Vum Tom Meevis, Affekot bei Law & More
Cyberattacken ewéi Ransomware, Phishing, DDoS-Attacken a Computerintrusioun betreffen selten nëmmen déi attackéiert Organisatioun. Zu den Affer vu Cyberattacken gehéieren och Clienten, Mataarbechter, Patienten, Fournisseuren an aner Partner an der Liwwerkette, déi Verloschter erleide kënnen, an hir Rechtspositioun ënnerscheet sech vu Grupp zu Grupp. Jiddereen, deen no engem Ugrëff feststelle wëll, wéi eng Verpflichtungen gëllen a wéi eng Fuerderungen et gëtt, ass dofir ugeroden, als éischt genee ze bestëmmen, wien betraff ass a wéi e Schued entstanen ass.
Dësen Artikel behandelt dann, wien als Affer qualifizéiert ass, wéini eng Datenverletzung gemellt muss ginn, ënner wéi enge Konditioune e Recht op Entschiedegung besteet, wéi eng Parteien haftbar kënne sinn, wéi eng Roll d'Strofrecht spillt, wat eng Cyberversécherungspolice typescherweis ofdeckt a wéi eng Schrëtt direkt no engem Ugrëff ënnerholl solle ginn.
Wien sinn d'Affer vu Cyberattacken?
Bei engem Cyberattack kënnen dräi Gruppe ënnerscheet ginn.
- Déi betraffe Organisatioun selwer, déi mat Systemausfäll, Verloschter u Verkaf, Käschte fir d'Erhuelung, de Käschte vun der forensescher Enquête a Ruffschued konfrontéiert ass.
- Natierlech Persounen, deenen hir perséinlech Donnéeën ausgesat goufen, wéi Clienten, Mataarbechter a Patienten. Si kënne finanziell Verloschter erleiden, awer och net-materielle Schued duerch de Verloscht vum Kontroll iwwer hir Donnéeën, Onsécherheet oder Angscht virum Identitéitsbetrug.
- Drëttparteien, déi duerch eng vertraglech oder Liwwerkettenbezéiung betraff sinn, zum Beispill well se vun engem Liwwerant ofhängeg sinn, deem seng Systemer ausfalen.
Dës Klassifikatioun ass juristesch relevant. D'Basis vun all Fuerderung, an d'Partei géint déi se agereecht ka ginn, hänken vun der Positioun vum Affer of. Eng betraffen Organisatioun wäert hiren IT-Liwwerant am Allgemengen am Kader vum Kontrakt zur Rechenschaft zéien, während eng betraffe Persoun sech direkt op déi eegestänneg Haftungsbasis beruffe kann, déi d'GDPR virgesäit.
Wéini muss eng Datenverletzung gemellt ginn?
Wa perséinlech Donnéeën an engem Cyberattack involvéiert sinn, muss iwwerpréift ginn, ob et sech ëm eng Datenverletzung handelt a ob eng Meldung obligatoresch ass. Artikel 33 vun der DSGVO schreift vir, datt eng Datenverletzung ouni onnéideg Verspéidung an, wa méiglech, bannent 72 Stonnen der Opsiichtsautoritéit gemellt muss ginn, ausser et ass onwahrscheinlech, datt d'Verletzung e Risiko fir d'Rechter a Fräiheete vu physikalesche Persoune mat sech bréngt.
Zousätzlech kann Artikel 34 vun der DSGVO vun der Organisatioun verlaangen, déi betraffe Persounen selwer z'informéieren. Dës Verpflichtung entsteet, wann d'Verletzung e grousst Risiko fir hir Rechter a Fräiheeten duerstellt. D'Kommunikatioun kann ausgelooss ginn, wann entspriechend technesch Moossnamen, wéi z. B. Verschlësselung, a Kraaft waren, wann spéider Moossname garantéieren, datt den héije Risiko sech net méi materialiséiert, oder wann individuell Kommunikatioun eng disproportionéiert Ustrengung géif erfuerderen; an deem leschte Fall ass eng ëffentlech Kommunikatioun duer.
