DSGVO-Incident-Management-Software, die Sie innerhalb der 72-Stunden-Frist hält

Das Wichtigste auf einen Blick

Priverion ist eine in der Schweiz gehostete DSGVO-Incident-Management-Plattform, die für Organisationen mit mehreren Gesellschaften konzipiert ist. Sie automatisiert den gesamten Lebenszyklus einer Datenpanne — von der Mitarbeitererfassung über die EDSA-konforme Risikobewertung bis hin zur jurisdiktionsübergreifenden Meldung an die Aufsichtsbehörde und manipulationssicheren Audit-Trails — und hilft Datenschutzteams, die verbindliche 72-Stunden-Meldefrist gemäss Artikel 33 DSGVO einzuhalten. Alle Daten verbleiben auf Schweizer Infrastruktur und erfüllen so die Anforderungen an die Datenresidenz nach Schrems II.

Definitionen

Was ist eine Verletzung des Schutzes personenbezogener Daten gemäss DSGVO?

Eine Verletzung des Schutzes personenbezogener Daten wird in Artikel 4 Absatz 12 DSGVO definiert als „eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden". Diese Definition umfasst Vertraulichkeitsverletzungen, Integritätsverletzungen und Verfügbarkeitsverletzungen.

Was ist die 72-Stunden-Meldepflicht?

Die 72-Stunden-Meldepflicht ist in Artikel 33 Absatz 1 DSGVO festgelegt: „Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde." Der EDSA hat klargestellt, dass ein Verantwortlicher „Kenntnis" erlangt, sobald er mit hinreichender Sicherheit davon ausgehen kann, dass ein Sicherheitsvorfall eingetreten ist, der zur Kompromittierung personenbezogener Daten geführt hat (EDSA-Leitlinien 9/2022).

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Eine DSFA ist ein gemäss Artikel 35 DSGVO erforderliches Verfahren zur Bewertung der Auswirkungen von Verarbeitungsvorgängen auf den Schutz personenbezogener Daten. Obwohl sie sich vom Incident-Management unterscheidet, sind Organisationen, die DSFA für risikoreiche Verarbeitungstätigkeiten durchgeführt haben, besser darauf vorbereitet, die Schwere einer Datenpanne zu bewerten, wenn ein Vorfall eintritt.

Was ist die EDSA-Methodik zur Bewertung der Schwere von Datenpannen?

Die EDSA-Methodik zur Bewertung der Schwere von Datenpannen, dargelegt in den EDSA-Leitlinien 9/2022, bewertet Verletzungen anhand der Art und Sensibilität der personenbezogenen Daten, des Umfangs und der Identifizierbarkeit der betroffenen Personen, der Schwere der Folgen für die Einzelnen sowie der besonderen Merkmale des Verantwortlichen oder der betroffenen Person. Dieser strukturierte Ansatz bestimmt, ob eine Meldung an die Aufsichtsbehörde und/oder eine Benachrichtigung der betroffenen Personen erforderlich ist.

Statistiken und Branchenkontext

Gemäss dem EDSA-Jahresbericht 2023 erhielten die Aufsichtsbehörden in der EU/im EWR im Jahr 2023 über 120'000 Meldungen über Verletzungen des Schutzes personenbezogener Daten. Der IAPP-EY Privacy Governance Report 2023 stellte fest, dass die durchschnittliche Organisation 5,2 Vollzeit-Datenschutzfachkräfte beschäftigt, jedoch die Reaktion auf Datenpannen über mehrere Jurisdiktionen und Gesellschaften hinweg bewältigen muss. Gemäss der ENISA Threat Landscape 2024 bleiben Ransomware und Datenexfiltration die grössten Bedrohungen für europäische Organisationen, was robuste Incident-Management-Workflows unerlässlich macht. Artikel 83 Absatz 4 Buchstabe a DSGVO sieht Bussgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für die unterlassene Meldung von Datenpannen vor und unterstreicht damit das finanzielle Risiko unzureichender Incident-Management-Prozesse.

Häufig gestellte Fragen

Was besagt die 72-Stunden-Meldepflicht der DSGVO bei Datenpannen?

Gemäss Artikel 33 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später als 72 Stunden, muss der Verantwortliche dokumentierte Gründe für die Verzögerung angeben. Die Leitlinien 9/2022 des EDSA bieten detaillierte praktische Hinweise dazu, wann die 72-Stunden-Uhr zu laufen beginnt.

