öffentlich zugänglich war
• Ein ausgeschiedener Mitarbeiter mit weiterhin aktivem Zugang

Der letzte Fall ist häufiger als alle anderen zusammen.

Die 72 Stunden

Sie laufen ab dem Moment, in dem Ihnen der Vorfall bekannt wird – nicht ab dem Moment, in dem Sie ihn verstanden haben. Eine unvollständige Meldung, die später ergänzt wird, ist zulässig und besser als eine verspätete.

Was vorher vorbereitet sein sollte

• Wer entscheidet über eine Meldung? (Nicht im Ernstfall klären.)
• Welche Aufsichtsbehörde ist zuständig?
• Gibt es eine Vorlage für die Dokumentation?
• Sind die Protokolldaten überhaupt vorhanden, um den Umfang zu bestimmen?

Der letzte Punkt entscheidet oft darüber, ob eine Meldung sachlich fundiert oder eine Vermutung ist.

Dieser Text ersetzt keine Rechtsberatung.