Datenschutzvorfälle dokumentieren

Bei einer Datenpanne läuft eine Frist, die kaum jemand einhält, weil sie zu einem denkbar ungünstigen Zeitpunkt beginnt: mitten in der Aufregung. Datenschutzvorfälle zu dokumentieren heißt deshalb vor allem, den Ablauf vorher festzulegen – damit im Ernstfall niemand überlegt, sondern abarbeitet.

Was die Frist auslöst

72 Stunden ab Kenntnis des Verantwortlichen. Kenntnis liegt vor, wenn eine hinreichende Gewissheit besteht, dass ein Vorfall eingetreten ist – nicht erst, wenn er vollständig aufgeklärt ist.

Das ist der Punkt, an dem die meisten Unternehmen Zeit verlieren: Sie warten mit der Erfassung, bis der Sachverhalt klar ist. Richtig ist das Gegenteil – erfassen, sobald der Verdacht besteht, und den Kenntniszeitpunkt festhalten. Die Meldung darf schrittweise erfolgen, wenn nicht alle Angaben sofort vorliegen.

Meldet ein Auftragsverarbeiter an Sie, beginnt Ihre Frist mit seiner Meldung. Deshalb gehört in jeden Auftragsverarbeitungsvertrag eine eigene, kurze Frist für diese Weitergabe.

Was der geführte Vorfall zusammenhält

Die Uhr. Zeitpunkt der Kenntnis, Fälligkeit der Meldung, verbleibende Zeit – sichtbar, ohne dass jemand rechnet.

Die Bewertung. Ob gemeldet werden muss, entscheidet das Risiko für die betroffenen Personen: Art der Daten, Zahl der Betroffenen, Schwere der möglichen Folgen, Wiederherstellbarkeit. Ein geführter Vorfall fragt diese Punkte ab, statt sie dem Gedächtnis zu überlassen – und hält das Ergebnis samt Begründung fest.

Die zweite Frage. Bei hohem Risiko ist zusätzlich die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO fällig – unverzüglich, in klarer und einfacher Sprache.

Die Maßnahmen. Was sofort veranlasst wurde und was daraus dauerhaft folgt. Der zweite Teil ist der, der sonst untergeht: Ein Vorfall, aus dem keine Maßnahme entsteht, wiederholt sich.

Der Bezug zum Bestand. Welche Verarbeitung, welches System, welcher Dienstleister – aus dem Verarbeitungsverzeichnis heraus verknüpft, statt neu beschrieben.

Auch die nicht gemeldeten Fälle

Der am häufigsten übersehene Teil von Art. 33: Der Verantwortliche dokumentiert alle Verletzungen des Schutzes personenbezogener Daten – einschließlich derer, die nicht gemeldet werden, und einschließlich der Begründung, warum nicht.

Genau danach wird gefragt, wenn eine Aufsichtsbehörde von einem Vorfall auf anderem Weg erfährt. Ein Unternehmen, das eine dokumentierte Bewertung vorlegen kann, steht anders da als eines, das den Fall nie festgehalten hat.

Grenzen

Das System bewertet nicht. Es strukturiert die Fragen und hält die Antworten – die Einschätzung des Risikos bleibt eine fachliche Entscheidung. Bei einem laufenden Vorfall ist das Telefon schneller als jedes Formular.

Es meldet nicht selbst. Die Meldung geht über das Verfahren der zuständigen Aufsichtsbehörde; der Vorgang liefert die Angaben dafür.

Der rechtliche Ablauf steht unter Datenschutzvorfall melden; ein vorbereitetes Meldeformular unter Meldung eines Datenschutzvorfalls.

Kontakt