Datenpanne melden: mit Zahlen aus dem Leak
Ihre Daten stehen auf einer Leak-Seite. Ab jetzt läuft die Frist. Leak-Ingest liefert die Fakten für die Meldung. Mit einem Klick legen Sie die Datenpanne im Datenschutz-Modul von SecTepe.Core an.
Demo anfragenWas die Aufsichtsbehörde wissen will
Eine Datenpanne melden Sie nach Art. 33 DSGVO binnen 72 Stunden. Die Behörde fragt dann: Wie viele Personen sind betroffen? Welche Daten? Wie hoch ist das Risiko? Leak-Ingest zählt nach, in den geleakten Daten selbst.
Der Vorschlag: Personenzahl und Datenkategorien
Bevor Sie etwas anlegen, sehen Sie einen Vorschlag. Dabei entsteht noch kein Eintrag.
- Personenzahl: Jede Person zählt einmal, auch wenn sie in vielen Dateien steht.
- Untergrenze: Zeilen ohne E-Mail, Telefonnummer oder ein anderes Merkmal lassen sich keiner Person zuordnen. Sie fehlen in der Zahl. Darum ist sie als Untergrenze markiert, ebenso ein noch laufender Durchlauf.
- Datenkategorien: Kontaktdaten, Identitätsdaten, Finanzdaten und Online-Kennungen wie Passwörter.
- Zugänge: Liegen Passwörter im Klartext vor, weist der Vorschlag auf ein hohes Risiko nach Art. 34 hin. Als erste Maßnahme nennt er das Ändern der Zugänge.
Unter dem Vorschlag steht, was die Zahlen nicht belegen. So wirkt eine unfertige Auswertung nicht vollständig.
Art. 9 und Art. 10: Ihr Bearbeiter entscheidet
Art. 9 schützt besondere Daten, etwa zur Gesundheit. Art. 10 betrifft Daten über Straftaten. Das Modul sucht dazu nur Hinweise in Spalten- und Dateinamen. Heißt eine Datei „Krankmeldungen“, ist das ein Hinweis. Ob wirklich Gesundheitsdaten darin stehen, prüft ein Mensch.
Darum beantwortet Ihr Bearbeiter beide Fragen selbst, mit Ja oder Nein. Die Hinweise sieht er dabei im Dialog. Ohne beide Antworten lässt sich keine Meldung anlegen.
Datenpanne im Datenschutz-Modul anlegen
Mit Ihrer Bestätigung entsteht die Datenpanne im Datenschutz-Modul. Personenzahl, Kategorien und die Grenzen der Auswertung stehen in der Beschreibung. Wann Sie von der Panne erfahren haben, tragen Sie bei Bedarf selbst ein. Das Datenschutz-Modul ermittelt dann Risiko, Meldepflicht und Fristen.
Ein zweiter Klick legt keine zweite Meldung an. Ist gar keine Personenzahl bekannt, verweigert das Modul die automatische Meldung. Dann legen Sie sie direkt im Datenschutz-Modul an, mit einer selbst festgestellten Zahl.
Mehrteilige Leaks als ein Vorfall
Manche Leaks erscheinen in mehreren Teilen. Sie fassen die Teile zu einem Vorfall zusammen. Dann gibt es eine Meldung für alle Teile. Ein Teil passt nur, wenn Opfer und Täter-Gruppe gleich sind. Ein bereits gemeldeter Teil lässt sich nicht nachträglich zuordnen.
Betroffene prüfen und benachrichtigen
Die Betroffenenliste zeigt jede Person aus dem Leak. Ihre eigenen Leute markiert das Modul. Je Person halten Sie fest: bestätigt, abgelehnt oder keine Person, etwa ein Sammelpostfach.
Nur bestätigte Personen lassen sich als benachrichtigt markieren. Sie wählen den Kanal: E-Mail, Brief, Telefon, öffentliche Bekanntmachung oder Sonstiges. Dazu kommen Datum und auf Wunsch das Zeichen des Schreibens. Das Modul versendet nichts. Es dokumentiert, was Sie getan haben.
Auskunft nach Art. 15
Fragt eine Person, ob sie betroffen ist, durchsucht das Modul alle Datensätze. Gesucht wird nach E-Mail, Telefonnummer oder Name. Ein Name zählt nur mit passendem Geburtsdatum als Treffer. Die Antwort nennt auch, was sich nicht durchsuchen ließ. So heißt „nichts gefunden“ nie vorschnell „nicht betroffen“.
Die Fallakte für die Aufsichtsbehörde
Die Fallakte bündelt den Vorgang: Freigabe, Art.-33-Meldung, Betroffene und Prüfpfad. Offene Punkte stehen ganz oben, etwa eine fehlende Freigabe. „Vollständig belegt“ steht nur da, wenn nichts mehr offen ist.
Für Meldungen nach der NIS2-Richtlinie gibt es keinen eigenen Ablauf. Ob Sie geleakte Daten beschaffen und speichern dürfen, klären Sie vorab mit Ihrer Rechts- und Datenschutzberatung. Das Modul dokumentiert Ihre Entscheidung, es ersetzt sie nicht. Wie das Einlesen abläuft, zeigt der BeitragRansomware-Leaks DSGVO-konform auswerten. Braucht Ihr Team Hilfe im Ernstfall, unterstützt unsereIncident Response.
Häufige Fragen zur Meldung einer Datenpanne
- Wie schnell muss ich eine Datenpanne melden?
- Nach Art. 33 DSGVO binnen 72 Stunden, nachdem Sie davon erfahren haben. Leak-Ingest liefert die Fakten aus dem Leak. Ob eine Meldepflicht besteht und welche Fristen gelten, ermittelt das Datenschutz-Modul aus Ihren Angaben.
- Warum ist die Personenzahl nur eine Untergrenze?
- Manche Zeilen im Leak tragen kein Merkmal wie eine E-Mail-Adresse. Sie lassen sich keiner Person zuordnen und fehlen in der Zahl. Ist die Auswertung noch nicht fertig, fehlen weitere. Das Modul sagt beides offen, statt eine runde Zahl vorzutäuschen.
- Erkennt das Modul Gesundheitsdaten automatisch?
- Nein. Es findet nur Hinweise in Spalten- und Dateinamen. Ob besondere Kategorien nach Art. 9 oder Strafdaten nach Art. 10 betroffen sind, legt Ihr Bearbeiter fest. Ohne beide Antworten entsteht keine Meldung.
- Verschickt Leak-Ingest die Benachrichtigungen an Betroffene?
- Nein. Sie informieren die Betroffenen über Ihre üblichen Wege, etwa per Brief oder E-Mail. Das Modul hält fest, wen Sie wann und über welchen Kanal benachrichtigt haben. So steht der Nachweis in der Fallakte.
Die nächste Meldung mit belastbaren Zahlen
Wir zeigen Ihnen den Weg vom Leak bis zur Fallakte an einem Beispiel.
Demo anfragenSo arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.