Protokoll zur Meldepflicht bei Datenpannen
Überlegungen
- Dena Textile Productions B.V. legt Wert auf eine gute Sicherung ihrer (elektronischen) Systeme, in denen personenbezogene Daten gespeichert und verarbeitet werden.
- Es ist nie ganz zu verhindern, dass es zu einer Datenpanne kommt.
- Dena Textile Productions B.V. ist gemäß der Datenschutz-Grundverordnung (DSGVO) verpflichtet, (schwerwiegende) Datenpannen der Aufsichtsbehörde für personenbezogene Daten und den Betroffenen zu melden.
- Dena Textile Productions B.V. möchte ihren gesetzlichen Verpflichtungen nachkommen.
- Dena Textile Productions B.V. hat daher eine Richtlinie formuliert, um so angemessen wie möglich zu handeln, falls es doch zu einer Datenpanne kommt.
1. Definition Datenpanne
Eine Datenpanne liegt vor, wenn es zu einer Sicherheitsverletzung kommt, die versehentlich oder unrechtmäßig zur Zerstörung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete Daten führt.
2. Interner Verantwortlicher für die Meldung von Datenpannen
Dena Textile Productions B.V. hat einen internen Verantwortlichen für die Bearbeitung von Datenpannen ernannt, der für die Meldung einer Datenpanne zuständig ist. Dieser Verantwortliche ist die Abteilung Marketing, mit der ersten Kontaktperson: Rolf van Eden, Telefonnummer +31 (0)318 588 596, E-Mail-Adresse sales@cheffix.eu, im Folgenden der interne Verantwortliche genannt.
3. Interne Meldung bei Entdeckung einer Datenpanne
Wer eine Datenpanne bei Dena Textile Productions B.V. entdeckt, meldet dies unverzüglich dem internen Verantwortlichen. Wenn möglich, sorgt die Person, die die Datenpanne entdeckt hat, gleichzeitig dafür, dass die durchgesickerten Daten sofort aus der Ferne gelöscht oder unzugänglich gemacht werden.
4. Untersuchung durch den internen Verantwortlichen
Der interne Verantwortliche untersucht unter anderem:
- ob personenbezogene Daten verloren gegangen sind oder unrechtmäßig verwendet werden könnten;
- wer oder welche Abteilungen innerhalb der Organisation an der Datenpanne beteiligt sind;
- ob ein Auftragsverarbeiter an dem Vorfall beteiligt ist.
5. Bekämpfung der Datenpanne
Der interne Verantwortliche stoppt die Datenpanne, wenn dies noch möglich ist, und ergreift ferner die notwendigen Maßnahmen, um die Datenpanne so gut wie möglich zu bekämpfen.
6. Feststellung der Folgen einer Datenpanne
Der interne Verantwortliche untersucht die möglichen Folgen der Datenpanne anhand der Art und des Umfangs der durchgesickerten Daten und stellt fest, welche nachteiligen Folgen für die Betroffenen entstehen können.
7. Zusammenarbeit bei der Bereitstellung von Daten zur Datenpanne
Der Entdecker/Melder der Datenpanne bietet dem internen Verantwortlichen die volle Zusammenarbeit an, indem er so schnell und so gut wie möglich (schriftlich) die folgenden Fragen beantwortet:
- Was ist passiert? (Beschreibung des Vorfalls)
- War es ein Versehen oder wurde es durch böswillige Absicht verursacht (z. B. gehackte Daten)?
- Wann ist es passiert? (Datum und Uhrzeit)
- Wann wurde es entdeckt?
- Welche Art von Daten (Register) sind durchgesickert?
- Sind die Daten verschlüsselt, und wenn ja, wie?
- Konnten die Daten aus der Ferne gelöscht oder unzugänglich gemacht werden, und wenn ja, ist das geschehen?
- Was sind die möglichen Folgen für die Betroffenen?
- Welche Personengruppe(n) ist/sind davon betroffen?
- Wie viele Personen sind davon (ungefähr) betroffen?
- Sind auch Daten von Personen in anderen EU-Ländern von der Datenpanne betroffen?
- Konnten bereits technische und/oder organisatorische Maßnahmen aufgrund des Vorfalls ergriffen werden?
8. Verfügbarkeit des Personals nach Entdeckung der Datenpanne
Der Verantwortliche der Abteilung, von der aus die Datenpanne stattfand, sowie der Entdecker der Datenpanne und alle Personen, die aufgrund ihrer Funktion oder ihres Wissens in der Lage sind, organisatorische und/oder technische Maßnahmen zu ergreifen, um die Folgen der Datenpanne zu begrenzen, halten sich die ersten 24 Stunden nach Entdeckung der Datenpanne für Beratungen mit dem internen Verantwortlichen bzw. eventuell von ihm benannten Experten und für die Durchführung von gegebenenfalls im Zusammenhang mit der Datenpanne anfallenden Arbeiten bereit.
