Datenschutzvorfall dokumentieren: Pflicht auch ohne Meldung?
Nicht jeder Datenschutzvorfall führt zu einer Meldung an die Aufsichtsbehörde. Trotzdem muss die Organisation den Vorfall prüfen und nachvollziehbar festhalten. Genau diese Dokumentation wird in der Praxis oft übersehen.
Kurzantwort
Ja. Eine Organisation muss Datenschutzverletzungen dokumentieren, auch wenn sie keine Meldung an die Aufsichtsbehörde abgibt.
Art. 33 Abs. 5 DSGVO verlangt eine Dokumentation der Datenschutzverletzung. Dazu gehören der Sachverhalt, die Auswirkungen und die ergriffenen Maßnahmen. Außerdem muss die Dokumentation zeigen, warum die Organisation gemeldet oder nicht gemeldet hat.
Deshalb reicht es nicht, den Vorfall nur intern zu „lösen“. Die Entscheidung muss später nachvollziehbar bleiben.
Einordnung
Worum geht es?
Bei Datenschutzvorfällen geht es häufig zuerst um die Frage, ob eine Meldung an die Aufsichtsbehörde nötig ist. Das ist wichtig. Es ist aber nur ein Teil der Prüfung.
Daneben verlangt die DSGVO eine interne Dokumentation. Diese Pflicht greift auch dann, wenn die Organisation nach ihrer Risikobewertung keine Meldung abgibt.
Das ist praktisch sinnvoll. Denn ohne Dokumentation lässt sich später kaum erklären, was passiert ist, welche Daten betroffen waren und warum keine Meldung erfolgte.
Außerdem hilft die Dokumentation dabei, Schwachstellen zu erkennen. Dadurch verbessert die Organisation ihre Abläufe und reduziert ähnliche Fehler in der Zukunft.
Rechtsgrundlagen
Gesetzliche Grundlage
Art. 4 Nr. 12 DSGVO definiert die Verletzung des Schutzes personenbezogener Daten. Dazu zählen Sicherheitsverletzungen, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führen.
Art. 33 DSGVO regelt die Meldung an die Aufsichtsbehörde. Eine Meldung ist erforderlich, wenn die Datenschutzverletzung voraussichtlich zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt.
Art. 33 Abs. 5 DSGVO enthält zusätzlich die Dokumentationspflicht. Der Verantwortliche muss Datenschutzverletzungen dokumentieren. Dabei muss er insbesondere den Sachverhalt, die Auswirkungen und die ergriffenen Abhilfemaßnahmen festhalten.
Diese Dokumentation soll der Aufsichtsbehörde ermöglichen, die Einhaltung der Meldepflicht zu überprüfen. Deshalb muss sie auch erklären, warum die Organisation eine Meldung abgegeben oder darauf verzichtet hat.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD stellt für bayerische öffentliche Stellen ein Online-Verfahren zur Meldung von Verletzungen des Schutzes personenbezogener Daten bereit. Dort weist er auf die Meldepflicht nach Art. 33 DSGVO und die 72-Stunden-Frist hin.
Besonders wichtig ist der Hinweis des BayLfD, dass eine Meldung nicht von der Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO befreit. Auch Maßnahmen zur Behebung des Vorfalls bleiben weiterhin erforderlich.
Außerdem empfiehlt der BayLfD, die eigene Meldung nach dem Absenden zu dokumentieren. Das ist in der Praxis wichtig, weil nach dem Absenden nicht automatisch eine schriftliche Bestätigung eingeht.
Für bayerische Kommunen bedeutet das: Auch wenn die Gemeinde den Vorfall meldet, bleibt die interne Dokumentation Pflicht. Wenn sie nicht meldet, braucht sie erst recht eine nachvollziehbare Begründung.
Weitere Auffassungen
Weitere Auffassungen der Aufsichtsbehörden
Der Europäische Datenschutzausschuss behandelt die Meldung von Datenschutzverletzungen in den Leitlinien 9/2022. Dort spielt die Dokumentation ebenfalls eine wichtige Rolle, weil sie mit der Rechenschaftspflicht der DSGVO zusammenhängt.
Das Bayerische Landesamt für Datenschutzaufsicht ist für viele nichtöffentliche Stellen in Bayern zuständig, also etwa Unternehmen, Vereine, Praxen und private Dienstleister. Auch dort steht bei Datenpannen die Risikobewertung im Mittelpunkt.