Wie automatisiert Priverion das DSGVO-Incident-Management?

Priverion bietet einen einzigen strukturierten Workflow, der den gesamten Lebenszyklus einer Datenpanne abdeckt: konfigurierbare Erfassungsformulare mit automatischer Zuweisung an den Datenschutzbeauftragten, EDSA-konforme Schwere-Bewertung, Koordination mehrerer Gesellschaften mit jurisdiktionsbewusster Meldelogik, automatisch vorausgefüllte Meldeformulare für die Aufsichtsbehörde im Einklang mit den Anforderungen von Artikel 33 sowie manipulationssichere Audit-Trails mit zeitgestempelten Nachweispaketen. Die Plattform reduziert die Vorbereitungszeit für Meldungen um bis zu 70 % gegenüber der manuellen Erstellung, basierend auf vorausgefüllten Vorlagen im Vergleich zu manuellen Prozessen.

Wo werden die Daten von Priverion gehostet?

Alle Daten von Priverion werden ausschliesslich auf Schweizer Infrastruktur verarbeitet und gespeichert. In einem Post-Schrems-II-Umfeld — in dem der EuGH den EU-US-Datenschutzschild in der Rechtssache C-311/18 für ungültig erklärt hat — bietet die Schweizer Datenresidenz eine rechtlich belastbare Grundlage für europäische Organisationen, die sensible Pannendaten im Zusammenhang mit grenzüberschreitenden Übermittlungen verwalten.

Was ist die EDSA-Methodik zur Risikobewertung von Datenpannen?

Die EDSA-Leitlinien 9/2022 empfehlen eine strukturierte Schwere-Bewertung, die Folgendes berücksichtigt: die Art und Sensibilität der betroffenen personenbezogenen Daten, den Umfang und die Identifizierbarkeit der betroffenen Personen, die Schwere der Folgen für die Einzelnen sowie die besonderen Merkmale des Verantwortlichen oder der betroffenen Personen. Das integrierte Rahmenwerk zur Risikobewertung von Priverion setzt diese Methodik mit transparenter, nachvollziehbarer Entscheidungslogik um.

Wie handhabt Priverion die Koordination von Datenpannen über mehrere Gesellschaften hinweg?

Für Konzerne, die über mehrere Tochtergesellschaften und Jurisdiktionen hinweg tätig sind, identifiziert Priverion automatisch, welche Gesellschaften von einem Vorfall betroffen sind, bestimmt anhand der Jurisdiktionskonfiguration auf Gesellschaftsebene, welche Aufsichtsbehörden zu benachrichtigen sind, und weist lokalen Datenschutzverantwortlichen Aufgaben mittels rollenbasierter Zugriffskontrollen zu. Dies beseitigt den Koordinationsaufwand bei der Bewältigung der Reaktion auf Datenpannen über E-Mail-Ketten und Tabellen hinweg.

Welche Bussgelder sieht die DSGVO bei unterlassener Meldung einer Datenpanne vor?

Gemäss Artikel 83 Absatz 4 Buchstabe a DSGVO kann die unterlassene Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde zu Bussgeldern von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist. Mehrere Aufsichtsbehörden haben gezielt für verspätete oder unterlassene Meldungen von Datenpannen erhebliche Bussgelder verhängt.

Wie hilft Schweizer Daten-Hosting bei der DSGVO-Compliance?

Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU nach Artikel 45 DSGVO, was bedeutet, dass personenbezogene Daten aus der EU/dem EWR in die Schweiz fliessen können, ohne dass zusätzliche Garantien wie Standardvertragsklauseln erforderlich sind. In Kombination mit dem im September 2023 revidierten Schweizer Datenschutzgesetz (DSG) bietet die in der Schweiz gehostete Infrastruktur einen robusten Rechtsrahmen für die Verarbeitung von Pannendaten mit Personenbezug.

Welche Angaben muss eine Pannenmeldung gemäss Artikel 33 enthalten?

Gemäss Artikel 33 Absatz 3 DSGVO muss die Meldung Folgendes beschreiben: die Art der Verletzung des Schutzes personenbezogener Daten einschliesslich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle; die wahrscheinlichen Folgen der Verletzung; sowie die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen. Priverion füllt diese Felder automatisch aus den bereits während des Workflows erfassten Vorfalldaten aus.

Vergleich: Ansätze für das DSGVO-Incident-Management