Neu: eine Checkliste für Datenpannen, sofort einsetzbar.Neu: Checkliste für Datenpannen.Checkliste herunterladen
DE
KontaktFrühzugang
FrühzugangKontakt
Kostenloses Tool

Datenpanne: Muss ich sie melden?

Beantworten Sie ein paar Fragen zur Datenpanne. Sie sehen dann die Risikostufe nach den Kriterien des Europäischen Datenschutzausschusses (EDSA) und der ENISA, was Pflicht ist, wann die 72-Stunden-Frist abläuft und welche Aufsichtsbehörde in Ihrem Land zuständig ist. Zum Schluss erhalten Sie einen Entwurf der Meldung, den Sie nur noch anpassen müssen.

Läuft nur in Ihrem Browser: Ihre Eingaben werden weder übertragen noch gespeichertArt. 33 und 34 DSGVOLeitlinien 9/2022 und 01/2021
1Die Frist

Der Zeitpunkt, ab dem Sie hinreichend sicher wussten, dass eine Verletzung des Schutzes personenbezogener Daten vorliegt (Leitlinien 9/2022, Rn. 31).

Danach richtet sich, welche Aufsichtsbehörde Sie benachrichtigen.

Ihre Organisation ist …
2Welche Daten sind betroffen?

Kreuzen Sie alle betroffenen Kategorien an und wählen Sie bei jeder die Beschreibung, die am besten passt. Es zählt der höchste Wert (ENISA, Abschnitt 3.1.1). Ob er höher oder niedriger ausfällt, hängt von der Datenmenge, der Art der Organisation, schutzbedürftigen Personen, ungültigen oder bereits öffentlichen Daten und der konkreten Art der Daten ab.

3Wie leicht sind die Personen zu identifizieren?

Kreuzen Sie die Identifikatoren an, die in den Daten enthalten waren. Es zählt der, über den sich die Person am leichtesten identifizieren lässt (ENISA, Anhang 2).

Laut ENISA lässt sich eine Person leichter identifizieren, wenn mehrere Identifikatoren zusammenkommen. Führt die Kombination ohne weitere Recherche zu einer bestimmten Person, zählt sie als maximal.

4Was ist mit den Daten passiert?
Hat jemand absichtlich gehandelt (Diebstahl, Angriff, Betrug)?
5Schutz und Maßnahmen
Waren die Daten unlesbar (starke Verschlüsselung, Schlüssel nicht kompromittiert)?

Die ENISA berücksichtigt das getrennt von der Punktzahl (Abschnitt 3.3). In Fall 10 der Leitlinien 01/2021 (starke Verschlüsselung, Integrität und Verfügbarkeit nicht betroffen) genügte es nach Auffassung des EDSA, den Vorfall zu dokumentieren.

Greift bei hohem Risiko eine Ausnahme von der Benachrichtigung der Betroffenen?
Angaben für den Entwurf (optional)

Entwurf der Meldung


  

  
Die Bewertung folgt den Empfehlungen der ENISA von 2013, einem Arbeitspapier, das der EDSA als hilfreich bezeichnet (Leitlinien 9/2022, Rn. 120). Die Zuordnung der ENISA-Schweregrade zu den Stufen der DSGVO stammt von Pulsaiq; weder der EDSA noch die Aufsichtsbehörden legen sie fest. Das Tool hilft Ihnen, die Entscheidung zu begründen, trifft sie aber nicht für Sie. Sie schwanken zwischen zwei Stufen? Wählen Sie die strengere (Leitlinien 9/2022, Rn. 119). Dokumentieren Sie in jedem Fall die Entscheidung und ihre Gründe (Art. 33 Abs. 5).


  
Wollen Sie das in Ihrer Vorfalldokumentation festhalten? Das Kit für Datenpannen enthält ein Vorfallsverzeichnis mit derselben Bewertung, den 72-Stunden-Plan und Muster für die Benachrichtigung.
Zum Kit


Wählen Sie, was diese Website in Ihrem Browser speichern darf. Sie können Ihre Wahl jederzeit hier in der Fußzeile ändern.
Unbedingt erforderlichSpeichern nur die Auswahl, die Sie in diesem Fenster treffen. Immer aktiv.
Immer aktiv
Inhalte von DrittanbieternEingebettete Videos und Karten. Beim Laden erhalten diese Dienste Ihre IP-Adresse und können eigene Cookies setzen.
Wir verwenden keine Analyse- oder Werbe-Cookies. Die Statistik läuft über Umami, ohne Cookies. Cookie-Richtlinie lesen
Häufig gesucht
Meistgelesene Ratgeber
Das Verarbeitungsverzeichnis an einem NachmittagDatenpanne: die ersten 72 StundenAuskunfts- und Löschersuchen
↑↓ wählen Enter öffnen Esc schließenDie Suche läuft in Ihrem Browser. Was Sie eingeben, wird nicht übertragen.