Ihr Fax ist bei einem Dritten gelandet
Was in der ersten Stunde zu tun ist, wie man das Datenleck einordnet und wie man es nicht wieder passiert.
Fehlgeleitetes Fax: Rufen Sie zuerst die angerufene Nummer an, bitten Sie um die Vernichtung der Seiten und bestätigen Sie diese Bitte schriftlich. Enthielt das Dokument personenbezogene Daten? Dann bewerten Sie das Risiko: In Belgien muss jede Verletzung, die Personen schädigen kann, innerhalb von 72 Stunden bei der Datenschutzbehörde gemeldet werden.
Vier Punkte zum Merken
Die Zeit arbeitet gegen Sie: Jede Stunde bedeutet, dass die Seite anderen Augen vorliegt.
Personenbezogene Daten beim falschen Empfänger: Datenverletzung im Sinne der DSGVO — selbst wenn niemand davon Kenntnis erlangt.
Jede Verletzung landet im internen Verzeichnis — gemeldet oder nicht.
Prävention erfordert wenig: Nummer geprüft, doppelt eingegeben und nochmals gelesen, solange eine Stornierung möglich ist.
Erste Stunde: Das Leck eindämmen
Identifizieren Sie zuerst die tatsächlich gewählte Nummer. Bei Faxeroo wird sie auf der Sendungsverfolgungsseite angezeigt und — mit der entsprechenden Option — auch im PDF-Sendebericht. Bei einem Gerät sagt dasselbe der Sendebericht oder das interne Anruflogbuch.
Wählen Sie diese Nummer dann. Viele Faxleitungen gehören zu einer Firma oder einer Kanzlei, die man telefonisch erreichen kann — die Kontaktdaten finden Sie im Branchenverzeichnis. Melden Sie den irrtümlichen Eingang eines vertraulichen Dokuments, ohne den Inhalt preiszugeben, und fordern Sie die Vernichtung an, ohne dass kopiert oder weitergeleitet wird.
Bestätigen Sie dies schriftlich — per E-Mail oder Brief — und fordern Sie eine Rückmeldung an, die die Vernichtung bestätigt. Auch eine kurze Antwort belegt das verringerte Risiko. Erreichen Sie telefonisch niemanden, dokumentieren Sie jeden Anlauf mit Datum und Uhrzeit.
Informieren Sie abschließend Ihre Ansprechperson für Datenschutz — Datenschutzbeauftragter oder benannte Person: Die Bewertung obliegt dieser Stelle.
Einordnung: Datenverletzung oder nicht?
Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO: Die Verordnung fasst darunter jede unbefugte Offenlegung von Daten (Artikel 4 Nummer 12). Ein Fax, das den Namen eines Kunden, eine Personalakte oder einen medizinischen Bericht bei einer dritten Partei abliefert, fällt darunter. Eine Rechnung zwischen Unternehmen ohne identifizierbare Person fällt nicht darunter.
Nach Artikel 33 muss die Meldung an die Aufsichtsbehörde spätestens 72 Stunden nach Entdeckung erfolgen — es sei denn, ein Risiko für die betroffenen Personen ist offensichtlich auszuschließen. Die Beurteilung hängt von der Art der Informationen (Gesundheit, Geld, Ausweisdokumente), der Zahl der betroffenen Personen, der Identität des ungewollten Empfängers und davon ab, was dieser mit den Seiten gemacht hat.
In Belgien heißt die Aufsichtsbehörde Datenschutzbehörde; ihre Website stellt das Meldeformular bereit. Hohes Risiko — etwa eine bei einem unbekannten, nicht reagierenden Empfänger gelandete Diagnose —: Artikel 34 fügt die Unterrichtung der betroffenen Personen hinzu, in einfacher Sprache, über das Geschehene und die zu ergreifenden Maßnahmen.
Diese Pflichten lasten auf der Organisation, die den Versand ausgelöst hat. Faxeroo übermittelt an die eingegebene Nummer: Nichts verrät ihr die Sensibilität des Inhalts, und niemand kann ein zugestelltes Fax zurückholen.