Fir déi betraffe Persoun ass dës Kommunikatioun méi wéi just eng Formalitéit. Si erméiglecht et hinnen, hir eege Moossnamen ze treffen, zum Beispill andeems se Passwierder änneren oder op verdächteg Transaktiounen oppassen, an an der Praxis ass si dacks den Ausgangspunkt vun all Usproch op Entschädigung.
Eng Organisatioun muss dofir net nëmmen noweisen, datt en Ugrëff stattfonnt huet, mä och, wéi eng Donnéeë betraff waren, ob Donnéeën tatsächlech geklaut goufen a wéi eng Risiken dovunner entstinn. Eng onofhängeg forensesch Enquête ass dofir dacks onentbehrlech.
Dëst gëllt ëmsou méi, wann den Ugrëff bei engem Veraarbechter anstatt bei der Organisatioun selwer geschitt. Am Summary-Prozess tëscht Blauw Research an Nebu (Bezirksgeriicht Rotterdam, 6. Abrëll 2023, ECLI:NL:RBROT:2023:2931) huet de Viruerteeler festgestallt, datt de Verantwortleche laut dem Datenveraarbechtungsvertrag, deen tëscht de Parteien ofgeschloss gouf, e Recht op méi Informatiounen iwwer den Ugrëff, seng Konsequenzen an déi geholl Moossnamen hätt, wéi ufanks uginn goufen. Dem Veraarbechter gouf och ugeuerdent, eng onofhängeg forensesch Enquête duerchféiere ze loossen a reegelméisseg ze berichten. D'Uerteel weist, datt e gutt ausgeschaffte Datenveraarbechtungsvertrag an der Praxis dat wichtegst Instrument ass, fir no engem Tëschefall rechtzäiteg Informatiounen ze kréien, genee well de Verantwortleche dës Informatioune brauch, fir seng eegen Notifikatiounspflichten ze erfëllen.
Wéini entsteet e Recht op Entschiedegung?
Betraffe Persoune kënnen eng Entschädigung vum Verantwortlechen oder dem Veraarbechter no Artikel 82 vun der DSGVO fuerderen. Eng Cyberattack féiert awer net automatesch zu enger Fuerderung. Si muss begrënnt sinn:
- datt d'DSGVO verletzt gouf;
- datt Schued tatsächlech erlidden gouf; an
- datt et e kausale Zesummenhang tëscht där Verletzung an deem Schued gëtt.
De materielle Schued kann aus finanzielle Verloschter, Käschte fir d'Erhuelung oder Verloschter bestoen, déi duerch Identitéitsbetrug verursaacht ginn. Wat den net-materielle Schued ugeet, huet den Europäesche Geriichtshaff am Fall Österreichische Post (CJEU 4. Mee 2023, C-300/21) decidéiert, datt et kee Mindestschwellwäert fir d'Gravitéit gëtt, awer datt eng Verletzung vun der DSGVO eleng net fir eng Zoustëmmung duer geet.
Besonnesch relevant fir Datenlecke no engem Cyberattack ass d'Natsionalna agentsia za prihodite (CJEU 14. Dezember 2023, C-340/21). Do huet de Geriichtshaff decidéiert, datt d'Angscht viru méigleche zukünftege Mëssbrauch vu geleakte perséinlechen Donnéeën eleng net-materielle Schued duerstelle kann. Déi betraffe Persoun muss dës Angscht an hir Konsequenze awer konkret begrënnen; et ass net genuch, nëmmen op d'Tatsaach hinzeweisen, datt Donnéeë geleakt goufen. Am selwechte Uerteel huet de Geriichtshaff bestätegt, datt et um Verantwortleche läit, ze beweisen, datt déi geholl Sécherheetsmoossnamen ubruecht waren, an datt en Ugrëff vun enger Drëtter Partei de Verantwortleche net eleng vun der Haftung befreit.
D'Haftung no der DSGVO besteet niewent de zivilrechtleche Grondlage vu Vertragsverletzung an Delikter. No Artikel 6:162(1) vum hollännesche Bürgerleche Gesetzbuch muss eng Partei, déi eng zourechnungswidreg Handlung begeet, de verursaachte Schued entschädigen. D'Relativitéitsufuerderung vum Artikel 6:163 gëllt: déi verletzte Norm muss zum Schutz géint déi Aart vu Schued déngen, déi déi blesséiert Partei erlidden huet.
