Datenschutz: Dokumentation einer Schutzverletzung

Kurzbeschreibung

Nach Art. 33 Abs. 5 DSGVO muss im Falle von Schutzverletzungen personenbezogener Daten eine Dokumentation erfolgen. Sie ist in jedem Fall vom Verantwortlichen durchzuführen, auch wenn keine Meldung an Betroffene und/oder Aufsichtsbehörde erfolgen muss. Diese Vorlage enthält alle wichtigen Punkte.

Vorbemerkung

Diese Dokumentation muss so gestaltet sein, dass sie der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen des Artikels 33 DSGVO ermöglicht. Es ist wichtig zu beachten, dass diese Dokumentationspflicht unabhängig davon besteht, ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen erforderlich ist. Die Dokumentation dient sowohl der internen Nachvollziehbarkeit als auch als Nachweis gegenüber der Aufsichtsbehörde im Falle einer Prüfung.

Erklärung von Entscheidungen

Unterlässt der Verantwortliche es beispielsweise im Falle einer Schutzverletzung, die etwa eine unberechtigte Kenntnisnahme von personenbezogenen Daten ermöglicht, eine Meldung nach Art. 33 Abs. 1 DSGVO durchzuführen, sind in der Dokumentation die Gründe dafür festzuhalten. Die Aufsichtsbehörde muss gem. Art. 33 Abs. 5 Satz 2 DSGVO im Prüfungsfall nachvollziehen können, ob die jeweiligen Gründe für eine etwaige Nichtmeldung gerechtfertigt waren.

Grundlage für Gegenmaßnahmen

Im Fall eines meldepflichtigen Ereignisses kann die Dokumentation ferner eine Grundlage für mögliche risikoreduzierende Gegenmaßnahmen sein, die von der Aufsichtsbehörde im Einzelfall angeordnet werden können. Letztlich wird die (fehlende) Dokumentation auch über mögliche Sanktionen (bspw. Höhe möglicher Strafzahlungen) entscheidend sein. Die Nachvollziehbarkeit des Ereignisses für die Aufsichtsbehörde bestimmt auch den Umfang der Dokumentation. Zu dokumentieren sind alle im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten. Demnach ist mehr festzuhalten als die in Art. 33 Abs.3 DSGVO genannten Informationen für die Mitteilung bei der Aufsichtsbehörde.

Standardisiertes Vorgehen festlegen

Im Rahmen eines Datenpannenprozesses, sollte auch für die Dokumentation ein standardisiertes Vorgehen im Unternehmen etabliert sein. Die zur Verfügung stehenden Fakten sollten möglichst unverzüglich festgehalten werden, damit keine relevanten Informationen verloren gehen, die für eine Prüfung nach Art. 33 Abs. 5 Satz 2 DSGVO entscheidend sein könnten.

Dokumentation von Schutzverletzungen personenbezogener Daten (Art. 33 DS-GVO) bei der Mustermann GmbH & Co. KG

• Dokument in Textverarbeitung übernehmen

Datum, Uhrzeit des Vorfalls und der Kenntnis des Vorfalls	00.00.20... Uhrzeit 00:00 Uhr Kenntnis am:
Art der Schutzverletzung: (Beschreibung der Schutzverletzung, z. B. unbefugter Zugriff, Datenverlust, Datenmanipulation etc.; auch kumulative Angabe möglich)
Kategorien betroffener Personen (Angabe der Kategorien, z. B. Kunden, Mitarbeiter, Lieferanten etc.)
Anzahl betroffener Personen (so genau wie möglich)
Betroffene Kategorien personenbezogener Daten: (z. B. Name, Adresse, Finanzdaten etc.)
Besondere Kategorien personenbezogener Daten (gemäß Art. 9 DSGVO) (hohes Risiko entsprechend berücksichtigen)
Kontext der Datenverarbeitung (z.B. Gesundheit-/Medizinbereich etc.)
Wahrscheinliche Folgen der Schutzverletzung: [Beschreibung der möglichen Auswirkungen, z. B. Identitätsdiebstahl, finanzielle Schäden, Rufschädigung etc.]
Ungefähre Zahl der betroffenen Datensätze
Voraussichtliche Ursache der Schutzverletzung (Angriff von außen, internes Fehlverhalten; mangelhafte Schutzmaßnahmen (TOM) etc., bitte näher beschreiben, einschließlich der involvierten Personen)
Maßnahmen zur Behebung der Schutzverletzung: (Beschreibung der ergriffenen oder geplanten Maßnahmen)
Maßnahmen zur Abmilderung der Auswirkungen: (Beschreibung der ergriffenen oder geplanten Maßnahmen)
Ergriffene Abhilfemaßnahmen: (Beschreibung der umgesetzten Maßnahmen)
Ergebnis der Risikoprognose
Alle im Zusammenhang mit der Schutzverletzung stehenden Fakten: (Detaillierte Beschreibung des Vorfalls)
Benachrichtigung der Betroffenen erfolgt? falls ja: Wann? falls nein: Warum nicht? (bitte begründen)
Benachrichtigung der Aufsichtsbehörde erfolgt? falls ja: Wann? falls nein: Warum nicht? (bitte begründen) Ist eine Rücksprache mit der Aufsichtsbehörde erfolgt? (insb. bei beabsichtigter "Responsible-Disclosure" empfehlenswert)
Sonstige sachverhaltsrelevante Informationen
Unterzeichner/Verantwortliche Person