Datenschutzverletzungen bewältigen: Die ersten 72 Stunden nach KVKK und DSGVO

Eine Datenschutzverletzung betrifft mehr als die Informationssicherheit. Recht, KVKK-/DSGVO-Compliance, Leitung, Kommunikation, Kundenbetrieb und gegebenenfalls IT-Forensik müssen nach einem gemeinsamen Krisenplan handeln.

Der schwerwiegendste Fehler ist, alle Datenschutzverletzungen auf eine einzige „72-Stunden-Regel“ zu reduzieren. Die Meldesysteme von KVKK und DSGVO wirken ähnlich, ihre Rechtsgrundlagen und Risikobewertungen unterscheiden sich jedoch.

Wie regelt das KVKK die Meldung von Datenschutzverletzungen?

Artikel 12 Absatz 5 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten verlangt, dass der Verantwortliche Betroffene und den türkischen Datenschutzrat schnellstmöglich informiert, wenn Dritte verarbeitete personenbezogene Daten rechtswidrig erlangen.

Nach der Entscheidung Nr. 2019/10 des türkischen Datenschutzrats vom 24.01.2019 bedeutet die gesetzliche Formulierung „so bald wie möglich“ für die Meldung an den Rat ab Bekanntwerden der Verletzung: unverzüglich und spätestens binnen 72 Stunden.

Ist eine Meldung innerhalb dieser Frist aus berechtigten Gründen nicht möglich, sind die Verzögerungsgründe bei der Meldung zu erläutern.

Gilt dieselbe 72-Stunden-Regel auch für die Benachrichtigung betroffener Personen?

Nein. Nach Ermittlung der Betroffenen sieht der Ansatz des Rats eine Benachrichtigung innerhalb der kürzesten angemessenen Frist vor.

Ist die Kontaktadresse der betroffenen Person bekannt, kann sie direkt informiert werden. Ist dies nicht möglich, kommen geeignete Wege wie eine Bekanntmachung auf der eigenen Website des Verantwortlichen in Betracht.

Die Meldung an den Rat und die Benachrichtigung Betroffener werden gemeinsam koordiniert, unterliegen aber nicht derselben gesetzlichen Fristformulierung.

72 Stunden-Regel in DSGVO

Nach Artikel 33 DSGVO meldet der Verantwortliche die Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsicht, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Nach Ablauf von 72 Stunden sind in der Meldung auch die Verzögerungsgründe anzugeben.

Der Auftragsverarbeiter muss den Verantwortlichen nach Bekanntwerden der Verletzung unverzüglich informieren.

Mitteilung an die betroffene Person in der DSGVO

Nach Artikel 34 der DSGVO muss der Verantwortliche die betroffene Person unverzüglich informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Meldung an die Aufsicht und Benachrichtigung einer betroffenen Person erfordern nach DSGVO getrennte Bewertungen.

Die ersten 15 Minuten: Stoppen Sie das Ereignis, zerstören Sie keine Beweise

Nicht reflexartig alles abschalten oder Protokolle löschen. Die Verletzung eindämmen und dabei Aufzeichnungen zum Hergang erhalten.

Identifizieren Sie betroffene Systeme.
Unbefugten Zugriff einschränken.
Erforderliche Zugriffsschlüssel kontrolliert wechseln.
Verhindern Sie das Löschen von Protokoll- und Ereignisaufzeichnungen.
Beginn des Vorfalls und Zeitpunkt des Bekanntwerdens dokumentieren.

Erste Stunde: Datenschutzvorfall-Team aktivieren

Eine gute Vorfallreaktion umfasst mehr als IT. Je nach Vorfall einbeziehen:

Informationssicherheit / IT,
KVKK- oder Datenschutzverantwortliche,
Rechtsabteilung,
Unternehmensleitung,
Unternehmenskommunikation,
Kundengeschäfte,
externe Fachleute für Cybersicherheit oder IT-Forensik.

Warum ist der Zeitpunkt des Bekanntwerdens entscheidend?

Der 72-Stunden-Prozess wird nicht von der Zeit, in der das Ereignis technisch erstmals stattfand, sondern von der Zeit, als der Verantwortliche von der Verletzung erfuhr, ausgewertet. Daher ist es wichtig, dass die erste Aufdeckung, Eskalation und Entscheidungsakten innerhalb der Institution geführt werden.

Ein Sicherheitsalarm tagelang warten zu lassen, ohne untersucht zu werden, kann auch ein Risiko für das Prozessmanagement darstellen.

