Sofortplan
Sechs Schritte schaffen Kontrolle und einen belastbaren Nachweisweg.
Eindämmen, ohne Spuren zu zerstören
Betroffene Zugänge sperren, Systeme isolieren und weitere Abflüsse stoppen. Keine vorschnellen Löschungen oder Neuinstallationen vornehmen, wenn dadurch wichtige Nachweise verloren gehen könnten.
Vorfallzeit und Fakten sichern
Entdeckungszeit, bekannte Abläufe, betroffene Systeme, Datenarten, Personengruppen und erste Maßnahmen mit Uhrzeit dokumentieren. Screenshots, Logs und Meldungen geschützt aufbewahren.
Verantwortliche sofort zusammenbringen
Datenschutz, IT-Sicherheit, Geschäftsführung und zuständige Fachbereiche in einen klaren Entscheidungsweg bringen. Externe Dienstleister gezielt nach Fakten und Sicherungsmaßnahmen fragen.
Risiko für betroffene Menschen bewerten
Mögliche Folgen wie Identitätsmissbrauch, finanzielle Schäden, Diskriminierung, Rufschäden oder Kontrollverlust betrachten. Datenart, Umfang, Schutzmaßnahmen und Wahrscheinlichkeit nachvollziehbar einordnen.
Melde- und Informationspflichten entscheiden
Eine erforderliche Meldung an die Aufsicht muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Bei hohem Risiko kann zusätzlich eine Information der betroffenen Personen erforderlich sein.
Entscheidung und Wirksamkeit belegen
Auch eine begründete Nichtmeldung muss nachvollziehbar dokumentiert werden. Nach der Akutphase Ursachen, Korrekturmaßnahmen, Verantwortliche, Termine und einen Wirksamkeitstest festlegen.
Was in die Vorfallsakte gehört
Nicht nur das Ergebnis, sondern auch der Entscheidungsweg zählt.
Was ist wann passiert?
Quelle der Meldung, Systeme, Daten, betroffene Gruppen, Umfang, Zeitraum und bereits getroffene Sicherungsmaßnahmen.
Warum wurde so gehandelt?
Risikobewertung, Meldeentscheidung, Freigaben, offene Unsicherheiten, Verantwortliche und die geplante Wirksamkeitskontrolle.
Offizielle Rechtsgrundlage
Artikel 33 und 34 DSGVO regeln Meldung und Benachrichtigung.
Dieser Leitfaden dient der allgemeinen Orientierung und ersetzt keine rechtliche Einzelfallprüfung. Senden Sie über das allgemeine Kontaktformular keine sensiblen Vorfallsdaten oder Dokumente.