Privacy policy

Datenschutzverletzungen im Notfallplan – STEAMRS 

Datum: 03.10.2021
Version: 1001

1. Einführung

Die aktuelle Datenschutzgesetzgebung (die Allgemeine Datenschutzverordnung, im Folgenden: AVG) beinhaltet eine Meldepflicht bei Datenschutzverletzungen. Diese Meldepflicht verpflichtet Organisationen, Datenlecks an die Aufsichtsbehörde (in den Niederlanden ist dies die niederländische Datenschutzbehörde) und in einigen Fällen auch an die betroffenen Personen (die Personen, an die die Daten weitergegeben wurden, z Mitglieder, Abonnenten und/oder Mitarbeiter).

Dieser Notfallplan beschreibt, wie Steam mit möglichen Datenlecks umgeht. Der Plan legt fest, wie und an wen die Meldungen intern weitergeleitet werden müssen, wer für welche Meldung verantwortlich ist und wie und in welcher Form die Meldung an die Aufsichtsbehörde und ggf. auch an die Beteiligten erfolgt.

Sollten zukünftige (gesetzliche) Ergänzungen/Änderungen eine Anpassung dieses Dokuments erforderlich machen, wird die verantwortliche Person innerhalb von  Steam'rs diese Änderung vornehmen und die Versionsnummer aktualisieren.

2. Was ist eine Datenschutzverletzung?

2.1. Einführung

Nicht alle Datenschutzverletzungen müssen der Regulierungsbehörde gemeldet werden. Eine Datenschutzverletzung, die der Aufsichtsbehörde gemeldet werden muss, wird in der DSGVO wie folgt beschrieben:

Eine Sicherheitsverletzung, die zu versehentlicher oder rechtswidriger Zerstörung, Verlust, Änderung, unbefugter Offenlegung oder Zugriff auf übertragene, gespeicherte oder anderweitig verarbeitete Daten führt.

Nach der Datenschutz-Grundverordnung (DSGVO) wird eine Datenschutzverletzung als „Verletzung personenbezogener Daten“ bezeichnet. In der Praxis sprechen wir jedoch oft von einer Datenschutzverletzung, was jedoch dasselbe bedeutet. Eine Datenschutzverletzung muss gemeldet werden, es sei denn, es ist unwahrscheinlich, dass sie ein Risiko für die betroffenen Personen darstellen würde.

Um festzustellen, ob es sich um eine Datenschutzverletzung handelt, müssen die folgenden Fragen in dieser Reihenfolge beantwortet werden:

1. Gibt es eine Sicherheitsverletzung („Sicherheitsvorfall“)?
2. Gingen während des Verstoßes personenbezogene Daten verloren?
3. Wurden personenbezogene Daten unrechtmäßig verarbeitet?
4. Bringt der Verlust personenbezogener Daten oder deren rechtswidrige Verarbeitung ein (hohes) Risiko für die Beteiligten?

Jede Frage ist ein Schritt bei der Entscheidung, ob ein Datenschutzverstoß vorliegt. Diese Schritte werden unten erklärt.

2.2. Sicherheitsverletzung

Eine Sicherheitsverletzung tritt auf, wenn tatsächlich ein Vorfall aufgetreten ist. Daher ist nur eine drohende Sicherheitsverletzung kein Vorfall.

Beispiele für Sicherheitsvorfälle sind:

• ein verlorener USB-Stick;
• ein gestohlener Laptop;
• ein Mailing wird mit allen E-Mail-Adressen im CC anstatt im BCC versendet
• ein Hackereinbruch;
• eine Malware-Infektion;
• eine Katastrophe wie ein Brand in einem Rechenzentrum.

Eine Sicherheitsverletzung wird dann zu einer Datenschutzverletzung, wenn die Verletzung die personenbezogenen Daten betrifft, die Steam'rs verarbeitet.

2.3. Verlust personenbezogener Daten

Wenn aufgrund der Sicherheitsverletzung personenbezogene Daten verloren gegangen sind, von denen keine vollständige und aktuelle Sicherungskopie mehr existiert, kann dies immer als Datenverletzung qualifiziert werden.

Beispiel: Wenn eine Kundendatendatenbank durch einen Fehler eines Programmierers oder eines Mitarbeiters von Steam'rs  zerstört wird und diese Daten dort nicht gesichert werden eine Datenpanne.

Darüber hinaus kann auch die vorübergehende Nichtverfügbarkeit personenbezogener Daten zu einer Datenpanne führen, wenn eine betroffene Person Risiken ausgesetzt sein könnte, beispielsweise wenn Krankenakten in einem Krankenhaus für eine Weile nicht verfügbar sind. Dadurch müssen möglicherweise Operationen verschoben werden, und Patienten können in Lebensgefahr geraten. Auch in diesem Fall kann von einer Datenschutzverletzung gesprochen werden, die ein (hohes) Risiko für die Beteiligten (in diesem Fall die Patienten) zur Folge hat.