9. Entscheidung über die Meldung von Datenpannen
Der interne Verantwortliche entscheidet so schnell wie möglich, jedoch in jedem Fall innerhalb von 60 Stunden nach Entdeckung der Datenpanne, gegebenenfalls in Absprache mit dem Verantwortlichen der Abteilung, von der aus die Datenpanne entdeckt wurde, und/oder von ihm benannten Experten, ob die Datenpanne der Aufsichtsbehörde für personenbezogene Daten und/oder den Betroffenen gemeldet werden muss. Eine Datenpanne wird grundsätzlich immer der Aufsichtsbehörde für personenbezogene Daten gemeldet, es sei denn, es ist unwahrscheinlich, dass die Datenpanne ein Risiko für die Rechte und Freiheiten der Betroffenen darstellt. Die Meldung der Datenpanne erfolgt zusammen mit der Beantwortung der Fragen, wie in Abschnitt 7 beschrieben. Eine Datenpanne, die der Aufsichtsbehörde für personenbezogene Daten gemeldet wurde, wird den Betroffenen ebenfalls gemeldet, wenn sie ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, es sei denn, es wurden inzwischen geeignete Maßnahmen getroffen, die das hohe Risiko abgewendet haben.
10. Meldung von Datenpannen an die Aufsichtsbehörde für personenbezogene Daten und/oder Betroffene
Der interne Verantwortliche sorgt gegebenenfalls für die Meldung an die Aufsichtsbehörde für personenbezogene Daten und/oder die betroffene(n) Person(en). Die Meldung erfolgt so schnell wie möglich nach der Entdeckung und spätestens innerhalb von 60 Stunden nach Entdeckung der Datenpanne. Es ist keinem anderen Mitarbeiter als dem internen Verantwortlichen gestattet, die (mögliche) Datenpanne selbst der Aufsichtsbehörde für personenbezogene Daten und/oder der betroffenen Person(en) zu melden. Wenn ein Mitarbeiter mit der Entscheidung des internen Verantwortlichen über die Meldung der Datenpanne an die Aufsichtsbehörde für personenbezogene Daten und/oder die betroffene Person(en) nicht einverstanden ist, kann er seine Beschwerden der Geschäftsleitung mitteilen. Auf Verlangen leistet ein Mitarbeiter dem Verantwortlichen jede Unterstützung, um die betroffenen Personen gemäß Artikel 34 DSGVO über die Datenpanne informieren zu können.
11. Folgen der Meldung von Datenpannen
Sollte die Datenpanne negative Folgen für die Betroffenen haben, unternimmt der interne Verantwortliche alles, um diese Folgen so weit wie möglich zu begrenzen. Abhängig von der Art und dem Umfang der Datenpanne für die Betroffenen bestimmt der interne Verantwortliche:
- auf welche Weise die Betroffenen informiert werden (wobei in jedem Fall mitgeteilt wird, welche Arten von personenbezogenen Daten betroffen sind, welche möglichen Folgen bestehen, welche Maßnahmen Dena Textile Productions B.V. ergreift und wie die Betroffenen den Schaden selbst verhindern oder begrenzen können);
- welche Nachsorge die Betroffenen erhalten;
- welche Maßnahmen im Interesse der Organisation notwendig sind.
Sollte eine Datenpanne stattgefunden haben, unabhängig davon, ob sie gemeldet wurde oder nicht, werden so schnell wie möglich geeignete technische und/oder organisatorische Maßnahmen getroffen, um zukünftige ähnliche Datenpannen zu verhindern.
12. Führung eines Registers über Datenpannen
Der interne Verantwortliche führt ein Register über alle Datenpannen, in dem alle Daten rund um die Datenpanne erfasst werden, wie zum Beispiel:
- Eine Beschreibung des Vorfalls.
- Datum und Uhrzeit der Datenpanne.
- Datum und Uhrzeit der Entdeckung der Datenpanne.
- Beschreibung der Art der durchgesickerten personenbezogenen Daten.
- Beschreibung der Kategorie(n) der betroffenen Personen.
- Beschreibung der Anzahl der betroffenen Personen (ungefähr).
- Ob Daten von Personen in anderen EU-Ländern durchgesickert sind.
- Ob der Vorfall der Aufsichtsbehörde für personenbezogene Daten gemeldet wurde und wenn ja, Datum und Uhrzeit der Meldung.
- Ob der Vorfall den Betroffenen gemeldet wurde und wenn ja, Datum und Uhrzeit der Meldung.
- Auf welche Weise die Betroffenen informiert wurden.
- Die Folgen der Datenpanne, wenn möglich mit Angabe von Datum und Uhrzeit.
- Welche technischen und/oder organisatorischen Maßnahmen nach der Datenpanne getroffen wurden, mit Angabe von Datum und Uhrzeit.
Dieses Protokoll zur Meldepflicht von Datenpannen wurde am 1. Mai 2020 erstellt.