Data-Breach

Datenschutz-Vorfall, was nun? Tipps zum Vorgehen inkl. Muster

Was ist laut DSGVO eigentlich ein Datenschutz-Vorfall?

Datenschutz-Vorfälle sind Unregelmäßigkeiten in der Verarbeitung personenbezogener Daten, die zu einem Risiko für die Betroffenen führen.

Der bloße Verlust eines (unverschlüsselten) Laptops, der erfolgreiche Hacking-Angriff auf die Bewerberdatenbank oder eine Ransomware-Attacke können einen meldepflichtigen Datenschutz-Vorfall darstellen.

Wie erkennt man einen Datenschutz-Vorfall?

Hierfür gibt es natürlich mehrere Ansätze, wobei die Meldung durch Mitarbeiter bei Erkennung eines Vorfalls eine große Rolle spielen. Durch regelmäßige Sensibilisierungsmaßnahmen sollte unbedingt auf die Notwendigkeit eines Datenschutz-Vorfalls hingewiesen werde. Weiters sollte anhand praktischer Beispiele auch gezeigt werden, was meldepflichtige Datenschutz-Verstöße darstellen.

Neben dieser essentiellen Maßnahme gibt es auch technische Systeme zur Erkennung, Protokollierung und Alamierung von Datenschutz-Vorfälle, wie beispielsweise ein SIEM (Security Information and Event Management) System.

Reaktionsplan

Zur Bewältigung von Datenpannen sollten sich Unternehmen mittels eines Reaktionsplans auf das Handling von Datenschutz-Vorfällen vorbereiten. Dieser Prozess sollte im Unternehmen bekannt gemacht und etabliert werden, sodass bei einem Data-Breach sofortige Maßnahmen eingeleitet werden können. Wichtig dabei ist, je nach Risiko, die Meldepflichten einzuhalten.

Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen, so ist eine Meldung binnen 72 Stunden bei der zuständigen Datenschutzbehörde durchzuführen. Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, so müssen diese unverzüglich verständigt werden.

Vorgehensweise

1. Feststellung bzw. Entgegennahme eines Datenschutz-Vorfalls
   (die Meldung kann von interner als auch externer Stelle durchgeführt werden)
2. Analyse des Datenschutz-Vorfalls
   (Beurteilung der Datenpanne, welche Art der Datenpanne liegt vor, wer sind die Betroffenen)
3. Prüfung ob Auftragsverarbeiter betroffen sind
4. Meldewesen aktivieren
5. Datenschutz-Vorfalls nach definiertem Prüfverfahren beurteilen
6. Prüfung der Umsetzung von Erst-Maßnahmen
7. Prüfung, ob eine Meldung an die Aufsichtsbehörde bzw. an Betroffene durchgeführt werden muss
8. Vorfall bearbeiten und lösen
   (den Vorfall nach definierten Incident-Response Verfahren abarbeiten)
9. Kommunikationskanäle festlegen und Meldewesen einleiten
10. Maßnahmen für KVP treffen
11. Dokumentation und Sicherstellung der Nachweisbarkeit

Sollten Sie Unterstützung bei der Etablierung eines Data-Breach Prozess benötigen, schreiben Sie uns gerne an!

Unterstützung anfordern

Muster-Vorlage zum Download

Für die Dokumentation von Datenschutz-Vorfällen stellen wir Ihnen folgend unsere bewährte Vorlage zur Verfügung.