MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Sie erstellen ein Protokoll für Datenschutzverletzungen, indem Sie in einem zentralen Leitfaden dokumentieren: wie Mitarbeitende eine Datenschutzverletzung erkennen und intern melden, wer den Schweregrad beurteilt, wann die Datenschutzbehörde zu informieren ist (Art. 33 DSGVO), wann die betroffenen Personen zu informieren sind (Art. 34 DSGVO) und wie jeder Vorfall im internen Register erfasst wird (Art. 33 Abs. 5 DSGVO). Das Protokoll muss praktikabel sein, insbesondere unter Zeitdruck, da die 72-Stunden-Meldefrist kaum Raum für Unklarheiten hinsichtlich der Zuständigkeiten lässt.
Die kurze Antwort
- Erkennen und internes Melden von Lecks: Wie ein Mitarbeiter ein Leck erkennt und es sofort meldet.
- Beurteilung: Wer bewertet das Risiko und anhand welcher Kriterien?
- Meldung an die Datenschutzbehörde: wann und wie, innerhalb von 72 Stunden (Art. 33 DSGVO).
- Information der betroffenen Personen: im Falle eines hohen Risikos in klarer Sprache (Art. 34 DSGVO).
- Dokumentation: Jeder Verstoß muss im Register erfasst werden (Art. 33 Abs. 5 DSGVO), auch ohne vorherige Benachrichtigung.
Erstellung eines Protokolls für Datenschutzverletzungen: die Standardkomponenten
Ein praktikables Protokoll ist kein theoretisches Dokument, sondern ein schrittweiser Plan, dem jeder folgen kann. Die festen Bestandteile:
- Definition: Was ein Datenleck ist, mit erkennbaren Beispielen wie einer irrtümlich versendeten E-Mail oder einem verloren gegangenen Datenträger.
- Meldestelle: Hier meldet ein Mitarbeiter einen Verdacht auf ein Leck direkt; Kontaktdaten und 24-Stunden-Erreichbarkeit sind vorhanden.
- Beurteilungskriterien: Wie Sie das Risiko abwägen, wobei Sie sich auf die Folgen für die Beteiligten konzentrieren.
- Entscheidungsbaum: Meldung an die zuständige Behörde, Information der betroffenen Personen.
- Register: das Format, in dem jeder Vorfall erfasst wird.
- Evaluation: Wie Sie im Nachhinein aus dem Vorfall lernen und die Sicherheit verbessern.
Rollen und Verantwortlichkeiten
Unter Zeitdruck muss klar sein, wer die Entscheidungen trifft. Weisen Sie daher konkrete Rollen zu. Wer nimmt die internen Meldungen entgegen, wer beurteilt deren Schweregrad, wer entscheidet über die Meldung an die Datenschutzbehörde und wer verfasst die Mitteilung an die Betroffenen? In einem kleinen Unternehmen mag dies eine oder zwei Personen sein, aber benennen Sie unbedingt eine Vertretung für den Fall, dass die erste Person ausfällt. Ein Verfahren, das von einem einzelnen abwesenden Mitarbeiter abhängt, versagt genau im entscheidenden Moment.
Die 72-Stunden-Uhr funktionsfähig machen
Die 72-Stunden-Frist gemäß Art. 33 DSGVO beginnt, sobald Sie Kenntnis von der Datenschutzverletzung erlangen. Diese Frist ist kürzer als sie scheint, insbesondere wenn die Verletzung am Wochenende entdeckt wird. Integrieren Sie daher eine schnelle Bewertung in Ihr Protokoll: eine erste Einschätzung innerhalb weniger Stunden, gefolgt von einer Entscheidung. Fügen Sie eine Klausel hinzu, die es ermöglicht, die Meldung an die Datenschutzbehörde gegebenenfalls zu ergänzen, falls noch nicht alle Informationen vorliegen. So verhindern Sie, dass die Frist abläuft, weil die Untersuchung noch läuft.
Erläutern Sie die Meldeschwelle konkret. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Geben Sie Beispiele aus Ihrem Unternehmen an, damit der Prüfer nicht jedes Mal von vorn beginnen muss.
Kommunikation mit den Stakeholdern
Besteht ein hohes Risiko für die betroffenen Personen, müssen Sie diese informieren (Art. 34 DSGVO). Erstellen Sie dazu einen Standardtext, den Sie schnell anpassen können. Dieser Text beschreibt in verständlicher Sprache, was passiert ist, welche Daten betroffen sind, welche Folgen möglich sind und welche Maßnahmen die Betroffenen selbst ergreifen können, z. B. ihr Passwort ändern. Eine fertige Vorlage spart wertvolle Zeit, wenn Sie diese gerade nicht zur Verfügung haben.