2.4. Rechtswidrige Verarbeitung

Es ist jedoch auch möglich, dass Daten unrechtmäßig verarbeitet wurden. Das bedeutet zum Beispiel, dass sich Unbefugte Zugang zu Daten verschafft haben, auf die sie keinen Zugriff haben sollten. Andere Formen der rechtswidrigen Verarbeitung sind die rechtswidrige Änderung/Beeinflussung personenbezogener Daten und die Bereitstellung personenbezogener Daten an Unbefugte. In diesem Fall ist es Sache von Steam's  nachzuweisen, dass jemand die Daten nicht einsehen konnte oder nichts damit gemacht hat.

Wenn Steam'rs  die Möglichkeit nicht ausschließen kann, dass personenbezogene Daten verloren gegangen sind oder unrechtmäßig verarbeitet wurden, liegt eine Datenschutzverletzung vor.

Beispiel: Wenn eine E-Mail mit persönlichen Daten versehentlich an die falsche E-Mail-Adresse gesendet wurde und der Absender sofort eine Nachricht erhält, dass die E-Mail nicht angekommen ist, weil die E-Mail-Adresse nicht existiert , ist das dann kein Datenschutzverstoß? Erhält der Absender jedoch keine Fehlermeldung, kann nicht sichergestellt werden, dass die E-Mail keinen Unbefugten erreicht hat und es sich somit um eine Datenschutzverletzung handelt. 

2.5. Führt der Verlust personenbezogener Daten oder deren rechtswidrige Verarbeitung zu einem (hohen) Risiko für die betroffenen Personen?

Eine Datenschutzverletzung liegt vor, wenn tatsächlich eine rechtswidrige Verarbeitung stattgefunden hat oder wenn personenbezogene Daten (vorübergehend) verloren gegangen sind. Die bloße Existenz einer möglichen Möglichkeit hierfür gilt daher nicht als Datenschutzverletzung.

Beispiel: Wenn ein Mitarbeiter von Steam'rs sein Passwort für sein E-Mail-Postfach auf eine Notiz schreibt und diese Notiz verloren hat, könnten dies Daten sein Verstoß liegt vor, wenn Steam'rs nicht ausschließen kann, dass sich Unbefugte Zugang zum Postfach des Mitarbeiters verschafft haben.

Können Steam'rs  dies jedoch ausschließen, indem sie beispielsweise das Passwort sofort zurücksetzen und in den Logfiles sehen, dass sich zwischenzeitlich niemand eingeloggt hat handelt es sich nicht um eine Datenschutzverletzung.

Wenn die Datenschutzverletzung ein Risiko für die betroffenen Personen darstellen kann, deren personenbezogene Daten durchgesickert sind, muss diese Datenschutzverletzung der Aufsichtsbehörde gemeldet werden. Wenn die Datenschutzverletzung ein hohes Risiko für die betroffenen Personen darstellen kann, deren personenbezogene Daten durchgesickert sind, müssen die betroffenen Personen auch darüber informiert werden. Wann von einem Risiko gesprochen werden kann und wann ein hohes Risiko in Kapitel 3 bzw. 5 dieses Notfallplans für Datenschutzverletzungen näher ausgeführt wird.

3. Wann muss das Leck der Aufsichtsbehörde gemeldet werden

3.1. Einführung

Sobald eine Datenschutzverletzung wie in Kapitel 2 beschrieben vorliegt, ist es Sache von Steam'rs , für jede festgestellte Datenschutzverletzung zu prüfen, ob die Datenschutzverletzung gemeldet wurde an die Aufsichtsbehörde muss gemeldet werden. Die Regulierungsbehörde gibt an, dass ihr eine Datenschutzverletzung gemeldet werden muss, wenn „ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht“.

Dieses Kriterium wird unten weiter ausgeführt.

3.2. Quantitativ schwerwiegend

Ein Leck kann ein Risiko darstellen, wenn es sich um eine große Datenmenge handelt (quantitativ schwerwiegend).Beispielsweise ein Leck in einer der Datenbanken von  Steam'rs, wodurch Namens- und Adressdaten von beispielsweise 1000 Kunden von Steam'rs offengelegt werden, quantitativ schwerwiegend sind und daher gemeldet werden, sollten dem Vorgesetzten vorgelegt werden. Die DSGVO legt nicht fest, wie viele Daten ausmachen, ob die Datenschutzverletzung quantitativ schwerwiegend ist oder nicht. Dies muss daher im Einzelfall beurteilt werden. Dazu gehört die Betrachtung: Wie viele Daten sind durchgesickert? Wie viele Personen sind daran beteiligt? Und wie viele Daten sind pro Person durchgesickert?

