Wie man ein verständliches Verfahren für eine Datenschutzverletzung vorbereitet

01

Die kurze Antwort

Ein verständliches Verfahren für eine Datenschutzverletzung legt im Voraus fest, wer den Vorfall erkennt, wer das Risiko bewertet und wer entscheidet, ob die Datenschutzbehörde zu benachrichtigen oder betroffene Personen zu informieren ist. Verantwortliche und Auftragsverarbeiter werden ermutigt, diese Schritte zu planen, bevor ein Vorfall eintritt, damit sie zügig und objektiv handeln können.

02

Was ist eine Verletzung des Schutzes personenbezogener Daten

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig. Nicht jeder Sicherheitsvorfall ist eine Datenschutzverletzung: Er gilt nur dann als solche, wenn personenbezogene Daten betroffen sind. Dazu gehören sowohl unbeabsichtigte Fehler, etwa das Versenden einer E-Mail an den falschen Empfänger, als auch vorsätzliche Handlungen wie Phishing.

03

Die drei grundlegenden Regeln für Auftragsverarbeiter

Schritte

1. Jede Verletzung des Schutzes personenbezogener Daten dokumentieren, auch solche, die als risikofrei eingeschätzt wurden.
2. Die zuständige Datenschutzbehörde innerhalb von 72 Stunden benachrichtigen, sofern ein Risiko für die betroffenen Personen nicht unwahrscheinlich ist.
3. Die Verletzung den betroffenen Personen unverzüglich mitteilen, wenn das Risiko für sie hoch ist.
4. Mindestens die wesentlichen Details des Vorfalls, seine Bewertung, seine Auswirkungen und die getroffenen Maßnahmen aufzeichnen, wie in Artikel 33 Absatz 5 der DSGVO gefordert.

04

Hypothetisches Beispiel

Szenario: Ein Mitarbeiter verliert einen USB-Stick mit personenbezogenen Daten von Kunden. Der Datenschutzbeauftragte erkennt den Vorfall, prüft, ob die Verschlüsselungsschlüssel kompromittiert wurden, und bestimmt, ob das Risiko für die betroffenen Personen hoch ist, bevor über die Benachrichtigung der Behörde oder die Mitteilung an die Kunden entschieden wird.

05

Elemente, die vor einem Vorfall bereitstehen sollten

• Eindeutige Kennungen und Authentifizierung für den Zugang zu IT-Systemen.
• Berechtigungsverwaltung mit regelmäßiger Überprüfung und Entzug veralteter Zugriffsrechte.
• Verschlüsselung der Daten, um unbefugten Zugriff zu verhindern.
• Eine Sicherheitsrichtlinie für Telearbeit und den Schutz privater, beruflich genutzter Geräte (BYOD).
• Ein Formular oder Verfahren, um Art, Auswirkungen und getroffene Maßnahmen für jeden Vorfall rasch zu erfassen.

06

Was ein Unternehmen konfigurieren kann, um den Prozess zu steuern

Eine Organisation kann mit ihrem Softwarepartner festlegen, wer für das Erkennen, Bewerten und Aufzeichnen eines Vorfalls verantwortlich ist, und dabei Datum, Art des Ereignisses, Risikobewertung und getroffene Maßnahmen im Einklang mit der Dokumentationspflicht aus Artikel 33 Absatz 5 nachhalten. Dies sind operative Entscheidungen, die konfiguriert oder angefordert werden müssen, keine bereits vorhandenen Funktionen.

07

Häufig gestellte Fragen zum internen Prozess

• Wer muss eine Verletzung dokumentieren? Der Verantwortliche, für jeden Vorfall, auch wenn er der Behörde nicht gemeldet wird.
• Wann sollten betroffene Personen benachrichtigt werden? Unverzüglich, wenn das Risiko für ihre Rechte und Freiheiten hoch ist.
• Muss die Behörde immer benachrichtigt werden? Nein, wenn ein Risiko für die betroffenen Personen unwahrscheinlich ist.

08

Nächster Schritt

Legen Sie mit Ihrem Team fest, wer erkennt, wer das Risiko bewertet und wer über die Benachrichtigung entscheidet, bevor ein tatsächlicher Vorfall eintritt.