Ihr Laptop, Ihr Smartphone oder ein USB-Stick ging verloren? Eine E-Mail mit umfassendem Datenanhang inkl. personenbezogener Daten wurde an den falschen Adressaten gesandt? Ein PC wurde eventuell gehackt? Solche und viele andere "Datenpannen" sind Alltag in der heutigen IT-Welt.

Wichtig für Sie zu wissen ist, dass nach Art. 33, 34 DSGVO eine solche Datenpanne zwei Meldepflichten auslösen kann:

a) Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO)

Die Datenpanne ist unverzüglich und möglichst binnen 72 Stunden nach bekanntwerden der Verletzung an die zuständige Aufsichtsbehörde zu melden. Für die Universität Ulm ist das der Landesbeauftragte für Datenschutz und Informationssicherheit Baden-Württemberg (LfDI BW).

Ausgenommen von einer Meldepflicht sind Datenpannen, die "voraussichtlich nicht zu einem Risiko" für den Betroffenen führen. Da es aktuell noch keine Auslegungsgrundsätze oder Vorgaben des LfDI BW gibt, wann ein solches Risiko ausgeschlossen werden kann, ist der gängige Rat, im Zweifel zu melden.

Für die Meldung gilt ein enger zeitlicher Rahmen von 72 Stunden nach dem die Verletzung bekannt wurde. Wobei "bekannt werden" jeden Beschäftigten der Universität Ulm meint, und nicht nur eine gesamtverantwortliche Person wie den Kanzler/Präsidenten oder den Datenschutzbeauftragten.

b) Meldung an den Betroffenen (Art. 34 DSGVO)

Neben der Meldung an den LfDI BW sieht die DSGVO eine Meldung an den Betroffenen vor. Diese Benachrichtigung muss jedoch nur dann erfolgen, wenn ein hohes Risiko für die Rechte und Freiheiten von natürlichen Personen besteht. Eine Meldung an den Betroffenen kann unterbleiben, wenn:

• Maßnahmen zur Schadensbegrenzung getroffen wurden, die die Möglichkeiten auf ein Risiko beseitigen, oder

• technische und organisatorische Maßnahmen vorhanden sind, die den Zugang zu den personenbezogenen Daten unmöglich machen (bspw. Verschlüsselung).

Deshalb: Melden Sie ab dem 25. Mai 2018 unverzüglich alle Ihnen bekannt werdenden Datenpannen über das Online-Formular an die Ansprechpartner der Abt. I-2 der ZUV. Wenn Sie nicht sofort alle Angaben machen können, senden Sie die Meldung trotzdem und reichen dann weitere Informationen nach. Bitte senden Sie die Meldung NICHT direkt an den LfDI BW, sondern nur an die Ansprechpartner des Datenschutzes, die die Weiterleitung und die notwendige Dokumentation veranlassen.

Wenn Sie darüber hinaus Schaden für die IT-Sicherheit der Universität befürchten (Trojaner etc.), informieren Sie bitte auch unverzüglich das kiz über den Helpdesk oder die Informationssicherheit.