3.3. Qualitativ schwerwiegend

Darüber hinaus kann ein Leck auch schwerwiegend sein, wenn keine großen Mengen personenbezogener Daten durchgesickert sind, es sich aber um sensible personenbezogene Daten handelt (qualitativ schwerwiegend). Einige Beispiele dafür, was sensible personenbezogene Daten sind:

• Anmeldedaten;
• Finanzdaten;
• Kopien von Ausweisdokumenten;
• Kriminelle Daten;
• Daten zur Arbeitsleistung;
• Daten zum Glauben;
• gesundheitsbezogene Daten.

Die Kategorie „sensible personenbezogene Daten“ ist daher weiter gefasst als die Kategorie „besondere personenbezogene Daten“ der DSGVO. Besondere personenbezogene Daten sind Daten, aus denen die Rasse oder ethnische Herkunft einer Person, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten oder Daten zum Sexualverhalten oder sexuelle Orientierung.

Art und Umfang der Datenschutzverletzung müssen immer berücksichtigt werden, wenn überlegt wird, ob eine Datenschutzverletzung der Aufsichtsbehörde gemeldet werden sollte. Fest steht jedenfalls, dass, sobald sensible Daten durchgesickert sind, dies wegen der qualitativen Schwere jederzeit dem Vorgesetzten gemeldet werden muss, unabhängig davon, wie viele Daten von wie vielen Personen durchgesickert sind ( quantitative Ernsthaftigkeit).

Beispiel: Aufgrund eines Lecks in der Datenbank von  Steam'rs  haben Unbefugte für kurze Zeit Zugriff auf Kundendaten, einschließlich ihrer überfälligen Zahlungen Zeit. Ein solches Durchsickern sensibler Daten muss der Regulierungsbehörde gemeldet werden. 

3.4. Laufzeit

Die Datenschutzverletzung muss der niederländischen Datenschutzbehörde so schnell wie möglich gemeldet werden, spätestens jedoch 72 Stunden nach Entdeckung durch  Steam'rs. Dieser Zeitraum beginnt, wenn Steam'rs  mit hinreichender Sicherheit feststellen kann, dass eine Sicherheitsverletzung im Zusammenhang mit personenbezogenen Daten vorliegt.

Eine Meldung kann nachträglich zurückgezogen oder angepasst werden, falls die genaue Art oder das Ausmaß des Lecks innerhalb von 72 Stunden noch nicht bekannt ist. Ist dies der Fall, kann dies auch einfach in der Benachrichtigung angegeben werden.

Eine Datenschutzverletzung kann bei  Steam's  oder bei einem seiner Auftragsverarbeiter auftreten, der von der Datenschutzverletzung Kenntnis erlangt. Ein Auftragsverarbeiter ist eine Partei, die Daten im Auftrag von Steam'rs  verarbeitet. Dies kann beispielsweise der Hoster der Website oder ein Softwareanbieter sein. Der für die Verarbeitung Verantwortliche ist letztendlich der Aufsichtsbehörde unterstellt, sofern nichts anderes vereinbart wurde. Daher ist es für Steam'rs  wichtig, gute schriftliche Vereinbarungen mit seinen Verarbeitern über die Meldung von Datenlecks an Steam'rs zu treffen.

3.5. Wo melden?

Eine Datenschutzverletzung muss über die Website der Regulierungsbehörde gemeldet werden.Für die Niederlande kann dies über die   Meldestelle  auf der Website der niederländischen Datenschutzbehörde erfolgen. Diese werden in Kapitel 4 näher erläutert.

4. Was ist dem Vorgesetzten zu melden?

Die niederländische Datenschutzbehörde möchte spezifische Informationen erhalten, wenn eine Datenschutzverletzung vorliegt, die gemeldet werden muss. Diese erforderlichen Informationen sind nachstehend aufgeführt.

Allgemeine Informationen

Über Steam'rs

• Name des Unternehmens
• (Besuchs-)Adresse
• Postleitzahl
• Stadt
• Nummer der Handelskammer
• Sektor, in dem Steam'rs aktiv ist

Über die Kontaktperson und den Berichterstatter

• Name
• Funktion
• E-Mail-Adresse
• Telefonnummer und alternative Telefonnummer

Beteiligung anderer Organisationen

• War eine andere Organisation an dem Verstoß beteiligt?
• Andere Organisation nennen
• In welcher Funktion war die andere Organisation an der Zuwiderhandlung beteiligt?

