Reaktion auf Datenschutzverletzungen bei iGaming: Bewerten, aufzeichnen und benachrichtigen

Wann wird aus einem Sicherheitsvorfall eine Datenschutzverletzung?

Der EDSA beschreibt einen Verstoß gegen den Schutz personenbezogener Daten im weitesten Sinne, einschließlich zufälliger Ereignisse. Ein fehlgeleitetes Verifizierungsdokument oder ein Verlust des Zugriffs auf personenbezogene Daten können daher neben offensichtlicheren Eingriffen eine Beurteilung erfordern.

Bieten Sie Ihren Mitarbeitern einen einfachen Weg zur internen Berichterstattung. Im ersten Bericht sollte angegeben werden, was passiert ist, wann es bemerkt wurde, welche Systeme oder Aufzeichnungen möglicherweise betroffen sind und wer reagiert. Vermeiden Sie es, vom Reporter zu verlangen, dass er vor der Eskalation über die endgültige rechtliche Einstufung entscheidet.

Wie sollte die erste Reaktion organisiert werden?

Begrenzen Sie den Vorfall und bewahren Sie gleichzeitig die Beweise auf, die zum Verständnis des Vorfalls erforderlich sind. Weisen Sie technische, datenschutzrechtliche und betriebliche Verantwortliche zu, damit dringende Maßnahmen nicht in getrennten Arbeitsabläufen ausgeführt werden.

• Notieren Sie den Aufklärungszeitplan und die derzeit bekannten Fakten.
• Begrenzen Sie die weitere Exposition durch geeignete Eindämmungsmaßnahmen.
• Identifizieren Sie nach Möglichkeit betroffene Datenkategorien und Personen.
• Bewerten Sie mögliche Konsequenzen und bestehende Schutzmaßnahmen.
• Legen Sie aufsichtsrechtliche, individuelle und vertragliche Meldepflichten getrennt fest.
• Zeichnen Sie Entscheidungen auf und aktualisieren Sie die Bewertung, wenn sich die Beweise ändern.

Was bedeutet die 72-Stunden-Regel?

Gemäß dem DSGVO-Melderahmen muss ein Verantwortlicher die zuständige Aufsichtsbehörde unverzüglich und, soweit möglich, innerhalb von 72 Stunden nach Kenntniserlangung benachrichtigen, es sei denn, der Verstoß führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten des Einzelnen. Für die Kommunikation mit Einzelpersonen gibt es einen separaten Hochrisikotest und entsprechende Ausnahmen.

Die Leitlinien des EDSA befassen sich mit unvollständigen Informationen und stufenweiser Meldung. Die praktische Lektion besteht darin, die Bewertung zeitnah vorzunehmen und zu dokumentieren, anstatt davon auszugehen, dass die Frist erst beginnt, wenn alle technischen Details bekannt sind.

Welche spielspezifischen Abhängigkeiten erfordern Aufmerksamkeit?

Ein Vorfall kann Auswirkungen auf Ausweisdokumente, Spielerguthaben, Kontozugriff oder Kundenkommunikation haben. Koordinieren Sie die Datenschutzreaktion mit den Zahlungs-, Sicherheits- und Kundensupportteams und begrenzen Sie gleichzeitig unnötigen Zugriff auf vertrauliche Informationen.

Meldungen an die Glücksspielaufsichtsbehörde und Meldungen zu Lieferantenverträgen können von Datenschutzmeldungen getrennt sein. Verwenden Sie eine Empfänger- und Fristenmatrix, damit eine abgeschlossene Benachrichtigung nicht mit der Erfüllung aller Verpflichtungen verwechselt wird.

Was sollte die Überprüfung nach dem Vorfall ergeben?

Dokumentieren Sie die Ursache, den betroffenen Umfang, Entscheidungen, Korrekturmaßnahmen und den Nachweis der Behebung. Überprüfen Sie, ob Zugriffskontrollen, Protokollierung, Lieferanteneskalation oder Mitarbeiterschulung fehlgeschlagen sind.

Üben Sie ein Szenario, etwa eine Verifizierungsdatei, die an den falschen Empfänger gesendet wird. Prüfen Sie, wie schnell es die richtigen Personen erreicht und ob das Team die Daten und Risiken einschätzen kann. Eine kleine Tischübung kann vor einer größeren Veranstaltung fehlende Kontaktdaten und Entscheidungsbefugnisse aufdecken.