Datenschutzvorfall: Hilfe, Haftung und Cyberversicherung

Datenwiederherstellung und Datenschutz sind unterschiedliche Aufgaben

Eine Datei kann nach einem Vorfall wieder verfügbar sein und trotzdem unbefugt offengelegt worden sein. Umgekehrt kann der Verlust oder die Vernichtung personenbezogener Daten ebenfalls eine Datenschutzverletzung darstellen.

Deshalb sollte ein Vorfall nicht nur technisch abgeschlossen werden. Die verantwortlichen Personen müssen prüfen, welche Informationen und Betroffenen betroffen sind und welche Pflichten daraus entstehen.

Welche Kosten eine Cyberversicherung dabei betreffen kann

• Technische Untersuchung zur Einordnung möglicher Zugriffe und Datenabflüsse.
• Spezialisierte rechtliche Beratung zur Bewertung des Vorfalls.
• Erforderliche Information und Benachrichtigung im vereinbarten Umfang.
• Prüfung, Abwehr und Erfüllung gedeckter Schadenersatzansprüche.
• Abgestimmte Krisenkommunikation, wenn Kundenbeziehungen und Vertrauen betroffen sind.

Meldepflichten zeitnah prüfen

Bei einer Verletzung des Schutzes personenbezogener Daten ist eine Meldung an die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erforderlich, sofern die gesetzlichen Voraussetzungen vorliegen. Die Ausnahme für voraussichtlich risikolose Fälle muss fachlich geprüft werden.

Ob außerdem betroffene Personen benachrichtigt werden müssen, ist eine weitere Frage. Lassen Sie Zuständigkeit, Fristen und Inhalt der Meldung zeitnah durch die dafür verantwortlichen Fachleute bewerten. Die Cyberversicherung hebt diese gesetzlichen Pflichten nicht auf.

Bußgelder nicht als automatische Versicherungsleistung einplanen

Kosten für Beratung oder die Abwehr von Ansprüchen sind nicht dasselbe wie ein behördliches Bußgeld. Ob eine Sanktion überhaupt versicherbar ist und welche vertragliche Regelung gilt, muss gesondert beurteilt werden.

Im Angebotsvergleich sollten daher keine pauschalen Zusagen wie „alle DSGVO-Strafen versichert“ als verlässliche Grundlage dienen. Konzentrieren Sie sich auf klar definierte Leistungen und rechtlich zulässige Deckungen.

Notfallorganisation für sensible Daten vorbereiten

Legen Sie fest, wie Geschäftsleitung, Datenschutzverantwortliche und IT-Betreuung zusammenarbeiten. Halten Sie außerdem Informationen zu Dienstleistern und Auftragsverarbeitung bereit.

Für Ihre Cyberanfrage ist hilfreich, welche Datenarten Sie verarbeiten und in welcher Größenordnung. Gesundheitsdaten oder umfangreiche Zahlungsinformationen können andere Anforderungen auslösen als eine kleine Liste geschäftlicher Ansprechpartner.

Datenabfluss ohne IT-Ausfall: Welche Cyberkosten entstehen?

Eine Cyberversicherung kann auch dann wichtig werden, wenn der Betrieb nach einem Datenabfluss technisch weiterarbeitet. Die Verletzung der Vertraulichkeit muss aufgeklärt werden, und je nach Ergebnis entstehen rechtliche sowie kommunikative Aufgaben.

Für das Angebot ist die Art der Daten entscheidend. Gesundheitsdaten, Bewerberunterlagen und einfache geschäftliche Kontaktdaten stellen unterschiedliche Anforderungen. Die Kosten ihrer Wiederherstellung und die Haftungsfolgen einer Offenlegung dürfen nicht gleichgesetzt werden.