TL;DR
Am 5. Oktober 2026 hat der Präsident der UODO Hinweise zur Meldeschwelle nach Art. 33 Abs. 1 veröffentlicht, nach einer Reihe von Vorfällen mit unbefugtem Zugriff auf Vertragspartner-Datenbanken und Rechnungssysteme. Wurden nur Daten von Unternehmern offengelegt, die ohnehin im Register CEIDG öffentlich sind (Name, Firma, NIP, offizielle Anschrift), ist ein Risiko in der Regel unwahrscheinlich und eine Meldung möglicherweise entbehrlich. Gelangten zusätzlich die PESEL, Kaufdetails mit Bezug zu Gesundheit oder anderen besonderen Kategorien oder Finanzinformationen nach außen, ist zu melden; bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34). Immer: eine dokumentierte Risikobewertung und die Gründe für die Nichtmeldung in der internen Dokumentation.
Der Hintergrund
Bei den jüngsten in Polen gemeldeten Vorfällen traf der unbefugte Zugriff nicht Kundendateien mit Verbrauchern, sondern Vertragspartner-Datenbanken und Rechnungssysteme: Listen von Unternehmen und Freiberuflern, mit denen man zusammenarbeitet. Die UODO verlangt von jedem Verantwortlichen eine sorgfältige Risikobewertung im Einzelfall, deren Ergebnis über die Meldepflicht entscheidet.
Wann eine Meldung entbehrlich sein kann
Typisch ist der Fall von Einzelunternehmern, deren offengelegte Daten mit dem übereinstimmen, was jeder im öffentlichen Register CEIDG nachlesen kann: Vor- und Nachname, Firma, NIP, offizielle Geschäftsanschrift. Nach Ansicht der Behörde eröffnet der Verlust der Vertraulichkeit solcher Daten Unbefugten in der Regel keine neuen Möglichkeiten, der betroffenen Person zu schaden. Andere Länder haben vergleichbare Handelsregister, die Bewertung ist aber immer am konkreten Fall vorzunehmen.
Wann sie geboten ist
- PESEL, die polnische nationale Identifikationsnummer: Risiko von Identitätsdiebstahl, Betrug und Schulden im Namen der betroffenen Person.
- EINZELHEITEN ZU KÄUFEN ODER LEISTUNGEN, die Gesundheit oder andere besondere Kategorien offenbaren: Risiko für die Privatsphäre, Diskriminierung, unbefugtes Profiling.
- FINANZINFORMATIONEN: Risiko von Betrug sowie gefälschten Rechnungen oder Zahlungen.
Nicht melden heißt nicht: nicht dokumentieren
Auch wenn der Verantwortliche zu dem Ergebnis kommt, dass keine Meldung nötig ist, muss er die Risikobewertung durchführen und dokumentieren und in der internen Dokumentation der Verletzungen die Gründe für die Nichtmeldung festhalten. Die DSGVO verlangt, alle Verletzungen zu dokumentieren, gemeldet oder nicht (Art. 33 Abs. 5). Eine Entscheidung gegen die Meldung ohne schriftliche Spur ist bei einer Prüfung nicht zu verteidigen.
Was das für den DSB bedeutet
Fünf Schritte bei einem Vorfall im Rechnungsprogramm
Erstens: genau rekonstruieren, welche Felder offengelegt wurden, Datensatz für Datensatz, statt abstrakt über «die Datenbank» zu sprechen. Zweitens: bereits öffentliche Daten vom Rest trennen (IBAN, Beträge, Leistungsbeschreibungen, private Kontaktdaten, Notizen). Drittens: die Bewertung mit Datum, Verfasser, Kriterien und Ergebnis schriftlich festhalten und bei neuen Erkenntnissen wieder öffnen. Viertens: die 72 Stunden im Blick behalten; sie laufen ab Kenntnis der Verletzung, nicht ab Ende der Analyse. Fünftens: Lag der Vorfall bei einem Auftragsverarbeiter, prüfen, ob er den Verantwortlichen unverzüglich informiert hat (Art. 33 Abs. 2) und ob der Vertrag das vorsieht.
Die Auslegung der UODO steht im Einklang mit den Leitlinien 9/2022 des EDSA zur Meldung von Datenschutzverletzungen: Maßstab ist nicht die gefühlte Schwere des Vorfalls, sondern das Risiko für die Menschen. Der praktische Wert des polnischen Hinweises liegt in den Beispielen: Sie zeigen, was eine Liste von Vertragspartnern zu einem meldepflichtigen Problem macht.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
