Die ersten Stunden
- Die Verletzung eindämmen: das Leck stoppen, Konten sichern, Beweise sichern.
- Das Krisenteam und den Datenschutzbeauftragten hinzuziehen.
- Feststellen, wann Sie davon Kenntnis erlangt haben: Ab dann laufen die 72 Stunden.
- Herausfinden, welche Daten, wie viele Menschen und welche Folgen möglich sind.
Was die Meldung enthält (Artikel 33 Absatz 3)
- Die Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze.
- Die Anlaufstelle.
- Die wahrscheinlichen Folgen.
- Die ergriffenen oder vorgeschlagenen Maßnahmen.
Wenn Sie noch nicht alles wissen
Melden Sie fristgerecht und ergänzen Sie schrittweise, wie Artikel 33 Absatz 4 es erlaubt. Melden Sie später als nach 72 Stunden, müssen Sie die Gründe für die Verzögerung angeben.
Der Digital-Omnibus-Vorschlag der EU würde die Meldung von Datenpannen ändern. Prüfen Sie seinen Stand gegen den geltenden Text der DSGVO.
Wann die Betroffenen informiert werden
Artikel 34 verlangt, sie unverzüglich zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat, in klarer Sprache und mit dem, was sie zu ihrem Schutz tun können.
Jede Verletzung dokumentieren
Artikel 33 Absatz 5 verlangt, alle Verletzungen zu dokumentieren, auch nicht gemeldete: die Fakten, die Auswirkungen, die Maßnahmen und die Begründung Ihrer Entscheidung.
Fragen
- Wann beginnt die 72-Stunden-Frist?
- Wenn Sie von der Verletzung Kenntnis erlangen, also wenn Sie hinreichend sicher sind, dass personenbezogene Daten betroffen sind.
- Melden Auftragsverarbeiter an die Behörde?
- Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren (Artikel 33 Absatz 2). Der Verantwortliche meldet an die Behörde.
- Ist jede Verletzung meldepflichtig?
- Nein: nicht, wenn sie voraussichtlich nicht zu einem Risiko für die Menschen führt. Die Entscheidung und ihre Gründe müssen trotzdem dokumentiert werden.