§ 5 Informations- und Mitteilungspflichten des Verantwor ... / II. Inhalt der zu übermittelnden Informationen

Rz. 219

Der Inhalt der im Falle einer Verletzung des Schutzes personenbezogener Daten mit einem Risiko für die Rechte und Freiheiten natürlicher Personen vom Verantwortlichen an die zuständige Aufsichtsbehörde mitzuteilenden Informationen bestimmt sich nach Art. 33 Absatz 2 DSGVO.

1. Art der Verletzung

Rz. 220

Die Mitteilung hat eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten zu enthalten (Art. 33 Abs. 2 lit. a) 1. Alt. DSGVO). Dies erfordert eine genaue Information zum Hergang des die Verletzung bedingenden Ereignisses, die auch darüber aufklären muss, ob sich ein "internes Risiko" (bspw. unberechtigter Zugriff auf Daten durch Mitarbeiter des Verantwortlichen) oder ein "externes Risiko" (z.B. ein Hackerangriff, wg. Lücken in der Firewall; ein Verlust von Datenträgern; Angriff über Trojaner, Viren, Key-Logger, Sniffler usw.^[185]) verwirklicht hat. Entscheidend dürfte sein, dass das Verletzungsszenario für die Aufsichtsbehörde in einer Art und Weise nachvollziehbar wird, die es ihr möglich macht, die damit verbundene Risikoeinschätzung selbst vorzunehmen.

[185] Zu den möglichen Angriffsszenarien auch Lenhard, Datensicherheit (2017).

2. Kategorien und ungefähre Zahl von betroffenen Personen

Rz. 221

Weiterhin muss die Mitteilung – soweit möglich – Angaben zu den Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze enthalten (Art. 33 Abs. 2 lit. a) 2. Alt. DSGVO). Die Einschränkung "soweit möglich" ist – vor dem Hintergrund des Schutzzwecks der Norm – restriktiv anzuwenden.

3. Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen

Rz. 222

Zusätzlich sind der Name und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen anzugeben (Art. 33 Abs. 2 lit. b) DSGVO).

4. Beschreibung der wahrscheinlichen Folgen der Verletzung

Rz. 223

Weiterhin hat die Mitteilung eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten zu enthalten. Diese können etwa in der Gefahr eines Identitätsbetrugs oder anderer (genau zu beschreibender) Formen des Datenmissbrauchs liegen. Soweit der Verantwortliche im Rahmen einer Datenschutzfolgenabschätzung^[186] die Folgen möglicher Verletzungen bereits beschrieben hat, kann ergänzend auf diese verwiesen werden.

[186] Hierzu § 7 Rdn 78 ff.

5. Beschreibung der vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung

Rz. 224

Weiterhin ist eine Beschreibung der vom Verantwortlichen ergriffenen oder beabsichtigten Maßnahmen zur Behebung der Risiken an die Aufsichtsbehörde zu übermitteln. Derartige Maßnahmen können etwa im Zurücksetzen von Passwörtern, der Durchführung von Updates, dem Neuaufsetzen der Systeme, der Schließung von Lücken in der Firewall, der Suche nach und dem Entfernen von Schadprogrammen usw. liegen. Soweit der Verantwortliche die Maßnahmen, die zu einer Behebung erforderlich sind, nicht selbst bestimmen und/oder ergreifen kann, ist er gehalten, sich fachkundiger Unterstützung zu bedienen.