Zeitachse

• Genaues Datum des Verstoßes, falls bekannt
• Datum des Beginns des Zeitraums, in dem der Verstoß aufgetreten ist
• Enddatum des Zeitraums, in dem der Verstoß aufgetreten ist
• Ist die Verletzung noch im Gange?
• Wann wurde der Verstoß entdeckt?
• Wenn Sie den Verstoß später als 72 Stunden nach Entdeckung melden, was ist der Grund dafür?

Informationen über die Datenschutzverletzung

• Was ist die Art der Verletzung?
  o Verletzung der Vertraulichkeit der Daten
  o Verletzung der Datenintegrität
  o Verletzung der Datenverfügbarkeit
• Welcher Art ist der Vorfall?
  o Verlorenes oder gestohlenes Gerät (z. B. Telefon oder Laptop), Datenträger (z. B. USB-Stick) oder Papier
  o Brief oder Postpaket geöffnet zurückgegeben erhalten
  o Hacking, Malware (z. B. Ransomware) und/oder Phishing
  o Personenbezogene Daten in altem Papier
  o Personenbezogene Daten, die noch auf einem ausrangierten Gerät oder Datenträger (z. B. USB-Stick) vorhanden sind
  o Personenbezogene Daten versehentlich veröffentlicht
  o Personenbezogene Daten der falschen Person im Portal angezeigt
  o Personenbezogene Daten an den falschen Empfänger gesendet oder ausgegeben
  o Sonstiges
• Fassung des Vorfalls zusammen, bei dem die Verletzung der Sicherheit personenbezogener Daten aufgetreten ist.

Personenbezogene Daten, die von der Datenschutzverletzung betroffen sind

• Um welche Art von personenbezogenen Daten handelt es sich? (Mehrfachnennungen möglich)
  o Name
  o Geschlecht, Geburtsdatum und/oder Alter
  o Bürgerservicenummer (BSN)
  o Kontaktdaten
  o Zugangs- oder Identifikationsdaten (z.B. Login Name/Passwort)o Finanzdaten (z. B. Kontonummer, Kreditkartennummer)
  o Passkopien oder Kopien anderer Ausweisdokumente
  o Standortdaten
  o Personenbezogene Daten zu strafrechtlichen Verurteilungen und Straftaten oder damit zusammenhängend Sicherheitsmaßnahmen
  o Besondere personenbezogene Daten (z. B. Rasse, ethnische Zugehörigkeit, politische Meinung, Gewerkschaftszugehörigkeit, Religion, Sexualleben, medizinische Daten, genetische Daten und biometrische Daten)
  o Sonstige/unbekannte Daten, nämlich (vollständig)
• Geben Sie (falls vorhanden, ungefähr) an, wie viele Datensätze ("Datenregister") von der Verletzung betroffen sind.

Die Personengruppe, deren personenbezogene Daten von der Datenschutzverletzung betroffen sind

• Von welchen Personengruppen sind personenbezogene Daten von der Datenschutzverletzung betroffen?
  o Mitarbeiter
  o Kunden (aktuelle und potenzielle)
  o Schüler oder Studenten
  o Patienten
  o Minderjährige
  o Personen aus gefährdeten Gruppen
• Beschreiben Sie die Personengruppe, deren personenbezogene Daten von der Verletzung betroffen sind
• Wie viele Personen (mindestens und maximal) sind personenbezogene Daten von der Verletzung betroffen?

Vor dem Datenverstoß ergriffene Maßnahmen

• Waren die personenbezogenen Daten zum Zeitpunkt des Verstoßes verschlüsselt, gehasht oder auf andere Weise unverständlich oder für Unbefugte unzugänglich?
• Wenn die personenbezogenen Daten ganz oder teilweise unverständlich oder unzugänglich gemacht wurden, welcher Teil war das?
• Falls die personenbezogenen Daten ganz oder teilweise unverständlich oder unzugänglich gemacht wurden, auf welche Weise erfolgte dies?

