Verletzungen des Schutzes personenbezogener Daten („Datenpanne“)

Mitarbeiterinnen und Mitarbeiter sind in der Verantwortung, die Geschäftsführung sofort über einen entsprechenden Vorfall zu informieren, wenn sie Kenntnis von einer „Datenpanne“ erlangen. Selbst wenn nur ein Verdacht besteht, dass eine solche vorliegen könnte, besteht die Pflicht, dies zu melden.
Die Geschäftsführung informiert umgehend den örtlichen Datenschutzbeauftragten (DSB) über den vorliegenden Sachverhalt und lässt dem DSB alle relevanten Informationen zur Bewertung zukommen.
Die Geschäftsführung leitet umgehend Gegenmaßnahmen ein und dokumentiert diese auf geeignete Art und Weise.

Die Meldung wird an die zuständige Datenschutzaufsicht übermittelt. Dies erfolgt durch die Geschäftsführung in Absprache mit dem örtlichen DSB.
Die Information der von der „Datenpanne“ betroffenen Personen ist ebenfalls durch die Geschäftsführung vorzunehmen (in Absprache mit dem örtlichen DSB) und außerdem der Datenschutzaufsicht zu übersenden.
Wenn einem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er dies unverzüglich dem Auftraggeber.

In dem Fall, dass eine „Datenpanne“ von unberechtigten Dritten (außerhalb des Unternehmens) ausgeht (z. B. durch einen Hacker-Angriff), sollte der Vorstand Strafanzeige gegen die/den Verursacher stellen.

Die Meldung an die Geschäftsführung und den örtlichen DSB wird mittels eines festgelegten Formblatts übermittelt. Dieses enthält folgende Informationen:

• Beschreibung der Art der Verletzung, sofern möglich mit Angaben zur ungefähren Zahl betroffener Personen, zu den betroffenen Kategorien und zur ungefähren Zahl betroffener personenbezogener Datensätze
• Name und Kontaktdaten des örtlichen DSB
• Beschreibung wahrscheinlicher Folgen der Verletzung des Schutzes personenbezogener Daten
• Beschreibung der vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und ggf. Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen