Diese Übersetzung dient nur zu Informationszwecken. Rechtsverbindlich ist ausschließlich die niederländische Fassung.
Protokoll zur Meldepflicht bei Datenschutzverletzungen
Erwägungen
- Dena Textile Productions B.V. legt Wert auf eine angemessene Sicherheit ihrer (elektronischen) Systeme, in denen personenbezogene Daten gespeichert und verarbeitet werden.
- Es lässt sich nie vollständig verhindern, dass eine Datenschutzverletzung eintritt.
- Dena Textile Productions B.V. ist nach der Datenschutz-Grundverordnung (DSGVO) verpflichtet, (schwerwiegende) Datenschutzverletzungen der Autoriteit Persoonsgegevens (der niederländischen Datenschutzbehörde) sowie den betroffenen Personen zu melden.
- Dena Textile Productions B.V. möchte ihren gesetzlichen Verpflichtungen nachkommen.
- Dena Textile Productions B.V. hat daher eine Richtlinie festgelegt, um im Falle einer dennoch eintretenden Datenschutzverletzung möglichst angemessen zu handeln.
1 - Definition einer Datenschutzverletzung
Eine Datenschutzverletzung liegt vor, wenn eine Verletzung der Sicherheit eintritt, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu übermittelten, gespeicherten oder auf sonstige Weise verarbeiteten Daten führt.
2 - Interne verantwortliche Stelle für die Meldung von Datenschutzverletzungen
Dena Textile Productions B.V. hat eine interne verantwortliche Stelle für die Bearbeitung von Datenschutzverletzungen benannt. Diese verantwortliche Stelle ist die Abteilung Marketing, mit Rolf van Eden als erstem Ansprechpartner.
3 - Interne Meldung bei Entdeckung einer Datenschutzverletzung
Wer eine Datenschutzverletzung bei Dena Textile Productions B.V. entdeckt, meldet diese unverzüglich der internen verantwortlichen Stelle. Sofern möglich, sorgt die Person, die die Datenschutzverletzung entdeckt hat, gleichzeitig dafür, dass die betroffenen Daten umgehend aus der Ferne gelöscht oder unzugänglich gemacht werden.
4 - Untersuchung durch die interne verantwortliche Stelle
Die interne verantwortliche Stelle untersucht unter anderem: ob personenbezogene Daten verloren gegangen sind oder unrechtmäßig genutzt werden können; welche Personen oder Abteilungen innerhalb der Organisation an der Datenschutzverletzung beteiligt sind; ob ein Auftragsverarbeiter an dem Vorfall beteiligt ist.
5 - Bekämpfung der Datenschutzverletzung
Die interne verantwortliche Stelle beendet die Datenschutzverletzung, sofern dies noch möglich ist, und ergreift ferner die erforderlichen Maßnahmen, um die Datenschutzverletzung bestmöglich zu bekämpfen.
6 - Feststellung der Folgen einer Datenschutzverletzung
Die interne verantwortliche Stelle untersucht die möglichen Folgen der Datenschutzverletzung anhand der Art und des Umfangs der betroffenen Daten und stellt fest, welche nachteiligen Folgen sich für die betroffenen Personen ergeben können.
7 - Mitwirkung bei der Bereitstellung von Informationen über die Datenschutzverletzung
Die Person, die die Datenschutzverletzung entdeckt oder gemeldet hat, leistet der internen verantwortlichen Stelle jede Mitwirkung, indem sie so schnell und so gut wie möglich (schriftlich) Fragen beantwortet zu: was ist geschehen; Unfall oder Vorsatz; wann geschehen; wann entdeckt; Art der betroffenen Daten; Verschlüsselungsstatus; Möglichkeit der Fernlöschung; mögliche Folgen; betroffene Gruppen; Anzahl der Personen; Beteiligung von EU-Ländern; technische/organisatorische Maßnahmen.
8 - Verfügbarkeit des Personals nach Entdeckung einer Datenschutzverletzung
Die verantwortliche Person der Abteilung, aus der die Datenschutzverletzung hervorgegangen ist, sowie die Person, die die Datenschutzverletzung entdeckt hat, und alle, die aufgrund ihrer Funktion oder ihres Wissens in der Lage sind, organisatorische und/oder technische Maßnahmen zu ergreifen, halten sich in den ersten 24 Stunden nach der Entdeckung verfügbar.
9 - Entscheidung über die Meldung von Datenschutzverletzungen
Die interne verantwortliche Stelle entscheidet so bald wie möglich, in jedem Fall jedoch innerhalb von 60 Stunden nach der Entdeckung, ob eine Meldung erforderlich ist. Eine Datenschutzverletzung wird grundsätzlich stets der Autoriteit Persoonsgegevens gemeldet, es sei denn, es ist unwahrscheinlich, dass die Datenschutzverletzung ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt.
10 - Meldung von Datenschutzverletzungen an die Autoriteit Persoonsgegevens und/oder die betroffenen Personen
Die interne verantwortliche Stelle trägt Sorge für die Meldung. Die Meldung erfolgt so bald wie möglich nach der Entdeckung und spätestens innerhalb von 60 Stunden nach Entdeckung der Datenschutzverletzung. Kein anderer Mitarbeiter darf eigenständig eine Meldung vornehmen.
11 - Folgen der Meldung von Datenschutzverletzungen
Bei nachteiligen Folgen bestimmt die interne verantwortliche Stelle die Art der Information, der Nachsorge und der erforderlichen Maßnahmen. Ist eine Datenschutzverletzung eingetreten - unabhängig davon, ob sie gemeldet wurde oder nicht - werden so bald wie möglich angemessene technische und/oder organisatorische Maßnahmen ergriffen.
12 - Führung eines Registers über Datenschutzverletzungen
Die interne verantwortliche Stelle führt ein Register mit: Beschreibung des Vorfalls, Datum/Uhrzeit der Datenschutzverletzung, Datum der Entdeckung, Art der Daten, Kategorien betroffener Personen, Anzahl der Personen, Beteiligung von EU-Ländern, Meldestatus gegenüber den Behörden und den betroffenen Personen, Informationsmethoden, Folgen und ergriffenen Maßnahmen.
Fragen zu einer (möglichen) Datenschutzverletzung können an privacy@dena.nl gerichtet werden.