Checkliste Datenpanne (DSGVO und revDSG)
Checkliste Datenpanne für kleine Teams: Vorfall eindämmen, Risiko bewerten, Meldung nach Art. 33 DSGVO bzw. an den EDÖB prüfen und sauber dokumentieren.
- Typischer Rhythmus pro Vorfall
- Die Checkliste 4 Abschnitte, 21 Punkte
- Variablen
{{incident_id}}
Diese Checkliste starten, sobald der Verdacht besteht, dass personenbezogene Daten verloren gegangen, offengelegt, verändert oder unbefugt abgerufen worden sind. Typische Fälle sind eine E-Mail an den falschen Verteiler, ein öffentlich zugänglicher Speicher, ein gestohlener Laptop oder ein übernommenes Konto. Nach der DSGVO beginnt die Meldefrist, wenn der Verantwortliche von der Panne erfährt, nicht erst am Ende der Untersuchung. Den Durchlauf deshalb früh starten.
Wer verantwortlich ist
Eine Person übernimmt die Leitung, trifft Entscheidungen und führt die Zeitachse. Technische Fachleute kümmern sich um die Eindämmung, die oder der Datenschutzbeauftragte bzw. die interne Datenschutzstelle um die Meldeentscheidung. Bei schweren Fällen eine Anwältin oder einen Anwalt beiziehen.
DSGVO und revDSG
Nach Art. 33 DSGVO wird die Aufsichtsbehörde möglichst innerhalb von 72 Stunden informiert, außer die Panne führt voraussichtlich zu keinem Risiko. Bei hohem Risiko sind nach Art. 34 auch die Betroffenen zu benachrichtigen. In der Schweiz verlangt Art. 24 revDSG eine Meldung an den EDÖB "so rasch als möglich", wenn die Verletzung voraussichtlich zu einem hohen Risiko führt.
Typische Fehler
- Auf Gewissheit warten. Die Meldung kann mit dem aktuellen Stand erfolgen und später ergänzt werden.
- Beweise beim Aufräumen vernichten. Logs sichern, bevor Server neu aufgesetzt oder Postfächer zurückgesetzt werden.
- "Kein Risiko" entscheiden, ohne es zu begründen. Auch nicht gemeldete Pannen dokumentieren.
- Auftraggeber vergessen. Als Auftragsverarbeiter die Kunden rasch informieren.
Passen Sie die Checkliste an Ihre Rechtsordnung an; sie ist keine Rechtsberatung.
Die Checkliste: Datenpanne {{incident_id}}
Feststellen und eindämmen
-
Zeitpunkt der Entdeckung und meldende Person festgehalten
Dieser Zeitpunkt ist für die Meldefristen entscheidend. Ihn vor allem anderen notieren.
-
Leitung für
{{incident_id}}bestimmt und vertraulichen Kanal eröffnet -
Offenlegung gestoppt: Zugänge entzogen, Zugangsdaten geändert, Speicher geschlossen oder Nachricht zurückgerufen
-
Beweise gesichert: Logs exportiert, Snapshots erstellt, betroffene Nachrichten gespeichert
-
Geprüft, ob die Panne noch andauert
Risiko bewerten
-
Betroffene Datenkategorien bestimmt
-
Anzahl betroffener Personen und Datensätze geschätzt
-
Festgehalten, ob besondere Kategorien, Finanz- oder Ausweisdaten betroffen sind
-
Festgehalten, ob die Daten verschlüsselt waren und der Schlüssel nicht offengelegt wurde
-
Mögliche Folgen für die Betroffenen bewertet und Risikostufe dokumentiert
Melden
-
Entscheid zur Meldung an die Aufsichtsbehörde getroffen und begründet
DSGVO: möglichst innerhalb von 72 Stunden ab Kenntnis, außer es besteht voraussichtlich kein Risiko (Art. 33). Zuständig ist in Deutschland die Datenschutzbehörde des jeweiligen Bundeslandes, in Österreich die Datenschutzbehörde.
-
Meldung an die Aufsichtsbehörde eingereicht oder begründet, warum sie entfällt
-
Meldung an den EDÖB geprüft, falls Personen in der Schweiz betroffen sind optional
Art. 24 revDSG: so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt.
-
Benachrichtigung der Betroffenen geprüft und verständlichen Text vorbereitet
Nach Art. 34 DSGVO bei voraussichtlich hohem Risiko.
-
Auftraggeber bzw. Verantwortliche informiert, falls Sie als Auftragsverarbeiter handeln
-
Cyberversicherung informiert, falls vorhanden optional
-
Anzeige bei der Polizei erstattet, falls eine Straftat vorliegt optional
Wiederherstellen und lernen
-
Ursache behoben und Systeme in einen sicheren Zustand zurückgeführt
-
Missbrauch der offengelegten Daten oder Zugangsdaten überwacht
-
Panne mit Sachverhalt, Auswirkungen und Maßnahmen im Register der Datenpannen dokumentiert
-
Nachbesprechung ohne Schuldzuweisung durchgeführt und Folgemaßnahmen als Tickets erfasst
Checkliste als Markdown
Häufige Fragen
Wann muss eine Datenpanne nach der DSGVO gemeldet werden?
Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst innerhalb von 72 Stunden ab Kenntnis an die zuständige Aufsichtsbehörde. Ausgenommen sind Pannen, die voraussichtlich zu keinem Risiko für die Betroffenen führen. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen.
Was gilt in der Schweiz nach dem revDSG?
Nach Art. 24 revDSG wird eine Datensicherheitsverletzung dem EDÖB so rasch als möglich gemeldet, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Eine feste Stundenfrist gibt es nicht. Die Meldeschwelle liegt damit höher als unter der DSGVO, die schon bei einem einfachen Risiko eine Meldung verlangt.
Müssen auch nicht gemeldete Datenpannen dokumentiert werden?
Ja. Die DSGVO verlangt, alle Verletzungen des Schutzes personenbezogener Daten mit Sachverhalt, Auswirkungen und ergriffenen Maßnahmen zu dokumentieren. Halten Sie auch fest, warum Sie auf eine Meldung verzichtet haben, damit die Entscheidung später nachvollziehbar ist.
Aktualisiert