Informationen der Aufsichtsbehörden · 25. Februar 2020

Datenpanne in Berlin?

In Berlin sind aufgrund einer technischen Störung Daten einer Datenschutz- aufsichtsbehörde gelöscht worden.

Stellen Sie sich Folgendes Szenario vor:

Sie reichen bei der Aufsichtsbehörde - uU am letzten Tag einer Frist - eine Beschwerde über das Online-Formular, das die Behörde anbietet, ein. Diese beinhaltete auch personenbezogene Daten. Die Beschwerde geht auch bei der Aufsichtsbehörde ein, aber aufgrund eine technischen Fehlers werden die Daten gelöscht.

So geschehen nun in Berlin! Auf der Website der Berliner Beauftragten für den Datenschutz und die Informationsfreiheit (Stand 25.02.2020) wurde folgende Information veröffentlicht:

Die Folgen?

Die Aufsichtsbehörde ersucht, das Formular erneut auszufüllen. Die Beschwerde kann daher ein weiteres Mal eingereicht werden.

Ein Databreach?

Auch eine Datenschutzaufsichtsbehörde muss sich an die DSGVO und die sonstigen datenschutzrechtlichen Bestimmungen halten.

Wenn die Aufsichtsbehörde schreibt, dass die Beschwerden neuerlich eingebracht werden sollen, dann ist wohl davon auszugehen, dass der Datenverlust unwiderbringlich ist.

Ein unwiderbringlicher Verlust von Daten, der auch personenbezogene Daten betrifft, ist als Datenschutzverletzung anzusehen. Art 4 Z 12 DSGVO definiert die Verletzung des Schutzes personenbezogener Daten als

eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

Art 32 DSGVO legt fest, dass die personenbezogenen Daten vom Verantwortlichen durch technische und organistorische Maßnahmen auch gegen den Verlust zu sichern sind. Die "Verfügbarkeit" der Daten spielt in der DSGVO eine wesentliche Rolle.

Information an die Aufsichtsbehörde?

Wenn nicht ausgeschlossen ist, dass durch den Verlust bzw. die Vernichtung dieser personenbezogenen Daten, dh den unwiderbringlichen Verlust der eingereichten Beschwerden, ein Schaden für die betroffenen Personen entsteht, dann ist die Aufsichtsbehörde iSd Art 33 DSGVO zu informieren. Eine Data Breach Notification ist unverzüglich, jedenfalls aber binnen 72 Stunden, durchzuführen

Information der betroffenen Personen?

Wenn der Datenverlust voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zu Folge haben kann, dann hat der Verantwortliche auch die betroffenen Personen zu benachrichtigen.

Die öDSB ist davon ausgegangen, dass bei einem Verlust eines Suchmittelbuches die Betroffenen iSd Art 34 DSGVO zu benachrichtigen sind. Die finnische Datenschutzbehörde hat festgestellt, dass Anträge, die an eine Sozialversicherung gestellt werden, und die als Postpaket auf dem Weg zum Scannen verloren werden, die Verpflichtung zur Information auslösen.

Wenn nun die Aufsichtsbehörde in Berlin keine Möglichkeit hat, die betroffenen Personen zu identifizieren, und davon ausgehen muss, dass ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Personen mit dem Verlust der Daten verbunden ist, dann kann auf die finnische Entscheidung verwiesen werden. Die Aufsichtsbehörde ging in diesem Fall davon aus, dass eine öffentliche Bekanntmachung notwendig ist, um die betroffenen Personen zu informieren.

Die Verpflichtung zur Information wird davon abhängig sein, welche Folgen der Verlust der Daten hat. Wenn es sich um (fristgebundene) Beschwerden gehandelt hat, die dann dazu führen, dass das Beschwerderecht nicht mehr geltend gemacht werden kann (im österreichischen DSG gibt es hierfür in § 24 Abs 4 DSG Fristen, zB 1 Jahr nach Kenntnis vom beschwerenden Ereignis (dh zB einer fehlerhaften Auskunft).

Das war nicht das erste Mal

Auf Twitter gibt es dazu eine Diskussion und es wird darauf verwiesen, dass diese technische Störung nicht das erste Mal passiert ist. Schon im Oktober 2018 sind Daten aus Beschwerden über das Online-Formular gelöscht worden.

Das gab es im Oktober 2018 schon mal in Berlin.

Fehler zu machen ist ok, aber daraus nicht zu lernen nicht.

