Kurzdefinition: Die DSGVO (Datenschutz-Grundverordnung, VO (EU) 2016/679) regelt europaweit die Verarbeitung personenbezogener Daten. Sie folgt festen Grundsätzen und ist im Cyber-Kontext vor allem über die Sicherheit der Verarbeitung (Art. 32) und die Meldung von Datenpannen (Art. 33) relevant. [N-DSGVO-5]
Der Normwortlaut
Art. 5 Abs. 1 Buchstabe a DSGVO bestimmt, dass personenbezogene Daten „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden“ müssen („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“). Weitere Grundsätze sind u. a. Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. [N-DSGVO-5]
Was regelt die DSGVO?
Den Umgang mit personenbezogenen Daten. Sie legt Grundsätze, Rechtsgrundlagen, Betroffenenrechte, Pflichten der Verantwortlichen und Auftragsverarbeiter sowie Aufsicht und Sanktionen fest. Sie gilt unmittelbar in allen Mitgliedstaaten. [N-DSGVO-5]
Warum ist die DSGVO im Cyber-Kontext wichtig?
Wegen Sicherheit und Meldung. Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen; Art. 33 DSGVO verpflichtet zur Meldung einer Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden. Ein Cyber-Vorfall ist oft zugleich eine Datenpanne. [N-DSGVO-5]
Wie verhält sich die DSGVO zum BSIG?
Sie gelten nebeneinander. Ein Cyber-Vorfall kann sowohl eine BSIG-Meldung als auch eine DSGVO-Datenpannenmeldung auslösen — mit unterschiedlichen Fristen und Adressaten. Beide Regime sind getrennt zu prüfen. [N-DSGVO-5]
Welche Sanktionen drohen?
Empfindliche Bußgelder. Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. Datenschutzverstöße im Zuge von Cyber-Vorfällen können damit teuer werden. [N-DSGVO-5]
Häufige Fehlannahmen
- „Die DSGVO betrifft nur Marketing.“ Nein. Sie erfasst jede Verarbeitung personenbezogener Daten. [N-DSGVO-5]
- „Ein Cyber-Vorfall ist keine Datenpanne.“ Oft doch. Dann greift die 72-Stunden-Meldung nach Art. 33. [N-DSGVO-5]
- „BSIG-Meldung ersetzt die DSGVO-Meldung.“ Nein. Beide Regime sind getrennt zu prüfen. [N-DSGVO-5]
- „Kleine Unternehmen sind ausgenommen.“ Nein. Die DSGVO gilt größenunabhängig. [N-DSGVO-5]
- „Ohne Schaden droht kein Bußgeld.“ Nein. Auch ein Verstoß ohne konkreten Schaden kann sanktioniert werden. [N-DSGVO-5]
Was die Geschäftsleitung tun sollte
- TOM sichern. Angemessene Maßnahmen nach Art. 32 DSGVO umsetzen.
- Meldeprozess bauen. Die 72-Stunden-Meldung organisieren.
- Regime trennen. BSIG- und DSGVO-Pflichten getrennt prüfen.
- Nachweise führen. Rechenschaftspflicht dokumentieren.
Für die Geschäftsleitung
Die DSGVO und das BSIG greifen bei einem Cyber-Vorfall oft gleichzeitig — mit eigenen Fristen und Adressaten. Wer beide Meldewege vorbereitet und angemessene Sicherheitsmaßnahmen belegen kann, vermeidet die teuersten Fehler.
Quellen
- [N-DSGVO-5] Art. 5 DSGVO (Grundsätze für die Verarbeitung personenbezogener Daten), Abs. 1. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
