Bei einer Datenpanne benötigen Sie im Wesentlichen drei Arten von Dokumenten: eine interne Dokumentation dessen, was geschehen ist, eine Bewertung, ob eine Meldung an die Aufsichtsbehörde für Datenschutz erforderlich ist, und — falls ja — die Meldung selbst mit ihrer Begründung. Kommt die Mitteilung an die betroffenen Personen hinzu, so zählt auch diese Kommunikation als zu dokumentierendes Dokument.
Das Detail, das bei diesem Thema am häufigsten übersehen wird, ist die interne Dokumentation. Auch wenn Sie nach einer Bewertung entscheiden, dass eine Datenpanne der Aufsichtsbehörde für Datenschutz nicht gemeldet werden muss, verlangt die DSGVO dennoch, dass Sie den Vorfall selbst dokumentieren: was geschehen ist, welche Daten betroffen waren, welche Folgen möglich waren und warum Sie zu Ihrer Schlussfolgerung gelangt sind. Viele Unternehmer denken, dass etwas erst dann schriftlich festgehalten werden muss, wenn eine Meldung erfolgt. Das ist nicht das, was die Verordnung vorsieht.
Die interne Dokumentation des Vorfalls
Dies ist das Dokument, das bei jeder Datenpanne vorhanden sein sollte, unabhängig von dem Ergebnis Ihrer Bewertung. Es beschreibt, wann Sie den Vorfall entdeckt haben, was genau geschehen ist, welche Datenkategorien und welche betroffenen Personen davon betroffen waren, und welche Maßnahmen Sie ergrriffen, um die Auswirkungen zu begrenzen. Aufsichtsbehörden prüfen bei einer Kontrolle nicht nur die eingereichten Meldungen, sondern auch, ob eine Organisation nachweisen kann, wie frühere Vorfälle bewertet wurden. Ohne dieses Dokument gibt es diese Begründung nicht.
Die Bewertung, ob eine Meldung erforderlich ist
Neben der sachlichen Dokumentation ist ein zweites Dokument erforderlich: die Abwägung selbst. Welche Risiken sahen Sie für die betroffenen Personen, und auf welcher Grundlage kamen Sie zu dem Ergebnis, dass eine Meldung erforderlich war oder nicht? Die DSGVO unterscheidet dabei das Risiko für die Rechte und Freiheiten der betroffenen Personen als Maßstab. Diese Abwägung zu dokumentieren ist nicht nur für Sie später hilfreich, es ist auch das Dokument, mit dem Sie zeigen können, dass eine bewusste Entscheidung getroffen wurde und kein Zufall. Wer sich unsicher ist, ob ein konkreter Vorfall meldungspflichtig ist, findet in dem Entscheidungsbaum, der in einigen Fragen einen ersten Hinweis gibt einen Ausgangspunkt, ohne dass dies Ihre eigene Bewertung ersetzt.
Die Meldung an die Aufsichtsbehörde für Datenschutz
Wenn die Schlussfolgerung lautet, dass eine Meldung erforderlich ist, kommt die Meldung selbst als Dokument hinzu: was Sie gemeldet haben, wann und mit welchen Angaben. Die DSGVO sieht hierfür eine Frist von 72 Stunden vor, nachdem Sie von der Datenpanne erfahren haben. Bewahren Sie nicht nur die Bestätigung der Meldung auf, sondern auch die Version der Tatsachen wie sie zum Zeitpunkt der Meldung bekannt waren — diese kann später noch ergänzt werden, wenn mehr über den Umfang bekannt wird.
Die Kommunikation gegenüber den betroffenen Personen
In einigen Fällen gehört auch eine Mitteilung an die betroffenen Personen selbst dazu, beispielsweise wenn das Risiko für sie als erheblich erachtet wird. Auch diese Mitteilung — was genau kommuniziert wurde und an wen — ist Teil der Dokumentation. Es ist keine feste Vorlage, die für jede Datenpanne gleich ist; der Inhalt hängt davon ab, was geschehen ist und welche Daten betroffen sind.
Vereinbarungen mit Lieferanten und Auftragsverarbeitern
Findet die Datenpanne bei einem Unternehmen statt, das für Sie Daten verarbeitet, wie beispielsweise eine Buchhaltungssoftware oder ein Hosting-Anbieter, dann gehört die Vereinbarung, die in der Auftragsverarbeitungsvereinbarung festgehalten ist, ebenfalls dazu: Meldet das Unternehmen Vorfälle an Sie und innerhalb welcher Frist? Wer dies noch nicht präzise geklärt hat, findet in der Wissensdatenbank, in der dies je nach Situation ausgearbeitet ist einen Anhaltspunkt, um Auftragsverarbeitungsvereinbarungen auf diesen Punkt hin zu überprüfen.
Warum diese Dokumentation separat von Ihrer Sicherheit steht
Die Dokumentation rund um eine Datenschutzverletzung unterscheidet sich von den Maßnahmen, die Sie im Voraus getroffen haben, um eine Datenschutzverletzung zu verhindern, aber die beiden sind miteinander verbunden: Eine Aufsichtsbehörde kann fragen, wie Ihre Sicherheit zum Zeitpunkt des Vorfalls aussah. Wie die Datensicherheit in der Praxis dokumentiert wird, können Sie unter der Erläuterung zu angemessenen Sicherheitsmaßnahmen.
Dies bereits jetzt regeln
Die Wissensdatenbank und der Entscheidungsbaum können kostenlos ohne Konto konsultiert werden. Möchten Sie die Erfassung von Vorfällen, die Fristen und die dazugehörigen Vorlagen strukturell an einem Ort haben, anstatt jedes Mal von neuem zu suchen, dann ist das der Zweck des Abonnements bei gdpria.eu. Ein Geschäftskonto erstellen Sie mit Ihrem Handelsregister- und Umsatzsteuer-Identifikationsnummer, gekoppelt an die Organisation und nicht an eine einzelne E-Mail-Adresse.
Müssen Sie derzeit eine mögliche Datenschutzverletzung bewerten, führen Sie zunächst den kostenlosen Schnelltest durch oder lesen Sie die Themen in der Wissensdatenbank durch. Für die Erklärung, was genau in Ihre Situation passt, bleiben ein Jurist oder die Autoriteit Persoonsgegevens die richtige Ansprechstelle.