Wichteg ass, datt den Artikel 82 vun der DSGVO niewent dëse Grondlage existéiert. Eng betraffe Persoun ass dofir net verflicht, eng Fuerderung eleng op Vertragsverletzung oder Delikter ze grënnen, mä kann sech direkt op déi eegestänneg Haftungsbasis beruffen, déi d'DSGVO virgesäit. Fir déi betraffe Organisatioun bedeit dës Kombinatioun vu Grondlage, datt verschidde Parteien no engem Ugrëff gläichzäiteg Fuerderunge kënne maachen.
Wien kann haftbar gemaach ginn?
Déi betraffe Organisatioun kann haftbar gemaach ginn, wann se hir vertraglech Verpflichtungen net erfëllt oder net genuch Sécherheetsmoossname getraff huet. En IT-Déngschtleeschter oder -veraarbechter kann och zur Rechenschaft gezu ginn. Wat vun deem Déngschtleeschter erwaart ka ginn, gëtt virun allem vum Kontrakt bestëmmt.
An enger Veraarbechtungsverhältnis spillt d'Dateveraarbechtungsvereinbarung eng zentral Roll. Artikel 28 DSGVO verlaangt, datt de Verantwortlechen an de Veraarbechter sou eng Vereinbarung ofschléissen, déi ënner anerem d'Sécherheetsmoossnamen an d'Handhabung vu Datelecke regelt. Wann d'Attack aus enger inadequater Sécherheet beim Veraarbechter resultéiert, kann de Verantwortlechen de Veraarbechter am Kader vun dëser Vereinbarung fir de resultéierende Verloscht zur Rechenschaft zéien.
Dat geet schaarf aus dem Fall iwwer de Cyberattack op d'Gemeng Hof van Twente ervir (Bezirksgeriicht Overijssel, 10. Mee 2023, ECLI:NL:RBOVE:2023:1731). D'Parteien haten sech op eng funktionell Iwwerwaachung, net op eng Sécherheetsiwwerwaachung, eens ginn. De Geriicht huet festgestallt, datt d'Sorgfaltspflicht vun engem IT-Administrateur net sou wäit geet, datt d'Sécherheetsiwwerwaachung en stillschweigende Bestanddeel vun enger Aufgab fir eng funktionell Iwwerwaachung ass, an huet d'Fuerderung vun der Gemeng ofgewisen. Et huet och drop higewisen, datt d'Gemeng selwer Entscheedunge getraff huet, déi de Risiko erhéijen, dorënner hir Passwuertpolitik an d'Ouverture vun engem RDP-Port.
D'Spigelbild ass de Fall O'Cliance (Bezirksgeriicht vun Amsterdam, 14. November 2018, ECLI:NL:RBAMS:2018:10124). Do hat de Fournisseur eng komplett IT-Infrastruktur installéiert an d'Gestioun dovun iwwerholl. Nom Ransomware-Ugrëff, bei deem d'Backups och verschlësselt waren, huet d'Geriicht decidéiert, datt d'Liwwerung vun engem sou engem Gesamtpaket eng wäitreechend Suergfaltspflicht mat sech bréngt an datt einfach Moossnamen ausgelooss goufen. D'Haftung gouf awer net vollstänneg zougesprach: wéinst der bäitragender Schold vum Client blouwen zwee Drëttel vum Schued fir de Fournisseur.
Wéi schwéier d'Beweislaascht fir eng adäquat Sécherheet ka weien, gëtt duerch de Fall vum gehackten E-Mail-Kont vun engem Autoshändler illustréiert. Am Tëscheurteel vum 5. November 2024 (Beruffungsgeriicht Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) krut den Händler d'Méiglechkeet ze beweisen, datt säin E-Mail-Kont am Sënn vun der DSGVO adäquat geséchert war, nodeems en Hacker dëse Kont benotzt hat, fir eng falsch Bezuelungsinstruktioun un e Keefer ze schécken. Am Nofolgerurteel vum 22. Juli 2025 (ECLI:NL:GHARL:2025:4556) huet de Geriicht festgestallt, datt dëse Beweis net geliwwert gouf, duerno missten d'Parteien nach ëmmer iwwer d'bäitragend Schold vum Keefer schwätzen. Béid Uerteeler betreffen dofir déiselwecht Prozedur.