Die Linie der Aufsichtsbehörden ist damit klar: Eine Organisation muss nicht jeden Vorfall melden. Sie muss aber jeden relevanten Datenschutzvorfall prüfen und die Entscheidung sauber dokumentieren.
Inhalt
Was gehört in die Dokumentation?
Die Dokumentation sollte nicht unnötig kompliziert sein. Sie muss aber so vollständig sein, dass eine spätere Prüfung möglich bleibt.
Was ist passiert? Wann wurde der Vorfall bekannt? Wer hat ihn festgestellt? Welche Systeme, Unterlagen oder Nachrichten waren betroffen?
Welche personenbezogenen Daten waren betroffen? Welche Personen oder Gruppen können betroffen sein?
Welche Folgen sind möglich? Wie wahrscheinlich sind sie? Warum liegt kein Risiko, ein Risiko oder ein hohes Risiko vor?
Welche Sofortmaßnahmen hat die Organisation getroffen? Welche weiteren Maßnahmen plant sie?
Warum erfolgte eine Meldung oder warum blieb sie aus? Wurde Art. 34 DSGVO geprüft?
Welche Schwachstelle führte zum Vorfall? Welche Änderung verhindert ähnliche Fälle?
Kommunale Praxis
Praktische Bedeutung für Kommunen
Kommunen verarbeiten viele sensible Daten. Dazu gehören etwa Meldedaten, Sozialdaten, Steuerdaten, Beschäftigtendaten, Daten von Kindern, Ordnungswidrigkeiten und nichtöffentliche Sitzungsunterlagen.
Gerade deshalb müssen Gemeinden Datenschutzvorfälle sauber dokumentieren. Eine falsch versendete E-Mail im Bürgerbüro, eine verlorene Akte im Bauamt oder ein unberechtigter Abruf im Fachverfahren kann später Fragen auslösen.
Die Dokumentation schützt nicht nur die Verwaltung. Sie hilft auch dem Datenschutzbeauftragten, der Leitung und der Aufsichtsbehörde, die Entscheidung nachzuvollziehen.
Außerdem verhindert ein fester Dokumentationsprozess, dass Vorfälle nur mündlich besprochen und danach vergessen werden.
Unternehmenspraxis
Praktische Bedeutung für Unternehmen
Auch Unternehmen sollten Datenschutzvorfälle nicht informell erledigen. Häufig betrifft ein Vorfall Kundendaten, Bewerbungen, Personalunterlagen, Rechnungen, CRM-Daten, Cloud-Speicher oder E-Mail-Verteiler.
Wenn ein Unternehmen keine Meldung abgibt, braucht es eine tragfähige Begründung. Sonst wirkt die Entscheidung später zufällig oder unvollständig.
Besonders wichtig ist die Dokumentation bei wiederkehrenden Vorfällen. Wenn ein Fehler mehrfach passiert, zeigt das oft ein organisatorisches Problem. Dann reichen Einzelmaßnahmen nicht mehr aus.
Bei Auftragsverarbeitung sollte das Unternehmen außerdem festhalten, wann der Auftragsverarbeiter informiert hat und welche Informationen zur Bewertung vorlagen.
Praxisfehler
Typische Fehler
Ein häufiger Fehler ist die Annahme: Keine Meldung bedeutet keine Dokumentation. Das stimmt nicht. Art. 33 Abs. 5 DSGVO verlangt eine Dokumentation von Datenschutzverletzungen.
Ein weiterer Fehler ist eine zu knappe Notiz. Ein Satz wie „kein Risiko, keine Meldung“ reicht in der Regel nicht aus. Die Organisation muss erklären können, wie sie zu diesem Ergebnis kam.
Außerdem dokumentieren viele Stellen nur technische Maßnahmen. Der rechtliche Teil fehlt dann: Datenarten, betroffene Personen, mögliche Folgen und die Begründung der Entscheidung.
Problematisch ist auch eine Dokumentation, die erst Wochen später entsteht. Dann fehlen oft Details, Zeiten, Beteiligte oder wichtige Zwischenschritte.
Vorgehen
Praxistipps
Organisationen sollten ein kurzes Formular für Datenschutzvorfälle nutzen. Dadurch erfassen sie jeden Fall nach derselben Struktur.
