Formular Datenschutzvorfall ISO 26000:2021 (Word) – Meldung, Risikobewertung und Entscheidung zur Datenpanne

Eine falsch adressierte E-Mail, ein verlorener Laptop oder ein Phishing-Angriff: Datenpannen passieren schneller, als man denkt. Dann läuft eine kurze gesetzliche Frist. Mit diesem Formular für den Datenschutzvorfall ISO 26000 meldet die entdeckende Person den Vorfall sofort in Teil A, auch wenn noch nicht alles bekannt ist. Die oder der Datenschutzbeauftragte klärt in Teil B den Sachverhalt, hält den Beginn der Frist fest und ermittelt die Ursache. Teil C bewertet das Risiko für die betroffenen Personen nach Art der Daten, Umfang, Identifizierbarkeit und Empfänger. Teil D dokumentiert die Entscheidung über Meldung an die Behörde und Benachrichtigung der Betroffenen, Teil E die Maßnahmen.

Inhalte des Formulars

• Zweck und Anwendung mit Hinweis auf den Fristbeginn
• Meldende Person, Zeitpunkt der Feststellung und Meldung an die Datenschutzbeauftragten
• Art des Vorfalls von Fehlversand bis Hackerangriff
• Betroffene Personen und Datenkategorien einschließlich besonderer Kategorien
• Sofortmaßnahmen und Verhaltensregeln für die meldende Person
• Sachverhalt mit Fristbeginn, Schutzziel, Ursache und Verschlüsselung
• Risikobewertung mit sieben Kriterien und Gesamtrisiko
• Entscheidung über Meldung an die Aufsichtsbehörde mit Fristprüfung
• Benachrichtigung der Betroffenen, Auftraggeber und weitere Stellen
• Maßnahmen, Wirksamkeit, Übertragbarkeit, Korrekturmaßnahme und Unterschriften

Normbezug und Rechtsgrundlagen

Für wen ist das Formular geeignet?

Für Datenschutzbeauftragte, IT, Geschäftsleitung und Berater, die

• Datenpannen schnell und einheitlich aufnehmen wollen,
• die Entscheidung über eine Meldung nachvollziehbar begründen müssen,
• ein Pannenregister mit Ursachen und Maßnahmen führen möchten.

Das Formular ist branchenneutral und für Organisationen jeder Größe nutzbar.

Häufige Fragen

Wann beginnt die Meldefrist?

Mit der Kenntnis der Organisation vom Vorfall, nicht erst mit der vollständigen Aufklärung. Deshalb hält Teil B den Fristbeginn mit Datum und Uhrzeit fest. Derzeit beträgt die Frist 72 Stunden; prüfen Sie den aktuellen Stand der DSGVO.

Muss jeder Vorfall gemeldet werden?

Nein. Führt der Vorfall voraussichtlich zu keinem Risiko für die betroffenen Personen, entfällt die Meldung an die Behörde. Dokumentiert werden muss er trotzdem, einschließlich der Begründung.

Wer füllt welchen Teil aus?

Teil A die Person, die den Vorfall bemerkt. Die Teile B bis E bearbeitet die oder der Datenschutzbeauftragte, die Entscheidung über die Meldung trifft die oberste Leitung.

Sind die mitgeltenden Dokumente enthalten?

Nein. Die im Formular genannten Verfahrensanweisungen, Richtlinien, Formulare und Excel-Tools gehören nicht zu diesem Download.