Folgen der Datenschutzverletzung

• Was sind die Folgen des Verstoßes?
  o Unbefugte konnten Kenntnis von den Daten nehmen
  o Die Daten können missbräuchlich oder rechtswidrig verwendet werden
  o Es werden möglicherweise falsche, unvollständige oder veraltete personenbezogene Daten innerhalb der eigenen Organisation verwendet
  o Möglicherweise werden falsche, unvollständige oder veraltete personenbezogene Daten für andere Zwecke wiederverwendet oder an andere Organisationen weitergegeben
  o Ein wesentlicher Dienst kann vorübergehend nicht mehr verwendet werden den betroffenen Personen erbracht werden
  o Ein wesentlicher Dienst kann den betroffenen Personen nicht mehr dauerhaft erbracht werden
  o Sonstiges, nämlich [vollständig]
• Welche Folgen kann der Verstoß für die Privatsphäre der betroffenen Personen haben?
  o Diskriminierung
  o Identitätsdiebstahl oder Betrug
  o Finanzielle Verluste
  o Rufschädigung o Verlust der Vertraulichkeit personenbezogener Daten, die durch das Berufsgeheimnis geschützt sind
  o Unbefugte Aufhebung der Pseudonymisierung
  o Betroffene Personen können ihre Rechte und Freiheiten nicht ausüben
  o Betroffene Personen werden daran gehindert, die Kontrolle über ihre personenbezogenen Daten auszuüben
• Schätzen Sie die Schwere der möglichen Folgen für die Beteiligten ein:
  o Vernachlässigbar
  o Begrenzt
  o Erheblich
  o Sehr groß

Folgemaßnahmen als Reaktion auf die Datenschutzverletzung

• Haben Sie die Datenschutzverletzung den Beteiligten gemeldet oder planen Sie dies?
  o Ja
  o Nein
  o Noch nicht bekannt
• Wann haben Sie die Datenschutzverletzung den Beteiligten gemeldet oder werden Sie die Datenschutzverletzung den Beteiligten melden?
• Was ist der Inhalt der Benachrichtigung an die betroffenen Personen?
• Wie viele betroffene Personen haben Sie informiert oder werden Sie informieren?
• Welche Kommunikationsmittel oder Kommunikationsmittel verwenden Sie oder werden Sie verwenden, wenn Sie die betroffenen Personen benachrichtigen?
• Warum sehen Sie davon ab, die Datenschutzverletzung an die betroffenen Personen zu melden?
  o Die von mir getroffenen technischen Schutzmaßnahmen bieten ausreichend Schutz, um auf die Meldung an die betroffene Person verzichten zu können o Es ist unwahrscheinlich, dass die Datenschutzverletzung nachteilige Folgen für die Privatsphäre der betroffenen Person haben wird, denn: (vollständig)
  o Ich habe schwerwiegende Gründe, der betroffenen Person keine Meldung zu machen, nämlich: (vollständig)
  o Sonstiges, nämlich: (vollständig)
• Welche technischen und organisatorischen Maßnahmen hat Ihre Organisation ergriffen, um den Verstoß zu beheben und weitere Verstöße zu verhindern?
• Ist der Verstoß bei der grenzüberschreitenden Datenverarbeitung aufgetreten und ist die niederländische Datenschutzbehörde die federführende Aufsichtsbehörde für diese Verarbeitung?
• Falls eine grenzüberschreitende Datenverarbeitung stattfindet, welche EU-Staaten sind daran beteiligt?
• Haben Sie die Datenschutzverletzung Aufsichtsbehörden in einem oder mehreren anderen EU-Ländern gemeldet oder planen Sie dies?
  o Ja, nämlich: (vollständig)
  o Nein

Andere

• Ist dieser Bericht Ihrer Meinung nach vollständig?
  o Ja, die erforderlichen Informationen wurden bereitgestellt und es ist kein Folgebericht erforderlich
  o Nein, es wird einen Folgebericht geben Berichten Sie später mit zusätzlichen Informationen über diese Datenschutzverletzung

Nach dem Absenden einer Benachrichtigung an den Vorgesetzten wird eine Bestätigung dieser Benachrichtigung im Browser angezeigtDie Eingangsbestätigung muss von  Steam'rs (als PDF) ausgedruckt und gespeichert werden. Diese Bestätigung enthält auch die Nummer der Benachrichtigung, die zum Ändern und/oder Zurückziehen einer Benachrichtigung erforderlich ist.

5. Wann sollte das Leck den Beteiligten gemeldet werden?

5.1. Einführung

Es kann möglich sein, dass eine Datenschutzverletzung nicht nur der Aufsichtsbehörde, sondern auch den Personen, deren Daten durchgesickert sind (den betroffenen Personen), gemeldet werden muss. Dies ist der Fall, wenn die Datenschutzverletzung ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt.

5.2. Nachteilige Folgen

Eine Datenschutzverletzung hat nachteilige Folgen, wenn das Privatleben der betroffenen Personen durch die Verletzung beeinträchtigt wird. Beispiele für solche Folgen sind:

• rechtswidrige Veröffentlichung;
• Verletzung der Ehre und des guten Namens;
• Identitätsbetrug;
• Diskriminierung;
• Stigmatisierung oder Ausgrenzung;
• Gesundheitsschäden;
• Rufschaden.

