Kurzbeschreibung
Nach Art. 33 Abs. 5 DSGVO muss im Falle von Schutzverletzungen personenbezogener Daten eine Dokumentation erfolgen. Sie ist in jedem Fall vom Verantwortlichen durchzuführen, auch wenn keine Meldung an Betroffene und/oder Aufsichtsbehörde erfolgen muss. Diese Vorlage enthält alle wichtigen Punkte.
Vorbemerkung
Diese Dokumentation muss so gestaltet sein, dass sie der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen des Artikels 33 DSGVO ermöglicht. Es ist wichtig zu beachten, dass diese Dokumentationspflicht unabhängig davon besteht, ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen erforderlich ist. Die Dokumentation dient sowohl der internen Nachvollziehbarkeit als auch als Nachweis gegenüber der Aufsichtsbehörde im Falle einer Prüfung.
Erklärung von Entscheidungen
Unterlässt der Verantwortliche es beispielsweise im Falle einer Schutzverletzung, die etwa eine unberechtigte Kenntnisnahme von personenbezogenen Daten ermöglicht, eine Meldung nach Art. 33 Abs. 1 DSGVO durchzuführen, sind in der Dokumentation die Gründe dafür festzuhalten. Die Aufsichtsbehörde muss gem. Art. 33 Abs. 5 Satz 2 DSGVO im Prüfungsfall nachvollziehen können, ob die jeweiligen Gründe für eine etwaige Nichtmeldung gerechtfertigt waren.
Grundlage für Gegenmaßnahmen
Im Fall eines meldepflichtigen Ereignisses kann die Dokumentation ferner eine Grundlage für mögliche risikoreduzierende Gegenmaßnahmen sein, die von der Aufsichtsbehörde im Einzelfall angeordnet werden können. Letztlich wird die (fehlende) Dokumentation auch über mögliche Sanktionen (bspw. Höhe möglicher Strafzahlungen) entscheidend sein. Die Nachvollziehbarkeit des Ereignisses für die Aufsichtsbehörde bestimmt auch den Umfang der Dokumentation. Zu dokumentieren sind alle im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten. Demnach ist mehr festzuhalten als die in Art. 33 Abs.3 DSGVO genannten Informationen für die Mitteilung bei der Aufsichtsbehörde.
Standardisiertes Vorgehen festlegen
Im Rahmen eines Datenpannenprozesses, sollte auch für die Dokumentation ein standardisiertes Vorgehen im Unternehmen etabliert sein. Die zur Verfügung stehenden Fakten sollten möglichst unverzüglich festgehalten werden, damit keine relevanten Informationen verloren gehen, die für eine Prüfung nach Art. 33 Abs. 5 Satz 2 DSGVO entscheidend sein könnten.
Dokumentation von Schutzverletzungen personenbezogener Daten (Art. 33 DS-GVO) bei der Mustermann GmbH & Co. KG
| Datum, Uhrzeit des Vorfalls und der Kenntnis des Vorfalls |
00.00.20... Uhrzeit 00:00 Uhr Kenntnis am: |
| Art der Schutzverletzung: (Beschreibung der Schutzverletzung, z. B. unbefugter Zugriff, Datenverlust, Datenmanipulation etc.; auch kumulative Angabe möglich) |
|
| Kategorien betroffener Personen (Angabe der Kategorien, z. B. Kunden, Mitarbeiter, Lieferanten etc.) |
|
| Anzahl betroffener Personen (so genau wie möglich) |
|
| Betroffene Kategorien personenbezogener Daten: (z. B. Name, Adresse, Finanzdaten etc.) |
|
| Besondere Kategorien personenbezogener Daten (gemäß Art. 9 DSGVO) (hohes Risiko entsprechend berücksichtigen) |
|
| Kontext der Datenverarbeitung (z.B. Gesundheit-/Medizinbereich etc.) |
|
| Wahrscheinliche Folgen der Schutzverletzung: [Beschreibung der möglichen Auswirkungen, z. B. Identitätsdiebstahl, finanzielle Schäden, Rufschädigung etc.] |
|
| Ungefähre Zahl der betroffenen Datensätze |
|
| Voraussichtliche Ursache der Schutzverletzung (Angriff von außen, internes Fehlverhalten; mangelhafte Schutzmaßnahmen (TOM) etc., bitte näher beschreiben, einschließlich der involvierten Personen) |
|
| Maßnahmen zur Behebung der Schutzverletzung: (Beschreibung der ergriffenen oder geplanten Maßnahmen) |
|
| Maßnahmen zur Abmilderung der Auswirkungen: (Beschreibung der ergriffenen oder geplanten Maßnahmen) |
|
| Ergriffene Abhilfemaßnahmen: (Beschreibung der umgesetzten Maßnahmen) |
|
| Ergebnis der Risikoprognose |
|
| Alle im Zusammenhang mit der Schutzverletzung stehenden Fakten: (Detaillierte Beschreibung des Vorfalls) |
|
Benachrichtigung der Betroffenen erfolgt? falls ja: Wann? falls nein: Warum nicht? (bitte begründen) |
|
Benachrichtigung der Aufsichtsbehörde erfolgt? falls ja: Wann? falls nein: Warum nicht? (bitte begründen) Ist eine Rücksprache mit der Aufsichtsbehörde erfolgt? (insb. bei beabsichtigter "Responsible-Disclosure" empfehlenswert) |
|
| Sonstige sachverhaltsrelevante Informationen |
|
| Unterzeichner/Verantwortliche Person |
|