Art 4 Ziffer 12 DSGVO definiert wie folgt:

„Verletzung des Schutzes personenbezogener Daten“ (ist) eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

Aber was ist ein Data Breach in der alltäglichen – beruflichen und privaten – Praxis?

Nicht nur eine von Profis durchgeführte Cyber-Attacke oder ein ebenso professionell wie böswillig ausgeführter Hacker-Angriff sind Datenschutz-Verletzungen im Sinne der DSGVO. Auch der Verlust oder Diebstahl von IT-Geräten, wie zum Beispiel Laptops, Tablets, Smartphones, usw., und Speicherträgern, wie externen Festplatten, USB-Speichersticks, Speicherkarten, usw., kann bereits eine schwerwiegende Datenschutz-Verletzung darstellen.

Denken Sie beim Verkauf gebrauchter IT-Geräte daran, dass sämtliche darauf gespeicherten Daten vor der Übergabe an den Käufer gelöscht werden müssen. Im Sinne der DSGVO gilt dies „nur“ für personenbezogene Daten. Aber womöglich befinden sich auf dem betreffenden IT-Gerät auch andere vertrauliche bzw. geheime Daten, die keinesfalls in fremde Hände gelangen dürfen. Und vielleicht unterliegen Sie auch beruflichen Verschiegenheits- und Geheimhaltungspflichten, die Sie ebenfalls nicht verletzen dürfen. Daher: Alle Daten vor einem Weiterverkauf löschen.

Dies gilt auch für defekte IT-Geräte, die Sie entweder entsorgen, oder zum Zweck der Reparatur aus der Hand geben. Selbst wenn Ihr IT-Geräte, zum Beispiel Ihr Smartphone oder Laptop, für den beruflichen Einsatz vollkommen unbrauchbar geworden ist, kann der integrierte Datenspeicher noch intakt sein. Also: Alle Daten vor dem Reparatur löschen und Speicherkarten entfernen.

Werfen Sie Papierakten niemals ungeschreddert in den Müll! Auch auf Papier „gespeicherte“ Daten in einem Dateisystem fallen unter die DSGVO und müssen sicher entsorgt werden.

Achten Sie darauf, dass Ihnen beim Arbeiten in der Öffentlichkeit – im Kaffeehaus, in der Autobahnraststätte, am Flughafen, usw. – niemand über die Schulter sieht. Insbesondere dann, wenn Sie Passwörter und LogIn-Daten eingeben. Achten Sie darauf was Sie in der Öffentlichkeit – in öffentlichen Verkehrsmitteln, im Taxi, usw. – am Telefon sagen. Und bendenken Sie, dass in dicht gedrängten Bussen, U-Bahnen und Straßenbahnen für Ihren Nebenmann eventuell nicht nur zu hören ist was Sie sagen, sondern auch Ihr Gesprächspartner.

Grundsätzlich sind öffentliche WLAN-Netzwerke, die heutzutage schon vielerorts verfügbar sind, relativ einfach abzuhören. Daten, die Sie über solche WLAN-Netzwerke übertragen, sind nicht sicher. Vermeiden Sie also solche unsicheren Verbindungen so weit wie möglich.

Eine Clean Desk Policy verhindert in vielen Fällen, dass unbefugte Personen – Besucher, Reinigungskräfte, Handwerker – Einsicht in personenbezogenen Daten nehmen können. Im Sinne der DSGVO dürfen Mitarbeiter nur Zugang zu jenen personenbezogenen Daten haben, die sie zu ihrer Aufgabenerfüllung benötigen. Auch Kolleginnen und Kollegen aus der Nachbarabteilung oder einer Tochterfirma gelten oftmals als unbefugte Personen.

Auch eine E-Mail an einen oder mehrere falsche Empänger kann eine Datenschutz-Verletzung darstellen. Zwar wir eine reine Text-Mail an einen falschen Empfänger noch keine meldepflichtige Datenschutz-Verletzung darstellen, versenden Sie allerdings sämtliche Daten Ihrer Kunden auf einmal an den falschen Empfänger, oder alle Daten Ihrer Mitarbeiter statt an die Lohnverrechnung zum Beispiel an einen Kunden, dann sollten Sie im Einzelfall prüfen, ob eine Meldung an die Datenschutzbehörde erforderlich ist.

Verleihen Sie niemals Ihr beruflich genutztes Smartphone und Ihren vom Arbeitgeber zur Verfügung gestellten Laptop an andere Personen. Gestatten Sie nicht einmal Ihrem Lebenspartner das Nutzen von IT-Geräten, auf denen berufliche Daten gespeichert und verarbeitet werden. So kleinlich das vielleicht klingen mag, aber auch das kann einen Verstoß gegen die Datenschutz-Bestimmungen darstellen.

Und wenn doch einmal ein Data Breach passiert? Was dann?