Die Datenpanne: was in den ersten 72 Stunden zählt

Die Frist ist der Teil, der Druck erzeugt, aber nicht der schwierige. Schwierig ist die Stunde davor: Wer bemerkt den Vorfall, wem meldet er ihn, wer entscheidet, ob gemeldet wird? Wenn diese drei Fragen erst im Ernstfall gestellt werden, sind die 72 Stunden zur Hälfte vorbei, bevor jemand die Aufsichtsbehörde überhaupt gesucht hat.

Die zweite Erkenntnis ist entlastend: Nicht jede Panne ist meldepflichtig und nicht jede meldepflichtige Panne verlangt eine Benachrichtigung der Betroffenen. Es sind zwei getrennte Prüfungen mit zwei verschiedenen Schwellen und wer sie auseinanderhält, meldet weder zu viel noch zu wenig.

Art. 4 Nr. 12 DSGVO ist weiter, als die meisten erwarten. Eine Verletzung liegt vor, sobald eines von drei Schutzzielen verfehlt wird, ganz unabhängig davon, ob jemand Böses wollte.

• Vertraulichkeit: Unbefugte sehen die Daten. Der offene E-Mail-Verteiler, die falsch adressierte Nachricht, der Aushang mit Namen.
• Integrität: Daten werden unbefugt verändert. Ein fremder Zugriff auf die Notenverwaltung fällt hierunter.
• Verfügbarkeit: Daten sind weg oder unerreichbar. Der verschlüsselte Server, die gelöschte Ablage ohne Sicherung.

Nicht jeder Fehler ist eine Verletzung. Ein falsch geschriebener Name ist eine Unrichtigkeit, kein Sicherheitsvorfall. Entscheidend ist, ob Daten an Stellen gelangt sind, an die sie nicht gehören, ob sie unbefugt verändert wurden oder ob die Schule den Zugriff auf sie verloren hat.

Die dritte Zeile überrascht am meisten. Ein Verschlüsselungsangriff ist auch dann meldepflichtig, wenn keine Daten abgeflossen sind — die Schule kommt an ihre eigenen Bestände nicht mehr heran und das ist der Schaden.

Nicht jede dieser Verletzungen muss gemeldet werden. Die Meldung entfällt, wenn voraussichtlich kein Risiko für die betroffenen Personen besteht. Ein verlorenes, vollständig verschlüsseltes Notebook ist der Standardfall dafür — genau deshalb ist die Verschlüsselung auf privaten Geräten die wirksamste einzelne Maßnahme dieses Themas.

Die Frist aus Art. 33 DSGVO beginnt mit der Kenntnis der Schule, nicht mit dem Vorfall. Kenntnis hat die Schule, sobald eine verantwortliche Stelle im Haus hinreichend sicher weiß, dass etwas passiert ist. Wer den Verdacht drei Tage prüft, verlängert die Frist damit nicht.

Adressat ist die Landesaufsichtsbehörde. Das ist der Punkt, an dem der Föderalismus wieder auftaucht: Öffentliche Schulen unterliegen der Aufsicht ihres Landes, nicht der des Bundes. In einigen Ländern ist dieselbe Behörde für öffentliche und nichtöffentliche Stellen zuständig; Bayern trennt beides und weist öffentliche Stellen dem Landesbeauftragten für den Datenschutz zu, während der nichtöffentliche Bereich beim Landesamt liegt. Wer im Ernstfall erst sucht, verliert Stunden — die Adresse gehört in den Notfallordner, nicht in eine Suchmaschine.

Reicht die Meldefrist für eine vollständige Aufklärung nicht, meldest Du trotzdem und lieferst nach. Art. 33 Abs. 4 DSGVO erlaubt die schrittweise Meldung ausdrücklich. Eine verspätete Meldung braucht dagegen eine Begründung und die ist unangenehmer als eine unvollständige.

Unabhängig davon gilt Art. 33 Abs. 5: Jede Verletzung wird dokumentiert, auch die nicht gemeldete. Diese Dokumentation ist der Nachweis, dass die Schule geprüft hat — ohne sie sieht eine Nichtmeldung im Nachhinein aus wie Unterlassen.

Der häufigste reale Fall verdient eine ausgeschriebene Antwort. Eine Rundmail an achtzig Familien geht mit sichtbaren Adressen im An-Feld hinaus. Jede Empfängerin kennt jetzt die Adressen aller anderen.

