Datenschutzvorfall-Rechner

Wählen Sie diese Option, wenn auf Ihrer Arbeitsstätte der Verdacht besteht oder sich sogar bestätigt hat, dass IT-Systeme von Schadsoftware betroffen sind. Ein meldepflichtiger Vorgang ist denkbar, wenn schon ein einzelner Rechner betroffen ist.

Wählen Sie diese Option, wenn auf Ihrer Arbeitsstätte der Verdacht besteht oder sich sogar bestätigt hat, dass personenbezogene Daten abhanden gekommen sind. Ein typischer Fall wäre ein verlorengegangenes Notebook oder ein im Rahmen der Inventarisierung festgestellter Verlust von Computerequipment (insbesondere Festplatten).

Werden Daten mutwillig entwendet, sind häufig das Schutzziel der Verfügbarkeit und das Schutzziel der Vertraulichkeit verletzt. Typische Fälle: Ein ehemaliger Mitarbeiter gibt sein Arbeitsgerät nicht zurück; Bei einer Inventur fällt auf, dass Festplatten mit Firmendaten fehlen; Einem Außendienstmitarbeiter wird ein Notebook entwendet.

Jede Form einer Zerstörung / Unbrauchbarmachung von Hardware, durch welche die Verfügbarkeit personenbezogener Daten beeinträchtigt ist, kann einen Datenschutzvorfall darstellen.

Auf Grund fehlerhafter Einstellungen in einem Softwaresystem werden personenbezogene Daten gegenüber Unbefugten offengelegt, wodurch das Schutzziel der Vertraulichkeit verletzt wird.

Unter Skimming versteht man das illegale Abgreifen von Kartennummern und Passwörtern an Geldautomaten, welches Risiken für Kunden und Banken begründen kann. Nach § 42a BDSG a.F. begründeten Skimmingfälle Meldepflichten gegenüber Aufsichtsbehörden als auch Benachrichtigungspflichten gegenüber Betroffenen. Diese alte gesetzliche Wertung dürfte aufgrund der Gefahrenlage ohne weiteres auf die DSGVO übertragbar sein.

Insbesondere wenn Akten mit personenbezogenem Inhalt nicht vernichtet werden, kann sich hieraus ein Datenschutzvorfall ergeben.

Wurden personenbezogene Daten aus Versehen an Unbefugte übermittelt und diesen gegenüber offengelegt oder kam es bei der elektronischen Kommunikation zu Fehlern, kann dies je nach Einzelfall Melde- und Benachrichtigungspflichten nach der DSGVO begründen.

Wenn Sie den Verdacht haben, dass Unternehmensgeheimnisse weitergegeben wurden, oder Unbefugte in irgendeiner Form Zugriff auf personenbezogene Daten hatten, kann dies einen meldepflichtigen Datenschutzvorfall darstellen, wenn hierdurch personenbezogene Daten betroffen sind. Typische Fälle: Ausspionieren von Passwörtern, Unbefugte Nutzung von Passwörtern

Wählen Sie diese Option, falls die obigen Optionen nicht einschlägig sind.

Ransomware sind Schadprogramme, die den Zugriff auf Daten und Systeme einschränken oder unterbinden. Für die Freigabe wird dann ein Lösegeld (englisch: Ransom) verlangt. Regelmäßig kommt es hierbei auch zu einem Datenabfluss an die Angreifer. Durch die erlangten Datenbestände haben die Angreifer ein Druckmittel, um die gewünschte Zahlung zu erpressen. Verweigert das Unternehmen die Zahlung, da es durch vorhandene Backups nicht auf die Entschlüsung durch die Angreifer angewiesen ist, werden die Unternehmensdaten regelmäßig im Darknet veröffentlicht. Durch erfolgreiche Ransomware-Angriffe sind häufig die Schutzziele der Verfügbarkeit und der Vertraulichkeit verletzt.

Spyware sammelt Informationen über das befallene Gerät oder Netzwerk und übermittelt diese an den Angreifer. Ein Angreifer kann hierdurch das geschädigte System bzw. Nutzer überwachen und personenbezogene Daten, z.B. Anmeldeinformationen, Kreditkartennummern oder Finanzinformationen, für Betrug oder Identitätsdiebstahl abfangen. Durch erfolgreiche Spyware-Angriffe ist häufig das Schutzziel der Vertraulichkeit verletzt.

Phishing ist der Versuch, sich über gefälschte Webseiten, E-Mails oder Kurznachrichten als vertrauenswürdiger Kommunikationspartner in einer elektronischen Kommunikation auszugeben. Ziel des Betrugs ist es z. B. an persönliche Daten eines Internet-Benutzers zu gelangen oder ihn z. B. zur Ausführung einer schädlichen Aktion zu bewegen. Hierdurch ist es Hackern möglich Zugriff auf Konten zu nehmen, einen Identitätsdiebstahl durchzuführen oder eine Schadsoftware zu installieren.