Ein Verzeichnis zum Datenschutzvorfall erstellen

Den Umfang des Vorfalls vor der Meldeentscheidung möglichst schnell ermitteln:

Welches System war betroffen?
Welche Datenkategorien wurden betroffen?
Wie viele Menschen sind schätzungsweise betroffen?
Wurden die Daten angesehen, exportiert oder geändert?
Sind besondere Kategorien personenbezogener Daten betroffen?
Wurden die Daten verschlüsselt oder durch andere Schutzmaßnahmen geschützt?
Besteht der unbefugte Zugriff noch?
Welche Folgen drohen den Betroffenen?

Sollten fehlende Informationen eine Meldung verzögern?

Die technische Untersuchung ist möglicherweise nicht binnen 72 Stunden abgeschlossen. Die Meldung darf nicht bis zum Ende sämtlicher Untersuchungen aufgeschoben werden.

Erforderliche Meldungen mit den verfügbaren Informationen beginnen. Weitere Angaben und technische Erkenntnisse im vorgesehenen Verfahren nachreichen; Verzögerungsgründe dokumentieren.

Wie ist eine Risikoanalyse durchzuführen?

Eine einzelne Nachricht an einen falschen Empfänger erfordert einen anderen Maßnahmenplan als ein Abfluss von Identitäts- und Finanzdaten Tausender Menschen.

Die Risikoanalyse kann folgende Faktoren berücksichtigen:

Art und Sensibilität der Daten,
Die Zahl der betroffenen Personen,
Identitätsdiebstahl oder Betrugsrisiko,
Gesundheitsdaten oder andere besondere Datenkategorien,
Ob Daten veröffentlicht werden,
Schutzmaßnahmen wie Verschlüsselung oder Pseudonymisierung,
Ob der Bruch anhält,
mögliche materielle oder immaterielle Schäden für Personen.

Technische Vorfälle dokumentieren

Die Vorfallsakte sollte die Chronologie sowie den Abschlussbericht enthalten.

Zeitpunkt des ersten Alarms,
Zeitpunkt des Bekanntwerdens der Verletzung,
Die erste Intervention,
Identifizierung der betroffenen Systeme,
technische Änderungen,
Zeitpunkt der Notifizierungsentscheidung,
Mitteilung des Ausschusses/der Behörde,
Mitteilungen an Betroffene,
Abschlussdatum des Vorfalls.

Jede Phase mit Zeitstempel dokumentieren.

Was Betroffenen mitgeteilt werden sollte

Die Mitteilung sollte nicht nur vage oder erschreckend „Ihre Daten sind abgeflossen“ lauten. Vorfall, betroffene Daten, mögliche Folgen, Unternehmensmaßnahmen und eigene Schutzmöglichkeiten klar erläutern.

Analyse der Wurzelursache nach Verletzung

Die Berichterstattung ist nicht das Ende des Eventmanagements. Die Institution muss entscheiden, warum das Ereignis stattgefunden hat und welche Kontrollen geändert werden müssen, um ein erneutes Auftreten zu verhindern.

übermäßige Berechtigungen,
schwache Authentifizierung,
fehlkonfigurierter Cloud-Dienst,
Phishing,
veraltete Software,
menschliches Versagen,
Lieferantensicherheit

Jede Ursache mit eigenen Korrekturmaßnahmen behandeln.

72 Stunden Betriebsplan

0-4 Stunden

Vorfall eindämmen, Beweise sichern, ersten Umfang bestimmen und Bekanntwerden dokumentieren.

4-24 Stunden

Ermitteln Sie Datenkategorien, betroffene Personengruppen, technische Ursachen und mögliche Folgen. Beziehen Sie die Rechtsabteilung, die KVKK-Verantwortlichen und die Unternehmensleitung ein.

24-48 Stunden

Meldedossier vorbereiten, fehlende Informationen auflisten, Betroffenenkommunikation planen und Korrekturmaßnahmen beginnen.

48-72 Stunden

Erforderliche Meldungen an Aufsicht/Rat nach geltendem Recht abschließen. Verzögerungen und Gründe dokumentieren. Betroffene nach den Bedingungen des jeweiligen Rechtsregimes informieren.

Der Ansatz B10

B 10 Digital Agency betrachtet Datenschutzvorfälle über Rechtsdokumente hinaus und verbindet Datenflüsse, Rechte, Protokolle, technische Sicherheit, Vorfallsakten und KVKK-Compliance.

Fazit

Die ersten 72 Stunden sind eine kritische Phase für koordinierte Erkennung, Umfangsanalyse, Beweissicherung, Meldung, Kommunikation und technische Reaktion. KVKK und DSGVO erfordern ähnliche Abläufe, ihre Meldepflichten sind jedoch nach den jeweiligen Rechtsvorschriften getrennt zu bewerten.

Hinweis: Dieser Inhalt dient allgemeinen Informationszwecken. Die rechtlichen Verpflichtungen, die bei einer konkreten Datenverletzung anzuwenden sind, müssen auch nach den Merkmalen des Vorfalls und den geltenden Rechtsvorschriften beurteilt werden.