Wenn es um sensible personenbezogene Daten geht oder viele Daten durchgesickert sind, besteht fast immer ein hohes Risiko. In diesem Fall muss immer eine Benachrichtigung an die Beteiligten erfolgen (es sei denn, es besteht eine angemessene Sicherheit, wie im nächsten Absatz beschrieben). Das bedeutet zum Beispiel, dass sobald Finanzdaten bekannt werden, die nicht ausreichend gesichert sind, dies jederzeit den zuständigen Personen gemeldet werden muss.

Beispiel: Ein Mitarbeiter von Steam'rs hinterlässt Anschreiben und Lebensläufe in einem Auto und dieses Auto wird gestohlen. Identitätsbetrug mit diesen Lebensläufen kann nicht ausgeschlossen werden, daher ist eine Benachrichtigung der Beteiligten zwingend erforderlich.

5.3. Verschlüsselung und Hashing

Eine Datenschutzverletzung muss den betroffenen Personen nicht gemeldet werden, wenn die durchgesickerten personenbezogenen Daten für Unbefugte unverständlich oder unzugänglich sind. Dies ist beispielsweise der Fall, wenn die personenbezogenen Daten mit einer Sicherheit versehen sind, die nach dem Stand der Technik als „sicher“ anzusehen ist. Denken Sie zum Beispiel an häufig verwendete Formen der Verschlüsselung oder des Hashings.

Wenn die Datenschutzverletzung den betroffenen Personen nicht gemeldet werden muss, weil die Daten für Unbefugte unverständlich oder unzugänglich sind, muss von Zeit zu Zeit beurteilt werden, ob die Daten immer noch unverständlich oder unzugänglich sind (siehe auch Kapitel 7). Wenn beispielsweise keine Meldung erforderlich ist (weil die Daten verschlüsselt sind), aber die verwendete Verschlüsselung nach anderthalb Jahren kompromittiert wäre, müssen die Beteiligten trotzdem über die Datenschutzverletzung informiert werden. Sie können sich auch dafür entscheiden, die Beteiligten unmittelbar nach der Datenschutzverletzung proaktiv zu informieren. Dadurch wird verhindert, dass betroffene Personen lange nach der Datenschutzverletzung informiert werden müssen.

Hinweis:  Verschlüsselung oder Hashing schützt nicht vor der Zerstörung personenbezogener Daten. In solchen Fällen müssen die betroffenen Personen immer benachrichtigt werden, wenn die Vernichtung für sie nachteilige Folgen hat.

5.4. Laufzeit

Die Datenschutzverletzung muss den betroffenen Personen „unverzüglich“ nach Entdeckung gemeldet werden. „Sofort“ bedeutet: so bald wie möglich, wobei einige Zeit in Anspruch genommen werden kann, um die richtigen Informationen zu sammeln, um eine sorgfältige Meldung machen zu können. Mit anderen Worten: Die Benachrichtigung der betroffenen Person muss sorgfältig erfolgen, darf aber nicht unnötig verzögert werden. Die DSGVO knüpft dies nicht an einen „harten“ Begriff, wie dies bei der Meldung an die Aufsichtsbehörde der Fall ist.

Es ist die verantwortliche Partei, die den Beteiligten Bericht erstattet, sofern nicht anders vereinbart.

6 Was ist den Beteiligten zu melden?

Die Meldung an betroffene Personen muss in jedem Fall ordnungsgemäß und sorgfältig erfolgen und folgende Angaben enthalten:

• Art des Verstoßes, wobei eine allgemeine Beschreibung des Geschehens ausreichend ist;
• An wen Sie sich bei Fragen wenden können, wie z. B. die Telefonnummer des Kundendienstes oder eine spezielle Telefonnummer/E-Mail-Adresse für Fragen;
• Empfohlene Maßnahmen zur Begrenzung negativer Folgen, wie z. B. das Ändern von Passwörtern.

Das folgende allgemeine Formular kann als Vorlage verwendet werden. Es ist natürlich ratsam, sich in einem Anschreiben bei der betroffenen Person zu entschuldigen und klarzustellen, dass  Steam'rs  die Datenschutzverletzung inzwischen geschlossen hat und alles tun wird, um solche Fälle in Zukunft zu verhindern.

Das Grundprinzip bei der Erstellung eines solchen Berichts ist, dass dies auf individueller Basis erfolgen sollte. Sind beispielsweise Kundendaten durchgesickert, muss jeder Kunde gesondert darüber informiert werden. Wenn eine Datenschutzverletzung so groß ist, dass eine größere Gruppe betroffen ist, kann eine E-Mail mit der Tatsache, dass eine Datenschutzverletzung stattgefunden hat, an diese Personen gesendet werden. Die E-Mail kann dann einen Link zu einer Seite der Website enthalten, auf der weitere Informationen bereitgestellt werden.

