Richtlinie zur Reaktion auf Datenschutzverletzungen

Einleitung

Diese Richtlinie beschreibt die Reaktion von revzper SAS auf Verletzungen des Schutzes personenbezogener Daten, gewährleistet die Einhaltung der geltenden Datenschutzvorschriften und minimiert Risiken für Einzelpersonen.

Pflichten bei Datenschutzverletzungen

1. Bewertung der Datenschutzverletzung

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird revzper SAS innerhalb von 24 Stunden nach der Entdeckung deren Art, Umfang und potenzielle Auswirkungen bewerten.

2. Meldung an die Aufsichtsbehörde

Wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten von Einzelpersonen führt, wird revzper SAS die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach der Entdeckung benachrichtigen.

Ref: GDPR Art. 33

3. Benachrichtigung der betroffenen Personen

Wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, wird revzper SAS die betroffenen Personen unverzüglich benachrichtigen. Zu diesen Risiken gehören Diskriminierung, Identitätsdiebstahl, finanzielle Verluste oder andere erhebliche wirtschaftliche oder soziale Nachteile.

Ref: GDPR Art. 34, GDPR Recital 85

4. Dokumentation der Datenschutzverletzung

revzper SAS wird alle Verletzungen dokumentieren, einschließlich der Ursachen, Auswirkungen und ergriffenen Abhilfemaßnahmen.

Ref: GDPR Art. 33(5), GDPR Art. 30(1)(g)

5. Präventive Maßnahmen

revzper SAS wird Maßnahmen ergreifen, um eine Wiederholung von Verletzungen des Schutzes personenbezogener Daten zu verhindern.

Verfahren zur Meldung an die Aufsichtsbehörde

1. Meldestelle

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden erfordert, wird revzper SAS die Meldung der Datenschutzverletzung bei der französischen Datenschutzbehörde (CNIL) einreichen.

2. Meldeportal

Die Meldung wird über das offizielle Online-Portal der CNIL eingereicht.

3. Inhalt des Meldungspakets

Das Meldungspaket umfasst:

Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, einschließlich der Kategorien und der ungefähren Anzahl der betroffenen Personen und betroffenen Datensätze;
den Namen und die Kontaktdaten des Datenschutzbeauftragten (DPO) oder einer anderen Kontaktstelle, bei der weitere Informationen erhältlich sind;
eine Beschreibung der voraussichtlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
eine Beschreibung der von revzper SAS ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, gegebenenfalls einschließlich Maßnahmen zur Minderung ihrer möglichen nachteiligen Auswirkungen.

4. Zeitplan der Meldung

Die Meldung wird vom DPO oder dem benannten Team für die Reaktion auf Vorfälle innerhalb der Frist von 72 Stunden erstellt und eingereicht.

5. Dokumentation der Meldung

Alle Meldungen von Datenschutzverletzungen werden in der internen Vorlage für die Dokumentation von Datenschutzverletzungen dokumentiert.

Ref: GDPR Art. 33(5)

Vorlage für die interne Dokumentation von Datenschutzverletzungen

1. Zweck der Dokumentation

Alle Verletzungen des Schutzes personenbezogener Daten werden unter Verwendung einer standardisierten Vorlage dokumentiert, um Konsistenz, Nachverfolgbarkeit und die Einhaltung der geltenden Vorschriften zu gewährleisten.

2. Felder der Dokumentation der Datenschutzverletzung

Die Vorlage für die Dokumentation der Datenschutzverletzung umfasst die folgenden Felder:

ID der Datenschutzverletzung: Eindeutige Kennung für die Datenschutzverletzung.
Datum/Uhrzeit der Entdeckung: Datum und Uhrzeit, zu denen die Datenschutzverletzung entdeckt wurde.
Produkt: Das/die von der Datenschutzverletzung betroffene(n) Produkt(e).
Hosting-Umgebung: Die Hosting-Umgebung, in der die Datenschutzverletzung aufgetreten ist.
Datenstandort: Der geografische Standort der betroffenen Daten.
Beschreibung der Datenschutzverletzung: Eine detaillierte Beschreibung der Art und des Umfangs der Datenschutzverletzung.
Kategorien der betroffenen Daten: Die Kategorien der betroffenen personenbezogenen Daten.
Ungefähre Anzahl der betroffenen Personen: Die ungefähre Anzahl der von der Datenschutzverletzung betroffenen Personen.
Datum/Uhrzeit der Bewertung: Datum und Uhrzeit, zu denen die Datenschutzverletzung bewertet wurde.
Risikobewertung: Das bewertete Risikoniveau (niedrig, mittel, hoch) und die Begründung.
Meldung an die Aufsichtsbehörde: Datum und Uhrzeit der Meldung an die Aufsichtsbehörde, sofern zutreffend.
Benachrichtigung der betroffenen Personen: Datum und Uhrzeit der Benachrichtigung der betroffenen Personen, sofern zutreffend.
Ergriffene Abhilfemaßnahmen: Eine Beschreibung der zur Behebung der Datenschutzverletzung und zur Verhinderung einer Wiederholung ergriffenen Maßnahmen.
Analyse der Grundursache: Die Grundursache der Datenschutzverletzung und alle festgestellten systemischen Probleme.
Präventive Maßnahmen: Zusätzliche Maßnahmen, die zur Verhinderung einer Wiederholung umgesetzt wurden.
Datum der DPO-Überprüfung: Datum, an dem der DPO die Dokumentation der Datenschutzverletzung überprüft und genehmigt hat.

3. Dokumentationsverfahren

Ref: GDPR Art. 30(1)(g)

Das Verfahren zur Dokumentation der Datenschutzverletzung umfasst die folgenden Schritte:

Erstdokumentation: Das Team für die Reaktion auf Vorfälle wird die Vorlage innerhalb von 24 Stunden nach der Entdeckung der Datenschutzverletzung ausfüllen.
Aktualisierung der Bewertung: Die Risikobewertung und die Abhilfemaßnahmen werden im Verlauf der Untersuchung aktualisiert.
Abschließende Überprüfung: Der DPO wird die abschließende Dokumentation innerhalb von 72 Stunden nach der Entdeckung der Datenschutzverletzung überprüfen und genehmigen.
Aufbewahrung: Die ausgefüllte Vorlage wird gemäß den geltenden Vorschriften mindestens 3 Jahre lang aufbewahrt.

4. Speicherung und Weitergabe der Dokumentation

Alle Dokumentationen von Datenschutzverletzungen werden sicher gespeichert und, soweit dies nach den geltenden Vorschriften erforderlich ist, an relevante Beteiligte, einschließlich der Aufsichtsbehörde und der betroffenen Personen, weitergegeben.