Eine Datenpanne muss nicht immer an die Datenschutzaufsichtsbehörde gemeldet werden. Unternehmen müssen jedoch jeden Datenschutzvorfall unverzüglich prüfen und die Entscheidung nachvollziehbar dokumentieren. Genau dabei unterstützt das vorliegende Formular (am Ende zu finden).
Für die schnelle Erstmeldung
Das Formular ermöglicht Mitarbeitenden, einen möglichen Datenschutzvorfall schnell und strukturiert zu erfassen – auch ohne vertiefte datenschutzrechtliche Kenntnisse. Abgefragt werden insbesondere:
-
wann und wie der Vorfall entdeckt wurde,
-
was konkret passiert ist,
-
welche Daten möglicherweise betroffen sind,
-
wie viele Personen oder Datensätze betroffen sein könnten,
-
ob besondere Kategorien personenbezogener Daten betroffen sind,
-
welche Sofortmaßnahmen bereits ergriffen wurden.
Die erste Erfassung ist bewusst einfach gehalten. Mitarbeitende müssen zunächst nur die bekannten Tatsachen dokumentieren. Eine rechtliche Bewertung erfolgt erst in einem weiteren Abschnitt durch die zuständige Stelle.
Strukturierte Risikoabwägung
Ein Schwerpunkt des Formulars liegt auf der Prüfung, ob durch den Vorfall voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen entstanden ist.
Hierzu werden unter anderem folgende Gesichtspunkte berücksichtigt:
-
Art und Sensibilität der betroffenen Daten,
-
Anzahl der betroffenen Personen und Datensätze,
-
mögliche Empfänger oder Zugriffsberechtigte,
-
Umfang der tatsächlichen oder möglichen Kenntnisnahme,
-
eingesetzte Verschlüsselungs- und sonstige Schutzmaßnahmen,
-
mögliche Folgen wie Identitätsdiebstahl, finanzielle Nachteile, Diskriminierung oder Rufschädigung,
-
Eintrittswahrscheinlichkeit eines Schadens,
-
Schwere eines möglichen Schadens,
-
bereits ergriffene Maßnahmen zur Begrenzung der Folgen.
Das Formular verwendet hierfür eine übersichtliche Bewertung nach geringer, mittlerer und hoher Eintrittswahrscheinlichkeit sowie geringer, mittlerer und hoher Schadensschwere. Die Bewertung wird nicht lediglich durch ein Punktesystem ersetzt, sondern muss durch eine kurze einzelfallbezogene Begründung ergänzt werden.
Entscheidung über eine Meldung
Das Formular unterstützt bei der Dokumentation der möglichen Ergebnisse:
-
voraussichtlich kein Risiko – keine Meldung nach Art. 33 DSGVO,
-
Risiko vorhanden – Meldung an die Aufsichtsbehörde prüfen oder veranlassen,
-
hohes Risiko – zusätzlich Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO prüfen,
-
Bewertung noch nicht abschließend möglich,
-
kein Datenschutzvorfall im Sinne des Art. 4 Nr. 12 DSGVO.
Für Fälle, in denen keine Meldung an die Aufsichtsbehörde erfolgt, enthält das Formular ein eigenes Begründungsfeld. Dadurch lässt sich später nachvollziehen, auf welcher Tatsachengrundlage und anhand welcher Erwägungen die Entscheidung getroffen wurde.
Ihre Vorteile
Das Formular bietet Unternehmen insbesondere folgende Vorteile:
-
schnelle und einheitliche Erfassung von Datenschutzvorfällen,
-
klare Trennung zwischen Erstmeldung und rechtlicher Bewertung,
-
verständliche Struktur auch für nicht spezialisierte Mitarbeitende,
-
Unterstützung bei der Risikoabwägung nach Art. 33 DSGVO,
-
Dokumentation der Gründe für eine Entscheidung gegen eine Meldung,
-
Erfassung von Sofortmaßnahmen und Maßnahmen zur Schadensbegrenzung,
-
Unterstützung bei der Vorbereitung einer Meldung an die Aufsichtsbehörde,
-
Dokumentation für das interne Verzeichnis von Datenschutzverletzungen,
-
Grundlage für die spätere Nachbereitung und Verbesserung von technischen und organisatorischen Maßnahmen.
Für welche Vorfälle ist das Formular geeignet?
Das Formular kann unter anderem bei folgenden Sachverhalten verwendet werden:
-
Fehlversand einer E-Mail mit personenbezogenen Daten,
-
Verlust oder Diebstahl eines Laptops oder mobilen Datenträgers,
-
unberechtigtem Zugriff auf Dateien oder Systeme,
-
versehentlicher Veröffentlichung personenbezogener Daten,
-
Verlust, Löschung oder Zerstörung von Daten,
-
Ransomware- oder Malware-Vorfällen,
-
fehlerhaften Berechtigungen oder Fehlkonfigurationen,
-
Datenschutzvorfällen bei Auftragsverarbeitern,
-
versehentlicher Übermittlung von Daten an einen falschen Empfänger.
Auch Vorfälle, bei denen zunächst kein oder nur ein geringes Risiko erkennbar ist, sollten dokumentiert und bewertet werden. Ein Beispiel kann der Fehlversand begrenzter Daten an einen bekannten und vertrauenswürdigen Empfänger sein, wenn die Daten nachweisbar gelöscht wurden. Ob tatsächlich keine Meldung erforderlich ist, bleibt jedoch stets eine Entscheidung im konkreten Einzelfall.
Wichtiger Hinweis
Die Meldung eines möglichen Datenschutzvorfalls sollte innerhalb des Unternehmens unverzüglich erfolgen. Besteht eine Verletzung des Schutzes personenbezogener Daten und führt diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, ist eine Meldung an die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu prüfen.
Das Formular ist eine praktische Dokumentations- und Entscheidungshilfe. Es ersetzt keine Prüfung des Einzelfalls und keine rechtliche Beratung. Bei sensiblen Daten, unklarer Sachlage, größerem Umfang, möglichen Hackerangriffen oder einem hohen Risiko sollte unverzüglich die Datenschutzbeauftragte oder der Datenschutzbeauftragte beziehungsweise eine fachkundige Stelle eingebunden werden.
Download
Formular zur Meldung und Bewertung eines Datenschutzvorfalls
Word-Dokument zur internen Erfassung, Risikoabwägung und Dokumentation nach Art. 33 und Art. 34 DSGVO.[Formular als Word-Datei (LibreOffice Format) herunterladen]