Eine einzige Meldung in den Medien reicht nicht aus, um die Beteiligten zu informieren.

Grundsätzlich gilt: Wenn die betroffenen Personen individuell informiert werden können, muss die Benachrichtigung individuell erfolgen. Nur wenn dies aufgrund der Gruppengröße wirklich nicht machbar ist oder weil nicht mehr nachvollziehbar ist, welche Personen von der Datenpanne betroffen sind und welche nicht, kommen andere Wege der Information in Betracht.

7. Registrierungspflicht

Sobald es zu einer Datenschutzverletzung kommt, unabhängig davon, ob sie dem Vorgesetzten und/oder den Beteiligten gemeldet wird oder nicht, muss diese Datenschutzverletzung intern von  Steam's in den folgenden Situationen dokumentiert werden welches Steam'rs in Bezug auf diese Datenschutzverletzung als Verantwortlicher angesehen werden kann.

Ein separates System könnte von  Steam'rs  eingerichtet werden, um die Datenlecks zu registrieren, aber dies ist nicht erforderlich. Dazu reicht es aus, einfach eine separate Datei zur Registrierung von Datenschutzverletzungen zu öffnen.

Von Datenschutzverletzungen, die dem Vorgesetzten gemeldet wurden, müssen  Steam-Mitarbeiter  das PDF dieser gesendeten Benachrichtigung sowie alle Benachrichtigungen an betroffene Personen aufbewahren. Wenn die Datenschutzverletzung dem Vorgesetzten und/oder den Beteiligten nicht gemeldet wurde, müssen die folgenden Informationen registriert werden:

• die Fakten über die Datenschutzverletzung;
• die Konsequenzen; de
• die ergriffenen Korrekturmaßnahmen.

Dieses Register sollte für folgende Zwecke geführt werden:

• Lernen aus der Datenschutzverletzung;
• Fragen von betroffenen Personen und Dritten beantworten;
• Berichten Sie dennoch an die Beteiligten, wenn sich dies nach einiger Zeit als notwendig erweist;
• Ermöglichung der Überprüfung der Einhaltung der Meldepflicht bei Datenschutzverletzungen durch den Vorgesetzten

Beispiel: Eine Datenbank mit personenbezogenen Daten wurde aufgrund eines Hacks kurzzeitig öffentlich gemacht. Die personenbezogenen Daten in der Datenbank wurden nach dem neuesten Verschlüsselungsstandard verschlüsselt und sind daher für Personen ohne entsprechende Berechtigungen nicht lesbar.

Nach sechs Monaten zeigt sich jedoch, dass die verwendete Verschlüsselungsform aufgrund fortschreitender Erkenntnisse obsolet geworden ist. In diesem Fall müssen die betroffenen Personen immer noch über die Datenschutzverletzung informiert werden, die vor sechs Monaten stattgefunden hat.

Hinweis: Die Verwaltung muss nicht öffentlich gemacht werden. Diese sollte dem Vorgesetzten nur auf Anfrage des Vorgesetzten zur Verfügung gestellt werden.

8. Interne Verfahrensdatenlecks

8.1. Einführung

Eine Datenschutzverletzung kann bei  Steam'rs  innerhalb Ihrer eigenen Organisation auftreten, aber auch bei einem von Steam'rs  beauftragten Dritten (denken Sie an die Anbieter eines CRM-Systems, der Hoster, eine beauftragte Marketingagentur etc.). Wenn eine Datenschutzverletzung auftritt, muss festgelegt werden, wo die Datenschutzverletzung aufgetreten ist und wie diese Datenschutzverletzung letztendlich der Aufsichtsbehörde und den Beteiligten gemeldet wird.

Bei  Steam'rs  wird dies zunächst die Aufgabe von Thomas (CEO) sein. Wenn Thomas nicht anwesend ist, wird dies während dieser Abwesenheit die Aufgabe von Charlotte (CEO) sein. Die Kontaktdaten von Thomas und Charlotte sind in Abschnitt 8.5.

enthalten

Es ist natürlich wichtig, dass alle beteiligten Personen, d. h. sowohl das Personal von Steam'rs als auch das Personal der beauftragten Dritten, eine Datenschutzverletzung erkennen können. Die Sensibilisierung der Mitarbeiter von  Steam'rs  ist daher von großer Bedeutung. Der Entdecker muss einen Vorfall jederzeit der oben genannten Person melden.

8.2. Interne Datenschutzverletzung

Wenn es innerhalb der eigenen Organisation von  Steam'rs zu einer Datenschutzverletzung kommt, muss jeder wissen, wie er handeln muss, damit die richtigen Personen rechtzeitig gemeldet und letztendlich der Vorgesetzte und die Beteiligten erreicht werden .