Ein praktisches Beispiel: Ein Online-Shop entdeckt am Samstag, dass eine Kundendatenbank zugänglich war. Dank des Protokolls wird der Verantwortliche umgehend benachrichtigt, das Risiko aufgrund der offengelegten Passwörter als hoch eingestuft und am Sonntag eine Meldung mit dem für Kunden vorbereiteten Standardtext an die niederländische Datenschutzbehörde (AP) erstattet. Ohne das Protokoll wäre der Montag verstrichen, bevor jemand die Frist bemerkt hätte.
Anmeldung und Nachsorge
Führen Sie ein internes Register als Standardschritt in Ihrem Protokoll. Dokumentieren Sie jede Datenschutzverletzung, auch solche, die Sie nicht melden, einschließlich der Fakten, der Folgen und der ergriffenen Maßnahmen (Art. 33 Abs. 5 DSGVO). Schließen Sie mit einer Auswertung ab: Was ist schiefgelaufen und welche technischen oder organisatorischen Maßnahmen verhindern ein erneutes Auftreten? So wird jeder Vorfall auch zu einer Verbesserung Ihrer Sicherheit.
Ehrliche Empfehlung
Für kleine Unternehmen mit wenigen und wenig sensiblen personenbezogenen Daten lässt sich mithilfe einer guten Vorlage leicht selbst ein praktikables Protokoll erstellen. Solange die 72-Stunden-Frist, die Meldeschwelle und die Registrierungspflicht korrekt berücksichtigt und konkrete Rollen zugewiesen werden, ist kein Anwalt erforderlich.
Lassen Sie Ihr Protokoll unbedingt überprüfen, wenn Sie mit besonderen personenbezogenen Daten, mehreren Prozessoren oder großen Datenmengen arbeiten. In solchen Fällen ist eine genauere Prüfung erforderlich, und Sie müssen sicherstellen, dass die Benachrichtigungskette und die Risikobewertung korrekt sind. Im Falle eines tatsächlichen Vorfalls entscheidet diese Konfiguration darüber, ob Sie rechtzeitig und richtig handeln. Ein Fehler in diesem Bereich ist kostspieliger als die Überprüfung des Protokolls.
Lesen Sie auch die Erläuterungen zu Datenschutzverletzungsprotokollen und den damit verbundenen Kosten . Sie können ein solches Dokument über die entsprechende Seite erstellen lassen.
Häufig gestellte Fragen
Dokumentieren Sie in einem einzigen Protokoll, wie Mitarbeiter Datenschutzverletzungen erkennen und melden, wer die Schwere des Vorfalls beurteilt, wann die niederländische Datenschutzbehörde und die betroffenen Personen zu informieren sind und wie jeder Vorfall im Register erfasst wird. Legen Sie spezifische Rollen und Vertretungen fest.
Eine klare Definition einer Datenschutzverletzung, eine interne Meldestelle, Bewertungskriterien, ein Entscheidungsbaum für die Meldung, das Meldeformat und ein Bewertungsschritt sind erforderlich. Ohne diese Komponenten bietet das Protokoll nicht die notwendige Orientierung unter Zeitdruck.
Führen Sie eine schnelle Erstbewertung innerhalb weniger Stunden durch und treffen Sie eine Entscheidung innerhalb von 72 Stunden (Art. 33 DSGVO). Weisen Sie darauf hin, dass eine Meldung an die Datenschutzbehörde später ergänzt werden kann, falls noch nicht alle Informationen vorliegen.
Weisen Sie konkrete Rollen zu: Wer nimmt die Berichte entgegen, wer bewertet das Risiko, wer entscheidet über den Bericht und wer kommuniziert mit den Beteiligten? Benennen Sie stets eine Vertretung, damit der Ablauf nicht durch die Abwesenheit einer Person ins Stocken gerät.
Ja. Sie müssen jede Datenschutzverletzung, auch eine, die Sie nicht melden, in einem internen Register dokumentieren, das die Fakten, Folgen und ergriffenen Maßnahmen enthält (Art. 33 Abs. 5 DSGVO). Die niederländische Datenschutzbehörde kann dieses Register zu Überprüfungszwecken anfordern.
Im Falle eines hohen Risikos informieren Sie die betroffenen Personen in verständlicher Sprache (Art. 34 DSGVO): Was ist passiert, welche Daten sind betroffen und was können sie selbst tun? Ein vorbereiteter Standardtext spart in einer hektischen Situation Zeit.
Beachten Sie die im Auftragsverarbeitungsvertrag festgelegte Verpflichtung der Auftragsverarbeiter, Sie unverzüglich über Datenschutzverletzungen zu informieren (Art. 33 Abs. 2 DSGVO). So ist klar, wer wen warnt, und es geht keine Zeit in der Benachrichtigungskette verloren.