De gemeinsame Fuedem ass, datt d'Vertragsverhältnisser, d'Risike vun der Veraarbechtung, d'Moossnamen, déi tatsächlech geholl goufen, d'Warnungen, déi op béide Säiten ginn, an d'Verhale vun der blesséierter Partei selwer all wichteg sinn. Nieft der zivilrechtlecher Haftung kann déi hollännesch Dateschutzautoritéit administrativ Geldstrofe vu bis zu 20 Milliounen Euro oder 4 Prozent vum weltwäite Joresëmsaz verhängen, jee nodeem wat méi héich ass. Dës Geldstrofe sinn onofhängeg dovun, ob eenzel betraffe Persoune Schued erlidden hunn.
De Wee vum Strofrecht
Eng Cyberattack kann och e Strofverbrieche sinn, wéi zum Beispill Computerintrusioun, d'Onzougänglechkeet vun Donnéeën oder d'Eingabe vun net-ëffentlechen Donnéeën. Artikel 138ab(1) vum hollännesche Strofgesetzbuch schreift et zu engem Strofverbrieche fest, sech absichtlech an onrechtméisseg Zougang zu engem automatiséierte System ze verschaffen.
D'Affer kënnen d'Delikt bei der Police mellen, déi spezialiséiert Cyberkriminalitéitsteams huet. Wa Verdächtege viru Geriicht gestallt gëtt, kann en Affer sech dem Strofverfahren als Blesséierte bedeelegen an do eng Entschiedegung fuerderen. Dëse Wee vermeit separat Zivilprozesser, awer den Ausgang hänkt vun der Detektioun, der Strofverfolgung an dem Beweis of, wat bei international operéierende Verbriecher dacks kee Resultat bréngt. Fir Organisatiounen ass d'Meldung dacks och eng praktesch Noutwennegkeet, well Versécherer a Partner an der Liwwerkette dofir verlaangen.
Wat deckt d'Cyberversécherung?
Eng Cyberversécherungspolice kann ënner anerem folgendes ofdecken:
- Äntwert op Tëschefäll a forensesch Enquête;
- Restauratioun vu Systemer an Daten;
- Verloschter duerch Ënnerbriechung vum Betrib a verluerenen Ëmsaz;
- Krisenkommunikatioun;
- Haftung géintiwwer Drëttpersounen;
- juristesch Käschten; an
- a verschiddene Fäll Geldstrofen, Vergläicher oder Léisegeld, an deem Mooss, deen no dem geltenden Gesetz versécherbar ass.
Déi genee Ofdeckung hänkt vun der Police of. Passt op Ausgrenzungen, Sécherheetsbedingungen, Kënnegungsfristen, Selbstbehalen a Fuerderungen op d'Bedeelegung vun Experten op. Artikel 7:957(1) vum hollännesche Burgerleche Gesetzbuch verflicht eng Verséchert och, raisonnabel Moossnamen ze treffen, fir Schued ze verhënneren oder ze limitéieren. Wann dës Bergungspflicht net agehale gëtt, kann d'Versécherungsgesellschaft d'Ausbezuelung reduzéieren.
De Cyberversécherer soll dofir sou séier wéi méiglech informéiert ginn. D'Engagement vun externen Experten oder d'Bezuele vun engem Léisegeld ouni d'Zoustëmmung vum Versécherer kann d'Ofdeckung beaflossen.
Wat sollt Dir direkt no engem Cyberattack maachen?
- Den Tëschefall an all relevant Aktiounen suergfälteg opschreiwen.
- Isoléiert betraffe Systemer ouni Beweisverloscht.
- Engagéiert e forenseschen Expert.
- Iwwerpréift ob et eng mellenpflichteg Datenverletzung gëtt.
- Iwwerpréift ob déi betraffe Persounen informéiert musse ginn.
- Mellt d'Verbrieche bei der Police.
- Mellt den Tëschefall Ärer Cyberversécherung un.
- Späichert Logbicher, Backups, E-Maile an aner relevant Donnéeën.
