Eine Datenschutzverletzung strukturiert erfassen, Risiken einordnen und die nächsten Schritte festlegen.
Mag. Bernhard Brandauer, Rechtsanwalt
BRANDAUER Rechtsanwälte
Mag. Bernhard Brandauer begleitet Unternehmen bei der rechtlichen Einordnung und bei der Umsetzung datenschutzrechtlicher Anforderungen.
Bei einer Datenpanne zählt zunächst ein belastbarer Überblick: Was ist passiert, welche Daten waren betroffen, wie viele Personen sind wahrscheinlich erfasst und welche Schutzmaßnahmen haben den Vorfall begrenzt? Dokumentieren Sie den Kenntniszeitpunkt so früh wie möglich.
Der Check führt durch diese Erstaufnahme. Er macht Unsicherheiten sichtbar und erinnert an den 72-Stunden-Prozess nach Art. 33 DSGVO. Ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, hängt von der konkreten Risikobewertung ab.
Mag. Bernhard Brandauer, Rechtsanwalt
Beantworten Sie die Fragen nach dem derzeit bekannten Sachverhalt. Wählen Sie bei fehlenden Informationen die unsichere Antwort und holen Sie die fehlenden Fakten nach.
Erfassen Sie auch einen Verdacht. Ein unbefugter Zugriff, ein falscher Empfänger, Verlust, Verschlüsselung oder eine nicht verfügbare Datenbank können Datenschutzverletzungen sein.
Sichern Sie die betroffenen Systeme und Unterlagen, begrenzen Sie weitere Zugriffe und dokumentieren Sie Daten, Personen, Ursache, Maßnahmen und den Kenntniszeitpunkt. Auch wenn eine Meldung derzeit eher nicht erforderlich erscheint, muss die Bewertung nachvollziehbar bleiben.
Ein begrenzter Vorfall ist nicht automatisch erledigt, wenn mehr als 72 Stunden vergangen sind. Prüfen Sie die Meldepflicht anhand des Risikos, halten Sie den tatsächlichen Kenntniszeitpunkt fest und dokumentieren Sie die Gründe für jede Verzögerung.
Bei sensiblen Daten, größerem Umfang, offenem Zugriff oder fehlender Begrenzung besteht regelmäßig erhöhter Prüfbedarf. Sichern Sie Beweise, stoppen Sie weitere Zugriffe, informieren Sie die zuständigen Stellen und prüfen Sie eine Meldung an die Aufsichtsbehörde sowie eine Benachrichtigung betroffener Personen.
Bewerten Sie unverzüglich, ob die Datenschutzverletzung trotz des Zeitablaufs zu melden ist. Dokumentieren Sie Kenntniszeitpunkt, Verzögerungsgrund, Schutzmaßnahmen und die Entscheidung zur Benachrichtigung betroffener Personen. Eine nachträgliche Meldung wird nicht dadurch ausgeschlossen, dass 72 Stunden bereits vergangen sind.
Behandeln Sie den Zeitpunkt nicht als nebensächlich. Sichern Sie Logs, E-Mails, Meldungen und Systemdaten, bestimmen Sie den ersten belastbaren Kenntnisstand und führen Sie die Risikobewertung parallel zur technischen Aufklärung fort.
Ohne Kenntnis der betroffenen Daten lässt sich das Risiko nicht zuverlässig bewerten. Sperren Sie weitere Zugriffe, sichern Sie Kopien und Protokolle und klären Sie Datenkategorien, Personenkreis, Empfänger und Kenntniszeitpunkt. Danach führen Sie die Meldungsprüfung fort.
Sichern Sie die Beweise, stoppen Sie weitere Zugriffe und führen Sie eine kurze Zeitlinie. Halten Sie Datenkategorien, Personenkreis, Empfänger, Ursache, Schutzmaßnahmen und den Kenntniszeitpunkt fest. Prüfen Sie die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und eine Information betroffener Personen nach Art. 34 DSGVO getrennt voneinander.
Nein. Eine Meldung an die Aufsichtsbehörde ist grundsätzlich zu prüfen, wenn die Datenschutzverletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Die Bewertung und auch die Entscheidung gegen eine Meldung sollten dokumentiert werden.
Entscheidend ist, wann der Verantwortliche ausreichende Kenntnis von einer Datenschutzverletzung hat. Der genaue Kenntniszeitpunkt und die Informationskette sollten festgehalten werden. Bei Unsicherheit darf die technische Aufklärung nicht dazu führen, dass Eindämmung und Risikobewertung liegen bleiben.
Eine Benachrichtigung ist insbesondere zu prüfen, wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat. Das ist eine eigene Prüfung und nicht mit der Meldung an die Aufsichtsbehörde gleichzusetzen.
Der Auftragsverarbeiter muss den Verantwortlichen ohne unangemessene Verzögerung informieren. Danach muss der Verantwortliche die eigene Risikobewertung, Dokumentation und gegebenenfalls Meldung vornehmen. Vertragliche Meldewege können die interne Reaktion beschleunigen, ersetzen aber nicht die gesetzliche Prüfung.
Neue Beiträge und rechtliche Hinweise der Kanzlei erhalten Sie mit BRANDaktuellen Rechtsnews.
Newsletter abonnieren →Den organisatorischen Rahmen für Risikobewertung, Dokumentation und Meldungsprüfung vertiefen.
Erstmaßnahmen und offene Punkte für das interne Incident-Team geordnet festhalten.
Rollen, Meldewege und Verantwortlichkeiten bei externen Anbietern prüfen.
Der Erstcheck liefert eine erste Orientierung. Er ersetzt keine Prüfung des konkreten Vorfalls, der betroffenen Personen und der technischen sowie organisatorischen Maßnahmen. Eine Meldung wird nicht automatisch ausgelöst.
Schildern Sie uns kurz, worum es geht. Wir ordnen die Ausgangslage ein und besprechen, welche Unterlagen und welcher nächste Schritt für Ihr Unternehmen sinnvoll sind.
Adresse
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg Österreich
Telefon
+43 662 6280000