Zunächst sollte der Fachbereich den Sachverhalt beschreiben. Danach bewertet die zuständige Datenschutzfunktion das Risiko. Anschließend dokumentiert die Organisation die Entscheidung zur Meldung.
Wenn eine Meldung erfolgt, sollte die Organisation die versendeten Angaben sichern. Wenn keine Meldung erfolgt, sollte sie die Gründe besonders klar festhalten.
Außerdem lohnt sich eine kurze Nachbereitung. Denn viele Datenschutzvorfälle zeigen, wo ein Prozess, eine Berechtigung oder eine Schulung verbessert werden muss.
Prüfpunkte
Checkliste zur Dokumentation
Was ist konkret passiert?
Wann ist der Vorfall passiert?
Wann hat die Organisation den Vorfall erkannt?
Wer hat den Vorfall gemeldet oder festgestellt?
Welche personenbezogenen Daten sind betroffen?
Welche Personen oder Personengruppen sind betroffen?
Wie viele Personen und Datensätze sind ungefähr betroffen?
Welche Ursache hatte der Vorfall?
Welche möglichen Folgen können entstehen?
Welche Sofortmaßnahmen hat die Organisation getroffen?
Welche weiteren Maßnahmen sind geplant?
Wie wurde das Risiko bewertet?
Warum erfolgte eine Meldung oder warum erfolgte keine Meldung?
Wurde eine Benachrichtigung betroffener Personen geprüft?
Wer hat die Entscheidung getroffen?
Welche Maßnahme verhindert ähnliche Vorfälle künftig?
Häufige Fragen
FAQ
Muss ein Datenschutzvorfall dokumentiert werden, wenn keine Meldung erfolgt?
Ja. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation von Datenschutzverletzungen. Das gilt auch dann, wenn die Organisation keine Meldung an die Aufsichtsbehörde abgibt.
Was muss in der Dokumentation stehen?
Die Dokumentation sollte den Sachverhalt, die betroffenen Daten, mögliche Folgen, die Risikobewertung, die ergriffenen Maßnahmen und die Entscheidung zur Meldung enthalten.
Reicht eine kurze E-Mail als Dokumentation?
Eine kurze E-Mail kann ein Baustein sein. Meist reicht sie aber nicht aus, wenn sie keine klare Risikobewertung und keine nachvollziehbare Entscheidung enthält.
Muss jeder kleine Fehler dokumentiert werden?
Entscheidend ist, ob eine Datenschutzverletzung vorliegt. Wenn personenbezogene Daten betroffen sind und ein unbefugter Zugriff, Verlust oder eine Offenlegung vorliegt, sollte die Organisation den Fall dokumentieren.
Wie lange muss die Dokumentation aufbewahrt werden?
Die DSGVO nennt keine konkrete Frist für die Aufbewahrung dieser Dokumentation. Die Organisation sollte eine angemessene Frist festlegen, damit sie ihre Entscheidung später noch nachweisen kann.
Wer sollte die Dokumentation erstellen?
Der Fachbereich sollte den Sachverhalt liefern. Die Datenschutzfunktion oder der Datenschutzbeauftragte sollte die Bewertung begleiten. Die Verantwortung bleibt beim Verantwortlichen.
Ergebnis
Fazit
Ein Datenschutzvorfall endet nicht automatisch, nur weil keine Meldung an die Aufsichtsbehörde erfolgt. Die Organisation muss den Fall trotzdem prüfen und dokumentieren.
Die Dokumentation ist der Nachweis dafür, dass die Organisation den Sachverhalt ernst genommen, das Risiko bewertet und eine nachvollziehbare Entscheidung getroffen hat.
Ob im konkreten Einzelfall eine Datenschutzverletzung vorliegt und wie umfangreich die Dokumentation sein muss, hängt von den tatsächlichen Umständen ab. Gerade bei sensiblen Daten, unklaren Folgen oder wiederholten Vorfällen sollte die Organisation genauer prüfen.
Weiterlesen
Passende interne Verlinkung
Nachweise
Quellen
Datenschutzvorfall sauber dokumentieren?
Gerade wenn keine Meldung erfolgt, muss die Begründung sitzen. Eine strukturierte Prüfung hilft, Risiken richtig einzuordnen und die Entscheidung später nachvollziehbar zu machen.
Einzelfall prüfen lassen