- Kartéiert de Schued an déi potenziell haftbar Parteien.
- Informéiert Clienten, Mataarbechter a Partner an der Liwwerkette virsiichteg an rechtzäiteg.
Eng Cyberattack ass dofir net nëmmen en techneschen Incident. Et ass och eng Fro vum Dateschutz, vum Zivilrecht, vum Strofrecht an dem Versécherungsrecht. Eng séier a gutt dokumentéiert Reaktioun limitéiert net nëmmen de Schued, mee ass entscheedend fir d'Notifikatiounen, d'Versécherungsdeckung an Är Beweispositioun an all Prozedur.
Schließlech
D'Rechter a Flichten no engem Cyberattack sinn iwwer verschidde Rechtsberäicher verdeelt, an den Ausgang vun engem Fall hänkt staark vun de spezifesche Fakten, dem Inhalt vum Kontrakt an der Qualitéit vun den Dossieren of. Déi diskutéiert Rechtsprechung weist, datt souwuel de Fournisseur wéi och de Client no hirem eegene Verhalen beurteelt ginn, an datt Fristen wéi déi zweeanzwanzegst Stonne Kënnegungsfrist wéineg Spillraum fir Verspéidungen loossen.
Law & More ënnerstëtzt Organisatiounen a betraffene Persounen beim juristesche Ëmgang mat Cyberincidenter: vun der Bewäertung vun der Notifikatiounspflichten an der Iwwerpréiwung vun Datenveraarbechtungsofkommes bis hin zur Festleeung vun der Haftung, Versécherungsfroen an der Erhuelung vu Verloschter. Hutt Dir et mat engem Cyberattack oder enger Datenverletzung ze dinn, oder wëllt Dir Är Kontrakter am Viraus vun eis géint dës Risiken iwwerpréift hunn. IT Gesetz Equipe? Zéckt net, Kontakt Law & More fir eng unverbindlech Diskussioun iwwer Är Situatioun.
Oft gestallten Froen
Hei ënnendrënner beäntwerte mir déi Froen, déi eis am heefegsten zu dësem Thema gestallt ginn.
Wien sinn d'Affer vun enger Cyberattack?
Et ginn dräi Schichten. Éischtens, déi betraffe Organisatioun selwer, déi Systemausfäll, Verloschter am Ëmsaz, Käschte fir d'Erhuelung, d'Käschte vun der forensescher Enquête an de Ruffschued dréit. Zweetens, déi betraffe Persounen, déi hir perséinlech Donnéeën ausgesat goufen, wéi Clienten, Mataarbechter a Patienten. Drëttens, Drëttpersounen, déi duerch eng vertraglech oder Liwwerkettebezéiung Verloschter leiden, zum Beispill well se vun engem Liwwerant ofhängeg sinn, deen ausgaangen ass. Dës Klassifikatioun bestëmmt op wéi enger Basis eng Partei eng Fuerderung areeche kann, a géint wien.
Bannent wéi enger Frist muss ech eng Datenverletzung mellen?
Artikel 33 vun der DSGVO verlaangt, datt d'Iwwerwaachungsautoritéit ouni onnéideg Verspéidung a wa méiglech bannent 72 Stonnen nodeems se vun der Verletzung bewosst gouf, informéiert gëtt. Dës Pflicht gëllt net, wann et onwahrscheinlech ass, datt d'Verletzung e Risiko fir d'Rechter a Fräiheete vu physikalesche Persoune mat sech bréngt. Dës Bewäertung verlaangt eng Analyse vun der Natur vun der Verletzung, de Kategorien vun den betraffenen Daten an de méigleche Konsequenzen.
Wéini muss ech déi betraffe Persounen selwer informéieren?
Geméiss Artikel 34 vun der DSGVO, wann d'Verletzung e Risiko fir d'Rechter a Fräiheete vun de betraffene Persoune mat sech bréngt, kann d'Kommunikatioun ausgelooss ginn, wann entspriechend technesch Moossnamen, wéi z. B. Verschlësselung, a Kraaft waren, wann spéider Moossname garantéieren, datt den héije Risiko sech net méi materialiséiert, oder wann individuell Kommunikatioun en iwwerproportionalen Opwand géif erfuerderen. An deem leschte Fall ass eng ëffentlech Kommunikatioun duer.