Und wenn man dann auch noch die Aufsichtsbehörde ist, die wegen sowas Bußgelder verteilt, ist man doch erst recht besonders aufmerksam, nicht?#datenschutz #dsgvo pic.twitter.com/75RgphSpIo
— Marco Schultewolter (@aeRoot) February 24, 2020

25.02.2020, Autor:

Michael Schweiger, zert DSBA

Tags: Datenschutzverletzung, Aufsichtsbehörde, DPA, Data Breach, Art 33, Datenverlust, Beschwerden, Berlin, Art 34, Löschung von Daten, Art 33 DGSVO, Art 34 DSGVO

Kommentar schreiben

Kommentare: 79

#1
CpjJwWHV (Freitag, 08 März 2024 22:04)

1
#2
CpjJwWHV (Freitag, 08 März 2024 22:13)

1
#3
CpjJwWHV (Freitag, 08 März 2024 22:14)

1
#4
CpjJwWHV (Freitag, 08 März 2024 22:16)

1
#5
CpjJwWHV (Freitag, 08 März 2024 22:17)

1
#6
CpjJwWHV (Freitag, 08 März 2024 22:18)

1
#7
CpjJwWHV (Freitag, 08 März 2024 22:19)

1
#8
CpjJwWHV (Freitag, 08 März 2024 22:20)

1
#9
CpjJwWHV (Freitag, 08 März 2024 22:20)

1
#10
CpjJwWHV (Freitag, 08 März 2024 22:21)

1
#11
CpjJwWHV (Freitag, 08 März 2024 22:22)

1
#12
CpjJwWHV (Freitag, 08 März 2024 22:23)

1
#13
CpjJwWHV (Freitag, 08 März 2024 22:24)

1
#14
CpjJwWHV (Freitag, 08 März 2024 22:26)

1
#15
CpjJwWHV (Freitag, 08 März 2024 22:27)

1
#16
CpjJwWHV (Freitag, 08 März 2024 22:29)

1
#17
CpjJwWHV (Freitag, 08 März 2024 22:30)

1
#18
CpjJwWHV (Freitag, 08 März 2024 22:31)

1
#19
CpjJwWHV (Freitag, 08 März 2024 22:32)

1
#20
CpjJwWHV (Freitag, 08 März 2024 22:34)

1
#21
CpjJwWHV (Freitag, 08 März 2024 22:34)

1
#22
CpjJwWHV (Freitag, 08 März 2024 22:35)

1
#23
CpjJwWHV (Freitag, 08 März 2024 22:36)

1
#24
CpjJwWHV (Freitag, 08 März 2024 22:37)

1
#25
CpjJwWHV (Freitag, 08 März 2024 22:38)

1
#26
CpjJwWHV (Freitag, 08 März 2024 22:39)

1
#27
CpjJwWHV (Freitag, 08 März 2024 22:40)

1
#28
CpjJwWHV (Freitag, 08 März 2024 22:42)

1
#29
CpjJwWHV (Freitag, 08 März 2024 22:42)

1
#30
CpjJwWHV (Freitag, 08 März 2024 22:43)

1
#31
CpjJwWHV (Freitag, 08 März 2024 22:45)

1
#32
CpjJwWHV (Freitag, 08 März 2024 22:46)

1
#33
CpjJwWHV (Freitag, 08 März 2024 22:48)

1
#34
CpjJwWHV (Freitag, 08 März 2024 22:49)

1*if(now()=sysdate(),sleep(15),0)
#35
CpjJwWHV (Freitag, 08 März 2024 22:50)

10'XOR(1*if(now()=sysdate(),sleep(15),0))XOR'Z
#36
CpjJwWHV (Freitag, 08 März 2024 22:51)

10"XOR(1*if(now()=sysdate(),sleep(15),0))XOR"Z
#37
CpjJwWHV (Freitag, 08 März 2024 22:53)

(select(0)from(select(sleep(15)))v)/*'+(select(0)from(select(sleep(15)))v)+'"+(select(0)from(select(sleep(15)))v)+"*/
#38
CpjJwWHV (Freitag, 08 März 2024 22:54)

1-1; waitfor delay '0:0:15' --
#39
CpjJwWHV (Freitag, 08 März 2024 22:55)

1-1); waitfor delay '0:0:15' --
#40
CpjJwWHV (Freitag, 08 März 2024 22:56)

1-1 waitfor delay '0:0:15' --
#41
CpjJwWHV (Freitag, 08 März 2024 22:57)

1W4iN6Fsv'; waitfor delay '0:0:15' --
#42
CpjJwWHV (Freitag, 08 März 2024 22:58)