Die Risikobewertung entscheidet hier fast alles. Achtzig E-Mail-Adressen einer Regelklasse sind ein anderer Fall als achtzig Adressen einer Förderschule oder einer Gruppe, deren Zugehörigkeit selbst eine sensible Information ist — im zweiten Fall verrät schon die Empfängerliste eine besondere Kategorie nach Art. 9 DSGVO.

Die Ursache ist übrigens fast nie Unachtsamkeit, sondern das Werkzeug: Ein Postfach macht Sammeladressen sichtbar, ein Verteilerdienst nicht. Welche Wege für Nachrichten an Familien geeignet sind, ordnet die Seite zum Messenger an der Schule.

Das ist die zweite Prüfung mit der höheren Schwelle. Art. 34 DSGVO verlangt die Benachrichtigung der betroffenen Personen, wenn ein voraussichtlich hohes Risiko für ihre Rechte und Freiheiten besteht — nicht schon bei jedem Risiko.

Sie entfällt in drei Fällen: wenn die Daten wirksam verschlüsselt und damit für Unbefugte unbrauchbar waren, wenn die Schule nachträglich Maßnahmen ergriffen hat, die das hohe Risiko beseitigen, oder wenn die Einzelbenachrichtigung unverhältnismäßigen Aufwand bedeuten würde — dann tritt eine öffentliche Bekanntmachung an ihre Stelle.

Wenn Du benachrichtigst, dann in klarer Sprache und ohne Rechtstext. Vier Angaben genügen: was passiert ist, welche Daten betroffen sind, was die Schule bereits getan hat und an wen sich Rückfragen richten. Der häufigste Fehler ist die Beschönigung — sie zerstört Vertrauen zuverlässiger als der Vorfall selbst.

Der Zeitpunkt der Benachrichtigung ist ein anderer als der der Meldung: Sie erfolgt unverzüglich, ohne eigene Stundenfrist. Praktisch heißt das, sobald der Sachverhalt so weit geklärt ist, dass die vier Angaben stimmen — nicht erst, wenn die Ursache vollständig aufgeklärt ist.

Die Frage nach dem Anbieter

Liegt die Ursache bei einem Dienstleister, ändert das nichts an Deiner Meldepflicht: Der Auftragsverarbeiter meldet an Dich statt an die Behörde und die Frist beginnt mit Deiner Kenntnis. Wie schnell er das tun muss, steht im Vertrag zur Auftragsverarbeitung — eine der Klauseln, die man am Tag des Vorfalls zum ersten Mal wirklich liest.

Eine Seite im Notfallordner reicht und sie beantwortet vier Fragen, bevor sie gestellt werden.

1. Wer meldet intern? Jede Person im Haus meldet an eine benannte Stelle — Schulleitung oder eine ausdrücklich benannte Vertretung. Keine Vorprüfung, keine Bewertung durch die entdeckende Person.
2. Wer entscheidet über die Meldung? Die Schulleitung, im Regelfall nach Rücksprache mit der behördlichen Datenschutzbeauftragten.
3. Wo stehen die Nummern? Aufsichtsbehörde, Datenschutzbeauftragte, Schulträger, IT-Dienstleister — mit Telefonnummer, nicht nur mit Formularadresse.
4. Wo wird dokumentiert? Ein einfaches Verzeichnis mit Datum, Sachverhalt, Bewertung, Entscheidung. Es erfüllt Art. 33 Abs. 5 und macht Wiederholungen sichtbar.

Diese Seite gehört in denselben Ordner wie der übrige Krisenplan der Schule. Der Grund ist praktisch: Im Ernstfall sucht niemand zwei Ordner und eine Datenpanne unterscheidet sich vom Feueralarm vor allem darin, dass sie leiser beginnt.

Der erste Punkt ist der wichtigste und der am schwersten durchzuhaltende. Eine Kultur, in der die Meldung eines eigenen Fehlers folgenlos bleibt, ist der einzige Grund, aus dem ein Vorfall überhaupt rechtzeitig bekannt wird. Wo Fehler sanktioniert werden, werden sie still korrigiert. Die 72 Stunden laufen dann ab, ohne dass jemand davon weiß.