Datenpannen-Protokoll

Protokoll zur Meldung und Bearbeitung eines Sicherheitsvorfalls oder einer Datenpanne, Bureaubuitenland België BV, Version 2.0, Oktober 2026. Ersetzt Version 1.1 vom 19. Oktober 2018.

Zweck

Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Organisationen, eine Datenpanne unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde und in bestimmten Fällen auch den Betroffenen zu melden. Dieses Protokoll beschreibt, wie Bureaubuitenland België BV bei einem Sicherheitsvorfall oder einer Datenpanne (oder dem Verdacht darauf) handelt, innerhalb der eigenen Organisation oder bei einer Partei, die für uns tätig ist.

Da wir in Ermittlungen als Auftragsverarbeiter im Auftrag von Sozialhilfezentren (ÖSHZ), Wohnungsgesellschaften und anderen Auftraggebern handeln, melden wir eine Datenpanne, die deren Daten betrifft, außerdem stets unmittelbar dem betreffenden Auftraggeber, wie im Auftragsverarbeitungsvertrag vereinbart.

Mit diesem Protokoll wollen wir für alle Beteiligten berechenbar sein, die Interessen von Betroffenen und Auftraggebern schützen, jeden Vorfall sorgfältig analysieren und uns strukturell verbessern.

• Betroffene Person: die Person, auf die sich personenbezogene Daten beziehen.
• Sicherheitsvorfall: eine Verletzung der Sicherheit, durch die personenbezogene Daten möglicherweise einem Verlust oder einer unrechtmäßigen Verarbeitung ausgesetzt sind.
• Datenpanne: ein Sicherheitsvorfall, bei dem personenbezogene Daten tatsächlich verloren gegangen sind oder unrechtmäßig verarbeitet wurden. Jede Datenpanne ist ein Sicherheitsvorfall; nicht jeder Sicherheitsvorfall ist eine Datenpanne.
• Verantwortlicher: die Partei, die Zweck und Mittel der Verarbeitung bestimmt. In Ermittlungen ist dies der Auftraggeber.
• Auftragsverarbeiter: die Partei, die im Auftrag des Verantwortlichen verarbeitet. In Ermittlungen ist dies Bureaubuitenland België BV.
• Response-Team: die Geschäftsleitung von Bureaubuitenland België BV, bei Bedarf ergänzt durch den Datenschutzbeauftragten (DSB) und externe Sachverständige.
• Aufsichtsbehörde: die belgische Datenschutzbehörde (GBA), Drukpersstraat 35, 1000 Brüssel.

Jede Person, die einen (möglichen) Sicherheitsvorfall oder eine Datenpanne bemerkt, intern oder extern, meldet dies unverzüglich der Geschäftsleitung über info@bureaubuitenland.be oder telefonisch unter +31 (0)85 111 01 23. Die Meldung ist formfrei: Beschreiben Sie so vollständig wie möglich, was geschehen ist, wann, welche Daten betroffen sind und wer beteiligt ist. Fügen Sie nach Möglichkeit Belege bei und geben Sie an, wie dringend die Angelegenheit ist.

Die Geschäftsleitung nimmt die Meldung sofort in Bearbeitung, legt ein Logbuch mit allen Ereignissen, Entscheidungen und Zeitpunkten an und sichert Beweismittel.

Schritt 2: Bewerten

Die Geschäftsleitung bewertet innerhalb von 24 Stunden nach der Meldung, ob ein Sicherheitsvorfall oder eine Datenpanne vorliegt. Dabei zählen unter anderem: Sind personenbezogene Daten verloren gegangen oder unrechtmäßig verarbeitet worden, handelt es sich um sensible Daten, wie viele betroffene Personen sind berührt, und welche möglichen Folgen hat dies für sie.

Liegt nur ein Sicherheitsvorfall ohne Verlust oder unrechtmäßige Verarbeitung vor, wird der Vorfall registriert und behoben, ohne Meldung an die Aufsichtsbehörde. Liegt (möglicherweise) eine Datenpanne vor, tritt das Response-Team unverzüglich zusammen.

Schritt 3: Response-Team

Das Response-Team sorgt für Folgendes und hält es fest: das unverzügliche Schließen der Lücke und Begrenzen der Folgen, die Entscheidung, ob und was der Aufsichtsbehörde gemeldet wird, die Meldung an den oder die betroffenen Auftraggeber, die interne und externe Kommunikation, die Frage, ob eine Strafanzeige erforderlich ist, und ob ein etwaiger Schaden versichert ist.

Betrifft die Datenpanne Daten, die wir als Auftragsverarbeiter für einen Auftraggeber verarbeiten, informieren wir diesen Auftraggeber unverzüglich und spätestens innerhalb von 24 Stunden nach Feststellung, mit allen Informationen, die der Auftraggeber für seine eigene Meldung an die Aufsichtsbehörde benötigt.

Schritt 5: Meldung an die belgische Datenschutzbehörde

Ist Bureaubuitenland België BV selbst Verantwortlicher, meldet die Geschäftsleitung die Datenpanne unverzüglich und möglichst binnen 72 Stunden nach Entdeckung der belgischen Datenschutzbehörde über das Meldeformular auf www.gegevensbeschermingsautoriteit.be. Die Eingangsbestätigung und das ausgefüllte Formular werden im Logbuch aufbewahrt. Die Geschäftsleitung ist die Ansprechstelle für die Aufsichtsbehörde.

Schritt 6: Information der Betroffenen

Birgt die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, werden diese direkt informiert. Die Benachrichtigung enthält mindestens die Art der Panne, unsere Kontaktdaten, die wahrscheinlichen Folgen sowie die Maßnahmen, die wir ergriffen haben und die der Betroffene selbst ergreifen kann. In Ermittlungen geschieht dies in Absprache mit dem Auftraggeber und in der Regel durch diesen.

Die Geschäftsleitung untersucht den tatsächlichen Hergang und wie eine Wiederholung verhindert wird. Sie darf dazu mit allen beteiligten Parteien sprechen, alle relevanten Dokumente und Systeme einsehen, Auftragsverarbeiter gemäß dem Auftragsverarbeitungsvertrag in die Pflicht nehmen und externe Sachverständige hinzuziehen. Ergebnisse und Verbesserungsmaßnahmen werden festgehalten, umgesetzt und auf ihre Wirkung hin evaluiert.

Schritt 8: Abschließen

Wenn die Datenpanne endgültig bearbeitet ist, informiert die Geschäftsleitung den Meldenden und die unmittelbar Betroffenen. Der Vorfall wird mit allen Unterlagen in das Register der Datenpannen aufgenommen, das auch die Vorfälle enthält, die nicht gemeldet werden mussten.

Pflege

Dieses Protokoll wird jährlich und nach jedem Vorfall von der Geschäftsleitung evaluiert und neu festgelegt. Festgelegt von der Geschäftsleitung der Bureaubuitenland België BV in Antwerpen, Oktober 2026.