Meldungen von Datenpannen erreichen Höchststand

Im April 2021 hatte die Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V., im Rahmen der Konsultation des Europäischen Datenschutz-Ausschusses zu Beispielfällen einer Datenschutzverletzung, eine Umfrage für die Öffentlichkeit initiiert, deren Ergebnisse die Bedeutung dieser Thematik für die Datenschutzpraxis einordnen sollte und Datenschutzpraktikern einen tieferen Einblick anhand von fünf Beispielfällen aus der Praxis im Umgang mit „Datenpannen“ geben sollte.

Die unbeabsichtigte Übermittlung personenbezogener Daten an falsche Empfänger ist die mit Abstand am häufigsten gemeldete Kategorie (47 %). Cyberangriffe gaben ebenfalls einen Anlass für Datenschutzverletzungen (14 %), wobei sich diese nochmals in Unterkategorien einteilen lassen, so bspw. Phishing-, Ransomware- oder andere Attacken zur Umgehung von Zugangsbeschränkungen bzw. Rechteeskalation.

Der Sächsische Datenschutzbeauftragte hat am 17. Juni 2021 seinen Tätigkeitsbericht für das zurückliegende Jahr vorgestellt. Auch hier spielt das Thema „Meldung von Datenschutzpannen“ eine gewichtige Rolle und es fällt ins Auge, dass sich hier ein ähnliches Bild abzeichnet, wie im GDD-Praxisreport.

• Die folgenden Fallgruppen sind im Berichtszeitraum besonders häufig gemeldet worden:
• Cyberkriminalität: Typische Handlungsfelder waren die Verschlüsselung und das Abgreifen von personenbezogenen Daten aus E-Mail-Postfächern, von Servern oder anderweitigen Datenträgern.
• Fehlversand: Auf diese Fallgruppe entfielen im Berichtszeitraum die meisten Meldungen. Typische Fälle: Unterlagen mit falscher Zuordnung, fehlerhafter Kuvertierung oder Verwechslung der Empfängerperson. Vielfach waren Gesundheitsdaten betroffen, die aufgrund ihrer hohen Sensibilität und Vertraulichkeit ein besonders hohes Maß an Sorgfalt von der verantwortlichen Stelle fordern.
• Offene E-Mail-Verteiler stellen nach wie vor den Klassiker der Datenschutzverletzung dar. Obgleich hierbei in der Regel das Risiko für die Betroffenen als durchaus gering eingeschätzt werden kann, ist eine solche Datenschutzverletzung gemäß Datenschutz-Grundverordnung in den meisten Fällen meldepflichtig.
• Der Verlust von Unterlagen auf dem Postweg trat im Berichtsjahr häufig auf. Bei Bekanntwerden einer solchen Problematik ist eine kritische Bewertung des Versanddienstleisters geboten.
• Einbrüche und Diebstähle sind besonders problematisch. Sie zählen zu den kriminellen Handlungen, und damit ist das verbundene Risiko für die betroffenen Personen besonders hoch. Daher sind technisch-organisatorische Maßnahmen geboten, wie zum Beispiel die ordnungsgemäße Verwahrung und Verschlüsselung von Datenträgern.