Kann ech Informatiounen vun engem Liwwerant erzwingen, deen gehackt gouf?
Jo, wa e Vertrag iwwer d'Veraarbechtung vun Daten dat virgesäit. Am Zesummefaassungsverfahren tëscht Blauw Research an Nebu (Bezirksgeriicht Rotterdam, 6. Abrëll 2023, ECLI:NL:RBROT:2023:2931) huet de Virsiichter decidéiert, datt de Verantwortleche gemäß dem Veraarbechtungsvertrag op méi Informatiounen iwwer den Ugrëff, seng Konsequenzen an déi geholl Moossname Recht hätt, wéi uginn, an huet dem Veraarbechter ugewisen, eng onofhängeg forensesch Enquête duerchzeféiere loossen a reegelméisseg Berichterstattung ze stellen. Dës Informatioune sinn néideg, fir Är eege Notifikatiounspflichten erfëllen.
Hunn ech als betraffene Persoun automatesch en Usproch op eng Entschiedegung no enger Datenverletzung?
Nee. Artikel 82 vun der DSGVO bitt eng eegestänneg Basis, awer Dir musst noweisen, datt d'DSGVO verletzt gouf, datt Dir tatsächlech Schued erlidden hutt, an datt et e kausale Zesummenhang tëscht der Verletzung an dësem Schued gëtt. D'Beweislaascht läit beim Kläger.
Qualifizéiert d'Angscht virum Identitéitsbetrug als net-materielle Schued?
Et kann. Am Fall Natsionalna agentsia za prihodite (CJEU 14. Dezember 2023, C-340/21) huet de Geriichtshaff decidéiert, datt d'Angscht viru méigleche zukünftege Mëssbrauch vu geleakte perséinlechen Donnéeën eleng net-materielle Schued duerstelle kann. Déi betraffe Persoun muss dës Angscht an hir Konsequenze konkret begrënnen. Österreichische Post (CJEU 4. Mee 2023, C-300/21) füügt derbäi, datt et kee Mindestschwellwäert fir d'Gravitéit gëtt, awer datt eng Verletzung vun der DSGVO eleng net duer geet.
Wien muss beweisen, datt d'Sécherheetsmoossnamen adäquat waren?
De Verantwortleche. Am Fall C-340/21 huet de Geriichtshaff bestätegt, datt et un der Verantwortleche läit, ze beweisen, datt d'Sécherheetsmoossnamen, déi geholl goufen, entspriechend waren, an datt en Ugrëff vun enger Drëtter Partei hien net eleng vun der Haftung befreit. An Holland huet sech dat am Fall vum gehackten E-Mail-Kont vun engem Autoshändler ausgespillt, wou d'Beruffungsgeriicht vun Arnhem-Leeuwarden dem Händler fir d'éischt d'Méiglechkeet ginn huet, dëse Beweis ze liwweren (ECLI:NL:GHARL:2024:6812) an duerno festgestallt huet, datt en net geliwwert gouf (ECLI:NL:GHARL:2025:4556).
Ass mäin IT-Liwwerant haftbar, wann en en Ugrëff net erkannt huet?
Dat hänkt dovun of, wat ausgemaach gouf. Am Fall vum Cyberattack op d'Gemeng Hof van Twente (Bezirksgeriicht Overijssel, 10. Mee 2023, ECLI:NL:RBOVE:2023:1731) haten d'Parteien sech op eng funktionell Iwwerwaachung ausgemaach, net op eng Sécherheetsiwwerwaachung. De Geriicht huet festgestallt, datt d'Sorgfaltspflicht vun engem IT-Administrateur net sou wäit geet, datt d'Sécherheetsiwwerwaachung en stillständegen Deel dovun ass, an huet d'Fuerderung ofgewisen. Wa méi e Gesamtpaket ugebuede gëtt, kann d'Sorgfaltspflicht amplaz wäitgräifend sinn, wéi am Fall O'Cliance (Bezirksgeriicht Overijssel). Amsterdam, 14. November 2018, ECLI:NL:RBAMS:2018:10124), wou de Liwwerant fir zwee Drëttel vum Verloscht haftbar gemaach gouf.
