Datenschutzverletzung — 72-Stunden-Protokoll

Aufgaben in dieser Vorlage

1. 1
   Phase 1 — Datenschutzverletzung eindämmen HEUTE

   Betroffene Systeme isolieren, Zugangsdaten widerrufen, Datenabfluss blockieren. Priorität ist die Unterbindung weiterer Datenverluste.

2. 2
   Forensische Beweise sichern (Logs, Systemabbilder, Speicherauszüge) HEUTE
3. 3
   Incident-Response-Team zusammenrufen (IT, DSB, Recht, Kommunikation, Geschäftsleitung) HEUTE
4. 4
   Erste Auswirkungsbewertung durchführen und Vorfall klassifizieren HEUTE
5. 5
   Feststellen, ob personenbezogene Daten betroffen sind, und deren Kategorien D+1

   DSGVO-Pflichten greifen nur, wenn personenbezogene Daten betroffen sind. Feststellung in beiden Fällen dokumentieren.

6. 6
   Risiko für Rechte und Freiheiten der betroffenen Personen bewerten (Eintrittswahrscheinlichkeit und Schwere) D+1

   Art. 33 Abs. 1 DSGVO: Meldung erforderlich, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

7. 7
   Betroffene Personen identifizieren und Anzahl schätzen D+1
8. 8
   Meldung an die Aufsichtsbehörde entwerfen D+1
9. 9
   Freigabe der Meldung durch Geschäftsleitung und Recht einholen D+2
10. 10
    Meldung innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde übermitteln D+2

    Art. 33 Abs. 1 DSGVO: Meldung unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden. Spätere Meldungen müssen die Verzögerung begründen.

11. 11
    Prüfen, ob Benachrichtigung der betroffenen Personen nach Art. 34 erforderlich ist D+2

    Art. 34 Abs. 1 DSGVO: erforderlich bei voraussichtlich hohem Risiko. Ausnahmen nach Art. 34 Abs. 3 (Verschlüsselung, Abhilfemaßnahmen, unverhältnismäßiger Aufwand) sind zu dokumentieren.

12. 12
    Betroffene Personen bei Bedarf in klarer und einfacher Sprache benachrichtigen D+3

    Art. 34 Abs. 2 DSGVO: Art der Verletzung, Kontaktdaten des DSB, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen beschreiben.

13. 13
    Vorfall im internen Datenschutzverletzungsregister eintragen D+3

    Art. 33 Abs. 5 DSGVO: Der Verantwortliche dokumentiert jede Verletzung, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen.

14. 14
    Ursachenanalyse durchführen D+3
15. 15
    Abhilfemaßnahmen umsetzen und Sicherheitslücken schließen D+7
16. 16
    Datenschutz-Folgenabschätzungen betroffener Verarbeitungen aktualisieren D+10
17. 17
    Nachbesprechung mit Geschäftsleitung, Erkenntnisse dokumentieren D+14
18. 18
    Richtlinien, Schulungen und Kontrollen auf Basis der Erkenntnisse anpassen D+21