Prozess zur Meldung von Datenschutzvorfällen

1. Zweck und Geltungsbereich

Dieses Dokument beschreibt, wie FEAZY mit Verletzungen des Schutzes personenbezogener Daten umgeht und wie sie betroffene Kundinnen und Kunden sowie die zuständigen Aufsichtsbehörden unverzüglich informiert. Es gilt für alle von FEAZY betriebenen Software-as-a-Service-Produkte und die zugehörige Verarbeitung personenbezogener Daten.

Der Prozess setzt die Anforderungen der Artikel 33 und 34 der Datenschutz-Grundverordnung (DSGVO) um und ist in das Informationssicherheits-Managementsystem von FEAZY eingebettet.

2. Unser Anspruch

FEAZY verarbeitet die Daten ihrer Kundinnen und Kunden mit größter Sorgfalt. Sollte dennoch ein Datenschutzvorfall eintreten, handeln wir schnell, transparent und nachvollziehbar. Wir verstehen die Meldung eines Vorfalls nicht als Formalie, sondern als Teil einer verlässlichen Partnerschaft: Unsere Kundinnen und Kunden sollen jederzeit darauf vertrauen können, dass sie rechtzeitig und vollständig informiert werden und alle Angaben erhalten, die sie zur Erfüllung ihrer eigenen gesetzlichen Pflichten benötigen.

3. Rollen und Verantwortlichkeiten

Die Steuerung des Meldeprozesses ist klar zugeordnet. Eine zentrale Anlaufstelle stellt sicher, dass Fristen überwacht und Meldungen abgestimmt versendet werden.

4. Erkennung und Bewertung eines Vorfalls

Hinweise auf einen möglichen Vorfall stammen aus der laufenden Systemüberwachung, aus internen Meldungen, aus Hinweisen von Kundinnen und Kunden oder von eingesetzten Unterauftragsverarbeitern. Sobald FEAZY mit hinreichender Sicherheit von einem Vorfall ausgehen kann (Kenntniserlangung), beginnt die Bearbeitung unverzüglich.

In einem ersten Schritt wird der Vorfall eingegrenzt und die betroffene Verarbeitung gesichert. Anschließend bewertet FEAZY, ob personenbezogene Daten betroffen sind und welches Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Diese Bewertung entscheidet über Umfang und Empfänger der Meldungen.

5. Information unserer Kundinnen und Kunden

In der Verarbeitung der von FEAZY betriebenen Produkte ist FEAZY in der Regel Auftragsverarbeiter im Sinne des Artikels 28 DSGVO. Betrifft ein Vorfall personenbezogene Daten einer Kundin oder eines Kunden, informiert FEAZY die betroffene Stelle unverzüglich, im Regelfall innerhalb von 24 Stunden nach Kenntniserlangung. Maßgeblich ist eine im Auftragsverarbeitungsvertrag vereinbarte kürzere Frist, sofern eine solche besteht.

Die Information erfolgt schriftlich an die im Auftragsverarbeitungsvertrag benannte Kontaktstelle. Sie enthält eine Beschreibung des Vorfalls, die betroffenen Datenkategorien und Personengruppen, die wahrscheinlichen Folgen sowie die bereits ergriffenen und geplanten Gegenmaßnahmen. FEAZY unterstützt die Kundin oder den Kunden anschließend bei der eigenen Meldung an die Aufsichtsbehörde und bei der Bewertung, ob betroffene Personen zu benachrichtigen sind.

6. Meldung an die Aufsichtsbehörde

Soweit FEAZY für die betroffenen Daten selbst Verantwortlicher ist und der Vorfall voraussichtlich zu einem Risiko für die betroffenen Personen führt, meldet FEAZY den Vorfall der zuständigen Aufsichtsbehörde, dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit, unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntniserlangung. Die Meldung erfolgt über das dafür vorgesehene Meldeverfahren der Behörde.

Liegen noch nicht alle Angaben vor, nimmt FEAZY zunächst eine Erstmeldung mit den bekannten Informationen vor und reicht weitere Angaben schrittweise nach. Wird die Frist von 72 Stunden überschritten, wird der Meldung eine Begründung für die Verzögerung beigefügt.

7. Benachrichtigung betroffener Personen

Hat ein Vorfall voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge, werden diese unverzüglich und in klarer, einfacher Sprache benachrichtigt. Die Benachrichtigung beschreibt die Art des Vorfalls, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen und nennt eine Anlaufstelle für Rückfragen. War eine Benachrichtigung aufgrund geeigneter Schutzmaßnahmen, etwa einer wirksamen Verschlüsselung, entbehrlich, dokumentiert FEAZY die Gründe hierfür.

8. Dokumentation und kontinuierliche Verbesserung

FEAZY dokumentiert jeden Datenschutzvorfall in einem internen Vorfallregister, einschließlich der Vorfälle, die nicht meldepflichtig sind. Festgehalten werden der Sachverhalt, die Bewertung, die ergriffenen Maßnahmen und die versendeten Meldungen. Nach Abschluss eines Vorfalls prüft FEAZY die Ursachen und leitet Verbesserungen an Technik und Prozessen ab. Der Meldeprozess wird regelmäßig überprüft und an neue Anforderungen angepasst.

9. Kontakt

Für Fragen zu diesem Prozess oder zur Meldung eines Vorfalls wenden Sie sich bitte an Ihre bekannte Ansprechperson bei FEAZY oder an die im Auftragsverarbeitungsvertrag benannte Kontaktstelle.

10. Änderungshistorie