DAT-05 | Datenschutz, KI & Informationssicherheit | Gilt für jedes Unternehmen mit Datenverarbeitung
Bei Datenschutzvorfällen sind die Fristen kurz und laufen ab Kenntnis - nicht ab dem Zeitpunkt, an dem es Dir jemand meldet. Wer erst im Ernstfall anfängt zu überlegen, wer zuständig ist, hat die 72 Stunden schon halb verbraucht.
GILT DAS FÜR DICH?
Für jedes Unternehmen, das personenbezogene Daten verarbeitet. Die Pflichten entstehen nicht durch Deine Größe, sondern durch den Vorfall.
Und Vorfälle sind alltäglicher als gedacht: die falsch adressierte E-Mail mit Gehaltsdaten, der verlorene Laptop, der offene Serverordner, der Ransomware-Angriff, das versehentliche Offenlegen eines Verteilers im An-Feld statt im Bcc.
DAS MUSST DU TUN
- Richte einen zentralen Eingang für Betroffenenanfragen ein - eine E-Mail-Adresse, die überwacht wird, und ein definierter Bearbeitungsweg.
- Definiere den Prozess für Auskunft und Löschung: Wer identifiziert die anfragende Person, wer sammelt die Daten aus welchen Systemen, wer gibt die Antwort frei? Die Frist beträgt einen Monat, verlängerbar um zwei Monate bei komplexen Anfragen - aber die Verlängerung musst Du innerhalb des ersten Monats mitteilen.
- Schreibe einen Notfallplan für Datenpannen auf eine Seite: Wer wird informiert, wer bewertet das Risiko, wer entscheidet über die Meldung, wer meldet, wer dokumentiert?
- Mache die interne Meldekette bekannt. Jeder Mitarbeitende muss wissen, wem er einen Vorfall sofort meldet - und dass eine schnelle Meldung nicht sanktioniert wird. Angst vor Konsequenzen ist der häufigste Grund für verspätete Meldungen.
- Halte die 72-Stunden-Frist ein: Meldung an die zuständige Aufsichtsbehörde, sobald der Vorfall ein Risiko für die betroffenen Personen bedeutet. Bei hohem Risiko musst Du zusätzlich die Betroffenen selbst informieren, und zwar unverzüglich.
- Führe ein Vorfallregister - auch für Vorfälle, die Du nicht gemeldet hast. Die Dokumentationspflicht gilt für alle Verletzungen, unabhängig von der Meldepflicht. Notiere die Begründung, warum Du nicht gemeldet hast.
- Übe den Ablauf einmal. Ein Trockendurchlauf von 30 Minuten zeigt zuverlässig, wo der Plan hakt.
GRÜN IST ES, WENN ...
Es gibt einen dokumentierten Prozess für Betroffenenanfragen und für Datenpannen, die interne Meldekette ist allen bekannt, ein Vorfallregister wird geführt, und die Zuständigkeiten sind auch im Urlaubsfall besetzt.
DIESE NACHWEISE BRAUCHST DU
Verfahrensanweisung Betroffenenrechte, Notfallplan Datenpanne mit Eskalationsmatrix, Vorfallregister, Nachweis der internen Kommunikation, Meldebestätigungen der Aufsichtsbehörde.
DIE RECHTSGRUNDLAGE
- Art. 12 bis 23 DSGVO - Rechte der betroffenen Person: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch - mit der Monatsfrist aus Art. 12 Abs. 3.
- Art. 33 DSGVO - Meldung an die Aufsichtsbehörde: Binnen 72 Stunden nach Bekanntwerden, es sei denn, der Vorfall führt voraussichtlich nicht zu einem Risiko. Die Dokumentationspflicht besteht in jedem Fall.
- Art. 34 DSGVO - Benachrichtigung der betroffenen Personen: Bei voraussichtlich hohem Risiko musst Du die Betroffenen unverzüglich und in klarer, einfacher Sprache informieren.
- Datenschutzkonferenz (DSK): Orientierungshilfen zur Risikobewertung von Datenpannen und Muster für die Meldung.
TYPISCHE STOLPERFALLEN
- Die Frist wird falsch berechnet. Sie läuft ab Kenntnis im Unternehmen, nicht ab Kenntnis der Geschäftsführung. Ein Mitarbeitender, der es Freitagmittag bemerkt, startet die Uhr.
- Keine Dokumentation nicht gemeldeter Vorfälle. Genau danach fragt die Aufsichtsbehörde, wenn sie einmal da ist.
- Niemand weiß, wem er melden soll. Der beste Notfallplan hilft nicht, wenn er im Ordner der IT liegt.
- Auskunftsersuchen nicht erkannt. Eine formlose E-Mail "Was habt ihr über mich gespeichert?" ist ein wirksames Auskunftsersuchen und startet die Monatsfrist.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Bei einer Datenpanne zählen Stunden. Wer dann erst die Zuständigkeiten klärt, verliert die halbe Frist.
Externe Datenschutzbeauftragte: Als externe Datenschutzbeauftragte sind wir im Ernstfall Deine erste Adresse: Risikobewertung, Meldeentscheidung und Kontakt zur Aufsichtsbehörde.
Datenschutz-Audit: Prozessprüfung mit priorisierter Maßnahmenliste - damit Meldekette und Auskunftsprozess stehen, bevor Du sie brauchst.
Mehr zum Thema: Datenschutzgrundverordnung auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