Das interne Register, Punkt für Punkt
Absatz 5 von Artikel 33 der DSGVO schreibt vor, jede Verletzung zu dokumentieren, auch wenn keine Meldung erfolgt. Ein kurzer Eintrag genügt, sofern er diese Punkte abdeckt.
| Punkt | Beispiel anhand eines fehlgeleiteten Fax | Wozu er dient |
|---|---|---|
| Fakten | Drei Seiten Krankenhausbericht, dienstagmorgens an eine Nummer mit zwei vertauschten Ziffern gesendet | Den Vorfall nachvollziehen, ohne sich auf die Erinnerung zu verlassen |
| Betroffene Daten und Personen | Eine Patientin: Name, Geburtsdatum, Diagnose | Das Ausmaß bestimmen |
| Zeitpunkt der Entdeckung | Anruf eine Stunde später vom tatsächlichen Empfänger: nichts erhalten | Den Beginn der 72-Stunden-Frist festhalten |
| Reaktion und Maßnahmen | Anruf beim zufälligen Empfänger, Vernichtung per E-Mail bestätigt | Belegen, dass das Risiko eingegrenzt wurde |
| Entscheidung und Begründung | Meldung an die Datenschutzbehörde oder nicht, mit Begründung | Die Wahl im Falle einer Prüfung verteidigen |
| Korrekturmaßnahmen | Kurzwahl korrigiert, Doppeleingabe eingeführt | Wiederholungen verhindern |
Wiederholungen verhindern
Der typische Fehler hat drei Ursachen: eine vertauschte Ziffer, eine aus einer veralteten Quelle kopierte Nummer, eine nie überprüfte Kurzwahltaste. Die Gegenmaßnahmen kosten wenig.
Prüfen Sie das Format im Vorfeld. Der Nummernprüfer von Faxeroo erkennt doppelte Vorwahlen, abnormal lange Nummern und Mobilfunknummern, die für ein Fax unerreichbar sind. Er sagt jedoch nicht, wem die Leitung gehört: Nur eine verlässliche Quelle beantwortet das.
Heikle Nummern geben Sie doppelt ein oder lassen Sie sich vorlesen. Führen Sie für Ihre Stammkontakte ein Verzeichnis geprüfter Rufnummern mit Datum und aktualisieren Sie es in festen Abständen.
Nutzen Sie die eingeräumten Fristen. Bei Faxeroo geht nichts ohne den Klick in der Bestätigungs-E-Mail ab — und dann mit einem Countdown von etwa 55 Sekunden, der abgebrochen werden kann. Die Nummer noch einmal zu lesen, dauert dann wenige Sekunden; die Nachbesserung danach kostet unendlich viel mehr.
Ihre Fragen
- Muss der zufällige Empfänger das Dokument vernichten?
- Grundsätzlich ist er dazu nicht verpflichtet: Es besteht kein vertragliches Verhältnis. Die meisten Fachleute stimmen jedoch bereitwillig zu. Höfliche Anfrage schriftlich bestätigt, Antwort mit Vernichtungsbestätigung: Damit begrenzen und belegen Sie das Risiko.
- Muss die Datenschutzbehörde immer benachrichtigt werden ?
- Nein: Die Meldung ist nur erforderlich, wenn die Verletzung voraussichtlich Personen schadet. Das interne Verzeichnis wird hingegen in jedem Fall geführt, einschließlich der Begründung der Entscheidung.
- Ein bereits zugestelltes Fax: Stornierung möglich ?
- Nein. Bereits an den Faxempfänger übermittelte Seiten: Kein Anbieter nimmt diese zurück. Eine Stornierung ist nur während des etwa 55-sekündigen Countdowns vor dem Versand möglich.
Daten und Sicherheit
Dieses Themenportal
- Ein Fax, vom Bildschirm zum Papier: Die Sicherheit
- Ein paar Felder ausfüllen, PDF herunterladen und es als erste Seite des Versands verwenden.
- Ein Fax mit personenbezogenen Daten versenden, ohne gegen die europäische Verordnung zu verstoßen.
- Belgien: Die Punkte, die vor dem Versand eines medizinischen Dokuments geprüft werden sollten, und die Situationen, die einen sicheren Kanal erfordern.
Zum Weiterlesen
Seiten, die Ihnen helfen, Ihren Versand vorzubereiten, zu verfolgen oder nachzuweisen.