Datenpanne dokumentieren
Sichern Sie die ersten Fakten, ordnen Sie das Risiko ein und halten Sie jede Entscheidung nachvollziehbar fest.
Datenpannen strukturiert erfassen: Sofortmaßnahmen, betroffene Daten, Risiko, Meldeprüfung und nachvollziehbare Dokumentation.
Bei einer Datenpanne zählt zuerst ein verlässlicher Überblick. Halten Sie fest, was passiert ist, wann die zuständige Stelle davon erfahren hat und welche personenbezogenen Daten betroffen sein können. Eine vorläufige Einschätzung darf Unsicherheiten enthalten, muss diese aber ausdrücklich benennen.
Diese Checkliste unterstützt das interne Incident-Team bei der Erstaufnahme und bei der laufenden Dokumentation. Sie deckt Verlust, Zerstörung, Veränderung und unbefugte Offenlegung personenbezogener Daten ab. Eine technische Ursachenanalyse kann parallel weiterlaufen, ersetzt aber nicht die datenschutzrechtliche Bewertung.
Meldung an die Aufsichtsbehörde und Benachrichtigung betroffener Personen sind getrennte Fragen. Prüfen Sie beide anhand des konkreten Risikos und aktualisieren Sie die Entscheidung, wenn neue Informationen hinzukommen.
Arbeiten Sie die Punkte nach dem derzeit bekannten Sachverhalt ab. Jeder Haken wird nur auf diesem Gerät gespeichert. Sie können den Bearbeitungsstand zurücksetzen oder die Liste für die interne Besprechung drucken.
0 von 30 Punkten erledigt
01 Vorfall sichern und Kenntniszeitpunkt festhalten
Sichern Sie zuerst die Handlungsfähigkeit und trennen Sie gesicherte Tatsachen von bloßen Annahmen.
02 Betroffene Daten und Personen eingrenzen
Die Risikobewertung braucht konkrete Angaben zu Datenarten, Personenkreis, Zugriff und Reichweite.
03 Zeitlinie und Risiko bewerten
Dokumentieren Sie nicht nur das Ergebnis, sondern auch den Weg zu Ihrer Einschätzung.
04 Meldung und Kommunikation vorbereiten
Bereiten Sie Entscheidungen und Mitteilungen auf Basis der dokumentierten Fakten vor, ohne eine automatische Meldepflicht anzunehmen.
05 Incident-Akte abschließen und nachhalten
Eine nicht gemeldete Datenpanne darf nicht spurlos verschwinden. Die Akte muss die Bewertung und die Gründe dafür zeigen.
Worauf es rechtlich ankommt
Art. 33 Abs. 5 DSGVO verpflichtet Verantwortliche, Verletzungen des Schutzes personenbezogener Daten zu dokumentieren. Die Dokumentation muss die mit der Verletzung zusammenhängenden Tatsachen, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen enthalten. Das gilt auch dann, wenn nach der Risikobewertung keine Meldung an die Aufsichtsbehörde erfolgt.
Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen, ist eine Meldung nach Art. 33 DSGVO grundsätzlich ohne unangemessene Verzögerung und möglichst binnen 72 Stunden ab Kenntnis zu prüfen. Besteht voraussichtlich ein hohes Risiko, kommt zusätzlich Art. 34 DSGVO in Betracht. Die technische Aufklärung darf weiterlaufen, während die datenschutzrechtliche Bewertung fortgeschrieben wird.
Ein Auftragsverarbeiter muss den Verantwortlichen über eine Verletzung grundsätzlich ohne unangemessene Verzögerung informieren. In Österreich ist die Datenschutzbehörde die zuständige Aufsichtsbehörde. Welche Angaben und Maßnahmen im konkreten Vorfall erforderlich sind, hängt insbesondere von Datenarten, Umfang, Empfängern, Schutzmaßnahmen und möglichen Folgen ab.
Diese Checkliste ist eine allgemeine Orientierung zur österreichischen Rechtslage und ersetzt keine Prüfung des konkreten Vorfalls. Sie ist kein fertiges Meldeschreiben und trifft keine automatische Entscheidung über eine Melde- oder Benachrichtigungspflicht.
Was Sie als Nächstes tun können
Sichern Sie die bisherige Akte und lassen Sie die Risikobewertung mit den zuständigen Personen fortschreiben. Wenn Datenumfang, Empfänger oder Risiko noch nicht zuverlässig feststehen, behandeln Sie diese Punkte als offen und prüfen Sie sie erneut, sobald neue Fakten vorliegen.
Mag. Bernhard Brandauer, Rechtsanwalt
BRANDAUER Rechtsanwälte
Mag. Bernhard Brandauer begleitet Unternehmen bei der rechtlichen Einordnung und bei der Umsetzung datenschutzrechtlicher Anforderungen.
Datenschutzrechtliches Anliegen besprechen
Schildern Sie uns kurz, worum es geht. Wir ordnen die Ausgangslage ein und besprechen, welche Unterlagen und welcher nächste Schritt für Ihr Unternehmen sinnvoll sind.
Datenschutzrechtliche Frage klären
Adresse
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg Österreich
Telefon
+43 662 6280000