Für diese Situation muss der folgende Weg befolgt werden. Der Entdecker ist derjenige, der ein (vermutetes) Leck entdeckt; das kann jeder Mitarbeiter von Steam'rs  sein. Der Entdecker meldet das Leck an Thomas (CEO), der sich dann mit Charlotte (CEO) beraten wird. Nach dieser Konsultation entscheidet Thomas, ob die Datenschutzverletzung gemeldet wird oder nicht.

Registrierung
Thomas registriert den Bericht des Entdeckers.Die folgenden Daten werden registriert:

• Wer hat gemeldet?
• Was wurde gemeldet?
• Woher kam die Nachricht?
• Um welche Daten (Daten) handelt es sich?
• Wie kam es zu dem Vorfall (z. B. welches Transportunternehmen ging verloren)?
• Welche Systeme sind von dem Vorfall betroffen/betroffen?
• Wann hat sich der Vorfall ereignet?
• Was wurde getan, um den Vorfall zu lösen/zu verhindern?

Management informieren
Wenn Thomas den Vorfall als meldepflichtige Datenschutzverletzung einstuft, wird sie Charlotte mündlich und/oder per E-Mail über die folgenden Informationen informieren:

• Beschreibung des Vorfalls (interne/externe Datenschutzverletzung);
• die von dem Vorfall betroffenen Daten;
• der Hintergrund für die Einstufung des Vorfalls (warum handelt es sich um eine meldepflichtige Datenschutzverletzung);
• die (möglichen) Folgen;
• die bereits informiert wurden;
• die nächsten Schritte (Benachrichtigung des Vorgesetzten/der beteiligten Personen)

Thomas wird dann entscheiden, ob das Leck der Aufsichtsbehörde und den Beteiligten gemeldet wird. Wenn die Datenschutzverletzung dem Vorgesetzten und/oder den beteiligten Parteien gemeldet wurde, stellt Thomas die korrekte interne Verwaltung der Datenschutzverletzung sicher (siehe Kapitel 7). Wenn Steam'rs ein Auftragsverarbeiter ist und sein Kunde verantwortlich ist, ist es wichtig zu prüfen, welche Vereinbarungen in einer Auftragsverarbeitungsvereinbarung getroffen wurden, um Datenschutzverletzungen an den Kunden zu melden.

8.3. Verletzung externer Daten

Eine Datenschutzverletzung kann auch außerhalb der Organisation von Steam'rs  stattfinden. Schließlich werden personenbezogene Daten an Dritte weitergegeben. Denken Sie an Softwareanbieter, Parteien, die Websites für  Steam'rs  mit der Speicherung personenbezogener Daten bereitstellen oder unterstützen. Wenn bei diesen Drittanbietern eine Datenschutzverletzung auftritt, muss dies  Steam'rs  so schnell wie möglich gemeldet werden. Derzeit haben diese Dritten die Sorgfaltspflicht,  Steam'rs   ein ihnen bekanntes Leck zu melden. Unter der DSGVO wird diese Pflicht auch ausdrücklich erwähnt.

Diesbezügliche Vereinbarungen müssen in (Unter-)Verarbeiterverträgen mit diesen Dritten getroffen werden. Für jede externe Partei müssen  Steam'rs  einen festen Ansprechpartner haben, um sicherzustellen, dass diese Benachrichtigungen so schnell und reibungslos wie möglich erfolgen. Dies kann dieselbe Person sein, die innerhalb von  Steam'rs   als "Meldestelle" für Sicherheitsvorfälle und/oder Datenschutzverletzungen benannt ist, nämlich Thomas oder in seiner Abwesenheit Charlotte oder die Ansprechpartner des betroffenen Dritten, der dies dann intern weiterleitet.

8.4. Bericht an die Beteiligten

Wenn bei Steam'rs eine Datenschutzverletzung bekannt ist  , muss festgelegt werden, wie die Benachrichtigung, falls erforderlich, an die betroffenen Personen (z. B. Mitglieder) erfolgt. . Dieser Notfallplan kann als Handbuch verwendet werden. Wenn der Kunde verantwortlich und Steams  Auftragsverarbeiter ist, muss der Kunde die Daten den Beteiligten melden, sofern nicht anders vereinbart.

8.5. Kontaktdaten

Die folgenden Kontaktdaten sind wichtig, wenn eine Datenschutzverletzung aufgetreten ist. Wenden Sie sich immer direkt an Thomas. Wenn dies nicht verfügbar ist, wenden Sie sich bitte an Charlotte.

Die Kontaktdaten lauten:
Geschäftsführer: Thomas, Tel.: 614762272
Geschäftsführer: Charlotte, Tel : 613834210

.