Für die Aktenvernichtung sollten immer DIN 66399 zertifizierte Dienstleister zum Einsatz kommen, denn bei einer unsachgemäßgen Vernichtung besteht die Gefahr einer Wiederherstellung der Inhalte und damit einhergehend Risiken für Betroffene.

Unter sensible Inhalte in Zusammenhang mit einem Werbeverteiler werden regelmäßig solche fallen, die auf den Empfängerkreis komprommitierende Wirkung entfalten können. Ein Beispiel hierfür ist, wenn es sich bei dem Verteiler um einen politischen Verteiler handelt. Die Offenlegung des Empfängerkreises über Cc. könnte etwa offenlegen, dass eine bestimmte Person, die sich ebenfalls im Empfängerkreis befindet, einem bestimmten politischen Spektrum zuzuordnen ist.

Häufigster Fall hierfür ist, wenn Mitarbeiter ihren Computer unbeaufsichtigt lassen und sich nicht abmelden.

Diese Antwort ist auszuwählen, wenn nur einzelne Systeme infiziert sind und gleichzeitig absehbar ist, dass keine sensiblen personenbezogenen Daten betroffen wurden, etwa weil auf den betroffenen Rechnern lediglich Kontaktdaten zu Geschäftskunden gespeichert wurden.

Hier wird für den Verantwortlichen nicht absehbar sein, wie gravierend der Vorfall ist und welche Daten über welche Zeiträume abgeflossen sind. Es wird daher mindestens von einem relevanten Risiko, wenn nicht sogar von einem hohen Risiko für Betroffene auszugehen sein. Sind betroffene Personen identifizierbar, sollten diese im Fall eines hohen Risikos ebenfalls benachrichtigt werden.

Diese Antwort ist auszuwählen, wenn nur einzelne Systeme infiziert sind und gleichzeitig absehbar ist, dass keine sensiblen personenbezogenen Daten betroffen wurden, etwa weil auf den betroffenen Rechnern lediglich Kontaktdaten zu Geschäftskunden gespeichert wurden.

Hier wird für den Verantwortlichen nicht absehbar sein, wie gravierend der Vorfall ist und welche Daten über welche Zeiträume abgeflossen sind. Es wird daher mindestens von einem relevanten Risiko, wenn nicht sogar von einem hohen Risiko für Betroffene auszugehen sein. Sind betroffene Personen identifizierbar, sollten diese im Fall eines hohen Risikos ebenfalls benachrichtigt werden.

Eine Verletzung der Vertraulichkeit von (nach dem Stand der Technik) verschlüsselten Daten, die mit einer bisher nicht „geknackten“ Methode verschlüsselt wurden, birgt ein sehr geringes Risiko für die Rechte und Freiheiten der betroffenen Personen.

Kann der Empfänger als vertrauenswürdig angesehen werden, da mit diesem eine laufende Beziehung unterhalten wird, ist bei der Bewertung des Risikos zu berücksichtigen, dass sich der Verantwortliche in einem solchen Fall auf den Empfänger verlassen können wird und damit auch darauf, dass der Empfänger die versehentlich übermittelten Daten nicht liest oder auf sie zugreift und die Anweisungen zur Rückgabe der Daten befolgt. Selbst wenn auf die Daten zugegriffen wurde, kann der für die Verarbeitung Verantwortliche möglicherweise darauf vertrauen, dass der Empfänger nichts mit den Daten anstellt und sie unverzüglich an den für die Verarbeitung Verantwortlichen zurückgibt und bei der Wiederherstellung der Daten mitwirkt.

Bei den besonderen Kategorien personenbezogener Daten handelt es sich um personenbezogene Daten, aus denen folgendes hervorgehen kann: die rassische und ethnische Herkunft politische Meinungen religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit genetische Daten biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person Gesundheitsdaten Daten zum Sexualleben oder der sexuellen Orientierung Sind besondere Kategorien personenbezogener Daten betroffen, wird in der Regel von einem hohen Risiko auszugehen sein.

Wird ein falsch adressierter Brief nicht zurückgeschickt, muss davon ausgegangen werden, dass er geöffnet wurde und Unbefugte Einsicht genommen haben.

Im Zweifelsfall sollten Betroffene immer informiert werden.

Hierunter fallen Daten, aus deren Offenlegung sich nur geringfügige Risiken ergeben können. So ist es beispielsweise unwahrscheinlich, dass die Bekanntgabe des Namens und der Adresse einer Person unter normalen Umständen einen erheblichen Schaden verursachen wird. Anders zu beurteilen ist der Fall, wenn der Brief weitere Daten enthält, wie etwa die Bankverbindungen der betroffenen Personen. Hier dürfte kein nur geringes Risiko mehr vorliegen.