Kann mäin eegent Verhalen d'Entschädigung reduzéieren?
Jo. Bäitragsschold spillt an dëse Fäll eng widderhuelend Roll. Am Fall O'Cliance ass en Drëttel vum Verloscht fir de Kont vum Client bliwwen, an am Fall vum gehackten E-Mail-Kont waren d'Parteien verflicht, de Bäitragsschold vum Keefer ze behiewen. Är eege Passwuertpolitik, oppe Ports oder ignoréiert Warnungen kënnen dofir direkt den Ausgang beaflossen.
Wéi eng Geldstrofe kann d'Dateschutzautoritéit verhängen?
Fir Verstéiss géint d'DSGVO kann d'Iwwerwaachungsautoritéit administrativ Geldstrofe vu bis zu 20 Milliounen Euro oder 4 Prozent vum weltwäite Joresëmsaz verhängen, jee nodeem wat méi héich ass. Dës Geldstrofe sinn onofhängeg dovun, ob eenzel betraffe Persounen tatsächlech Schued erlidden hunn, a stellen dofir nieft der zivilrechtlecher Haftung e separate Risiko duer.
Kann ech d'Delikt mellen a mäi Schued iwwer de Strofverfahren fuerderen?
Jo. Artikel 138ab(1) vum hollännesche Strofgesetzbuch schreift et zu engem Strofdot vir, sech absichtlech an onrechtméisseg Zougang zu engem automatiséierte System ze verschaffen. Dir kënnt d'Strofdot bei der Police mellen an, wann e Verdächtege viru Geriicht gestallt gëtt, Iech als blesséiert Partei dem Strofverfahren uschléissen, fir do eng Entschiedegung ze fuerderen. Den Ausgang hänkt vun der Erkennung, der Verfollegung an dem Beweismaterial of, wat bei international operéierende Verbriecher dacks kee Resultat bréngt.
Wat deckt eng Cyberversécherung normalerweis of?
Normalerweis geet et ëm d'Reaktioun op Tëschefäll an d'forensesch Enquête, d'Restauratioun vu Systemer an Daten, Verloschter duerch Geschäftsënnerbriechung a Verloscht vun Ëmsaz, Krisenkommunikatioun, Haftung géintiwwer Drëttpersounen a juristesch Käschten, an a verschiddene Fäll ëm Geldstrofen, Vergläicher oder Léisegeld, souwäit et no dem gëltege Gesetz versécherbar ass. Passt op Ausgrenzungen, Sécherheetsbedingungen, Notifikatiounsfristen an Selbstbehalen op a préift d'Police ier en Tëschefall geschitt.
Kann ech d'Deckung verléieren, andeems ech mech no engem Ugrëff falsch verhalen?
Dat ass méiglech. Artikel 7:957(1) vum hollännesche Burgerleche Gesetzbuch verflicht eng Verséchert, raisonnabel Moossnamen ze treffen, fir e Schued ze verhënneren oder ze limitéieren; wann dës Bergungspflicht net agehale gëtt, kann d'Versécherungsgesellschaft d'Ausbezuelung reduzéieren. D'Abezéie vun externen Experten oder d'Bezuele vun engem Léisegeld ouni d'Zoustëmmung vun der Versécherungsgesellschaft kann och d'Ofdeckung beaflossen. Informéiert Är Versécherungsgesellschaft sou séier wéi méiglech.
Wat fir Schrëtt soll ech direkt no engem Cyberattack maachen?
Schreift den Tëschefall an all duerchgefouert Aktiounen op, isoléiert déi betraffe Systemer ouni Beweisverloscht a engagéiert en forenseschen Expert. Da bewäert ob et eng melltbar Datenverletzung gëtt a ob déi betraffe Persounen informéiert musse ginn. Mellt d'Verletzung, informéiert Äre Cyberversécherer, bewaart Protokoller, Backups a Korrespondenz, kartéiert de Schued an déi potenziell haftbar Parteien a informéiert Clienten, Mataarbechter a Partner an der Liwwerkette virsiichteg a rechtzäiteg.
