Datenschutzverletzung (Data Breach)

Definition: Eine Datenschutzverletzung (englisch: Personal Data Breach, Data Breach) ist nach Art. 4 Nr. 12 DSGVO definiert als eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet werden. Der Begriff umfasst drei Formen von Sicherheitsverletzungen: Vertraulichkeitsverletzungen (unbefugte Offenlegung oder Zugang), Integritätsverletzungen (unbefugte oder unbeabsichtigte Veränderung) und Verfügbarkeitsverletzungen (unbeabsichtigter oder unbefugter Verlust des Zugangs oder Vernichtung). Bei Vorliegen einer Datenschutzverletzung entstehen für den Verantwortlichen nach Art. 33 und 34 DSGVO weitreichende Melde- und Benachrichtigungspflichten: Liegt voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen vor, muss die zuständige Datenschutzaufsichtsbehörde unverzüglich, spätestens jedoch 72 Stunden nach Bekanntwerden, informiert werden. Ist das Risiko voraussichtlich hoch, müssen zusätzlich die betroffenen Personen benachrichtigt werden. Unabhängig vom Risiko muss jede Datenschutzverletzung intern dokumentiert werden.

Erläuterung

Im Online-Marketing-Bereich können Datenschutzverletzungen auf vielfältige Weise entstehen. Zu den häufigsten Ursachen zählen: Cyberangriffe auf CRM-Systeme, E-Mail-Marketing-Plattformen oder Webshops (Hacking, Ransomware, Phishing); fehlkonfigurierte Cloud-Dienste oder Datenbanken, die personenbezogene Kundendaten öffentlich zugänglich machen; versehentlicher Versand von E-Mails an falsche Empfänger oder mit sichtbaren Empfängerlisten (BCC-Fehler); unbeabsichtigte Weitergabe von Kundendaten an falsche Auftragsverarbeiter; Verlust von Laptops oder USB-Sticks mit unverschlüsselten Kundendaten; sowie unzureichende Zugriffskontrollen, die ehemaligen Mitarbeitern Zugang zu Marketing-Systemen ermöglichen.

Sobald ein Vorfall bekannt wird, beginnt die 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde zu laufen. Diese Frist gilt für alle Vorfälle, bei denen ein (nicht unerhebliches) Risiko für die betroffenen Personen besteht. Nur wenn mit hinreichender Sicherheit ausgeschlossen werden kann, dass kein Risiko vorliegt – etwa weil die kompromittierten Daten vollständig verschlüsselt waren und der Schlüssel nicht in falsche Hände geraten ist –, kann auf eine Meldung verzichtet werden. Der Verantwortliche muss die Risikobewertung und die Begründung für einen Meldeverzicht sorgfältig dokumentieren.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO muss folgende Informationen enthalten: Beschreibung der Art der Datenschutzverletzung (einschließlich Kategorien und ungefährer Anzahl der betroffenen Personen und Datensätze), Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle, Beschreibung der wahrscheinlichen Folgen der Verletzung sowie Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Sind zum Zeitpunkt der Meldung noch nicht alle Informationen verfügbar, können sie schrittweise nachgereicht werden.

Die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO ist nur bei voraussichtlich hohem Risiko erforderlich. Ein hohes Risiko liegt typischerweise vor, wenn sensible Datenkategorien (Gesundheitsdaten, Finanzdaten, Passwörter) betroffen sind, die Daten in großem Umfang kompromittiert wurden oder die Betroffenen konkrete Nachteile wie Identitätsmissbrauch oder finanzielle Schäden erleiden könnten. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen und Informationen über Art der Verletzung, Kontaktdaten des DSB, wahrscheinliche Folgen und ergriffene Maßnahmen enthalten.

Typische Datenschutzverletzungen im Online-Marketing

• E-Mail-Versand an falsche Empfänger: Massenmailing mit offenem CC oder versehentlicher Verwendung einer falschen Verteilerliste legt alle Empfängeradressen offen – Vertraulichkeitsverletzung mit potenziell vielen Betroffenen.
• Datenbankexposition: Fehlkonfigurierter Elasticsearch-Index oder ungeschütztes S3-Bucket mit CRM-Daten, Newsletter-Abonnenten oder Bestelldaten ist öffentlich zugänglich.
• Ransomware-Angriff: Verschlüsselung aller Marketing-Daten durch Schadsoftware ist eine Verfügbarkeits- und potenziell Vertraulichkeitsverletzung, sofern die Angreifer die Daten vor der Verschlüsselung exfiltriert haben.
• Kompromittierter Drittanbieter: Ein E-Mail-Marketing-Dienstleister oder ein Analytics-Anbieter meldet einen Sicherheitsvorfall, bei dem auch Ihre Kundendaten betroffen sind; als Verantwortlicher sind Sie meldepflichtig, auch wenn der Vorfall beim Auftragsverarbeiter stattfand.
• Unberechtigter Mitarbeiterzugriff: Ein ehemaliger Marketing-Mitarbeiter greift nach dem Ausscheiden noch auf CRM-Daten zu, weil Zugriffsrechte nicht zeitnah entzogen wurden.

Präventive Maßnahmen

• Zugriffskontrolle: Least-Privilege-Prinzip bei allen Marketing-Systemen; Offboarding-Prozesse zur sofortigen Sperrung von Zugängen ausgeschiedener Mitarbeiter.
• Verschlüsselung: Verschlüsselung sensibler Marketing-Daten im Ruhezustand (at rest) und bei der Übertragung (in transit); reduziert Risikobewertung bei Vorfällen erheblich.
• Zwei-Faktor-Authentifizierung: Für alle Marketing-Plattformen und CRM-Systeme verpflichtend einzuführen; verhindert Kontoübernahmen durch gestohlene Zugangsdaten.
• Datensparsamkeit: Je weniger personenbezogene Daten gespeichert werden, desto geringer die Auswirkungen einer möglichen Verletzung; Löschkonzepte konsequent umsetzen.
• Incident-Response-Plan: Dokumentierter Notfallprozess mit klaren Verantwortlichkeiten, Eskalationswegen und Checklisten für die 72-Stunden-Meldung; regelmäßige Übung des Prozesses.