1-1 OR 89=(SELECT 89 FROM PG_SLEEP(15))--
#43
CpjJwWHV (Freitag, 08 März 2024 22:59)

1-1) OR 835=(SELECT 835 FROM PG_SLEEP(15))--
#44
CpjJwWHV (Freitag, 08 März 2024 22:59)

1-1)) OR 729=(SELECT 729 FROM PG_SLEEP(15))--
#45
CpjJwWHV (Freitag, 08 März 2024 23:00)

155I1BWO8' OR 615=(SELECT 615 FROM PG_SLEEP(15))--
#46
CpjJwWHV (Freitag, 08 März 2024 23:01)

1sWJsXiM5') OR 194=(SELECT 194 FROM PG_SLEEP(15))--
#47
CpjJwWHV (Freitag, 08 März 2024 23:02)

1CcIbhC3p')) OR 133=(SELECT 133 FROM PG_SLEEP(15))--
#48
CpjJwWHV (Freitag, 08 März 2024 23:03)

1*DBMS_PIPE.RECEIVE_MESSAGE(CHR(99)||CHR(99)||CHR(99),15)
#49
lxbfYeaa (Dienstag, 08 Oktober 2024 23:19)

1
#50
lxbfYeaa (Dienstag, 08 Oktober 2024 23:22)

1
#51
lxbfYeaa (Dienstag, 08 Oktober 2024 23:22)

1
#52
lxbfYeaa (Dienstag, 08 Oktober 2024 23:23)

1
#53
lxbfYeaa (Dienstag, 08 Oktober 2024 23:24)

1
#54
lxbfYeaa (Dienstag, 08 Oktober 2024 23:24)

1
#55
lxbfYeaa (Dienstag, 08 Oktober 2024 23:25)

1
#56
lxbfYeaa (Dienstag, 08 Oktober 2024 23:25)

1
#57
lxbfYeaa (Dienstag, 08 Oktober 2024 23:26)

1
#58
lxbfYeaa (Dienstag, 08 Oktober 2024 23:27)

1
#59
lxbfYeaa (Dienstag, 08 Oktober 2024 23:27)

1
#60
lxbfYeaa (Dienstag, 08 Oktober 2024 23:28)

1S6HWpVJZ
#61
lxbfYeaa (Dienstag, 08 Oktober 2024 23:28)

10'XOR(1*if(now()=sysdate(),sleep(15),0))XOR'Z
#62
lxbfYeaa (Dienstag, 08 Oktober 2024 23:29)

1-1; waitfor delay '0:0:15' --
#63
lxbfYeaa (Dienstag, 08 Oktober 2024 23:29)

1FLZ9vtAO'; waitfor delay '0:0:15' --
#64
lxbfYeaa (Dienstag, 08 Oktober 2024 23:30)

1-1)) OR 265=(SELECT 265 FROM PG_SLEEP(15))--
#65
lxbfYeaa (Dienstag, 08 Oktober 2024 23:30)

1GEaOTTT7')) OR 866=(SELECT 866 FROM PG_SLEEP(15))--
#66
lxbfYeaa (Dienstag, 08 Oktober 2024 23:31)

1
#67
lxbfYeaa (Dienstag, 08 Oktober 2024)

1
#68
lxbfYeaa (Dienstag, 08 Oktober 2024 23:32)

1
#69
lxbfYeaa (Dienstag, 08 Oktober 2024 23:33)

1
#70
lxbfYeaa (Dienstag, 08 Oktober 2024 23:33)

1
#71
lxbfYeaa (Dienstag, 08 Oktober 2024 23:34)

1
#72
lxbfYeaa (Dienstag, 08 Oktober 2024 23:35)

1
#73
lxbfYeaa (Dienstag, 08 Oktober 2024 23:35)

1
#74
lxbfYeaa (Dienstag, 08 Oktober 2024 23:36)

1
#75
lxbfYeaa (Dienstag, 08 Oktober 2024 23:37)

1
#76
lxbfYeaa (Dienstag, 08 Oktober 2024 23:39)

1
#77
lxbfYeaa0"XOR(if(now()=sysdate(),sleep(15),0))XOR"Z (Dienstag, 08 Oktober 2024 23:39)

1
#78
lxbfYeaabYJaPI2o' OR 721=(SELECT 721 FROM PG_SLEEP(15))-- (Dienstag, 08 Oktober 2024 23:40)

1
#79
lxbfYeaa (Dienstag, 08 Oktober 2024 23:40)

1