Zum Hauptinhalt springen

Aus einem Vorfall lernen: Maßnahmen ableiten und Hinweise einsammeln (Teil 22 der Reihe DSGVO-Dokumentation)

Teil 22 der Video-Reihe "DSGVO-Dokumentation mit preeco": aus einem Vorfall Aufgaben und neue technische und organisatorische Maßnahmen ableiten, die Änderung im Revisionsvergleich zeigen und ein Formular einrichten, über das Beschäftigte Vorfälle melden.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video leiten Sie in preeco | datenschutz aus einem Vorfall neue Maßnahmen ab und richten ein Formular für Hinweise auf Vorfälle ein. Das Tablet ist gelöscht, die Meldung ist raus. Was lernt Kaltenbach daraus? Wir öffnen den Vorfall aus dem letzten Teil. Unter Lessons Learned ist noch alles leer. Über Bearbeiten hält Lea fest, was Kaltenbach aus dem Vorfall mitnimmt. Die primäre Ursache: Der Werkstattplaner meldet sich auf den Tablets nicht von selbst ab. Gut lief die Fernlöschung, noch am Freitagvormittag. Schlecht lief, dass das Tablet die ganze Nacht fehlte und es keinen festen Meldeweg aus den Stores gibt. Auch hier kann die KI helfen: KI-Aktionen, Lessons Learned ergänzen. Die Angaben des Vorfalls gehen an die KI. Ihre Ergänzungen prüft Lea, bevor sie speichert. Die KI hängt an jedes Feld einen Absatz an. Meist formuliert er nur aus, was schon im Feld steht. Unter Verbesserungsmaßnahmen schlägt sie vier Schritte vor, jeweils mit Zuständigkeit. Lea löscht die Wiederholungen. Aus den Vorschlägen macht sie zwei Verbesserungen: eine automatische Abmeldung und einen Meldeweg für die Beschäftigten. Dann speichert sie. Die erste Verbesserung wird eine Aufgabe für die IT, mit Aufgabe anlegen. Die Bezeichnung kommt aus den Verbesserungsmaßnahmen. Lea setzt Priorität und Fälligkeit und weist die Aufgabe Murat Aydın zu. Er bekommt eine E-Mail. Schreiben Sie zu jeder Erkenntnis auf, wer sie bis wann umsetzt. Sonst bleibt sie eine Notiz. Was sich an den Schutzmaßnahmen ändert, plant Lea unter Maßnahmen. Mit Neu legt sie eine geplante Maßnahme an. Die Tablets sollen sich sperren und automatisch abmelden. Schutzziel ist die Vertraulichkeit, zuständig ist die IT. Lea übernimmt und speichert. Danach öffnet sie die Maßnahme wieder. Unter Aktionen steht: Maßnahme aus TOM ableiten. Kaltenbach hat ein TOM-Dokument für das ganze Unternehmen. Lea leitet aus diesem vorhandenen Dokument ab, in der Kategorie Zugangskontrolle. Dort stehen schon drei Bausteine. Mit dem Plus kommt ein neuer dazu. Der neue Baustein beschreibt die Maßnahme so, dass jemand sie prüfen kann: wann sich die Geräte sperren und wann der Werkstattplaner abmeldet. Mit Übernehmen steht der Baustein im TOM-Dokument, und der Vorfall ist mit den TOMs verknüpft. Im Vorfall steht jetzt der Verweis auf die TOMs, darunter die geplante Maßnahme. Und im TOM-Dokument steht der neue Baustein unter Zugangskontrolle. Die DSGVO verlangt ein Verfahren, das die Maßnahmen regelmäßig überprüft und bewertet. Ein Vorfall ist ein guter Anlass dafür. Die TOMs waren freigegeben. Deshalb hat preeco beim Übernehmen gleich eine neue Revision angelegt. Lea markiert beide Revisionen und wählt Unterschiede anzeigen. Grün ist, was hinzugekommen ist. So sieht jeder, was der Vorfall an den Maßnahmen geändert hat. Wer aus einem Vorfall ableitet, ändert freigegebene TOMs direkt. Stimmen Sie die Änderung deshalb vorher mit Ihrem Datenschutzbeauftragten ab. Die zweite Verbesserung: Beschäftigte sollen einen Vorfall sofort melden können. Dafür gibt es auf der Seite Vorfälle die Formulare für Hinweise. Kaltenbach hat das Formular Hinweise Beschäftigte angelegt. Neue Hinweise gehen per E-Mail an Lea, und unter Einbetten steht der Code für die Website. Dieses Formular nimmt Hinweise auf Datenschutzvorfälle an. Für Meldungen nach dem Hinweisgeberschutzgesetz gibt es preeco | hinweisgeber, ein eigenes Produkt auf eigener Plattform. So sieht es auf der Website aus, unter Hinweis geben. Nele Hofmann aus dem Store Freiburg gibt Namen, Funktion und E-Mail an. Art der Mitwirkung: organisationsintern. Dann ihr Hinweis: Im Store lag ein Ausdruck mit Kundenaufträgen offen am Tresen. Ein Klick, und der Hinweis ist gesendet. Lea bekommt eine E-Mail. In preeco steht der Hinweis jetzt in der Liste der Hinweise, mit dem Status Neu. Im Hinweis stehen Neles Angaben und ihre Beschreibung. Ist der Hinweis ernst, macht Lea über Aktionen einen Vorfall daraus. Der neue Vorfall übernimmt die Beschreibung und Nele Hofmann als Beteiligte. Bewertet wird er wie im letzten Teil. Machen Sie das Melden so einfach wie möglich. Je früher der Datenschutz von einem Vorfall erfährt, desto mehr Zeit bleibt für Bewertung und Meldung. Im nächsten Teil holt Kaltenbach Einwilligungen ein, für Fotos auf der Karriereseite.

Das Werkstatt-Tablet aus dem Store Karlsruhe ist gelöscht, die Meldung an die Aufsichtsbehörde ist raus. In diesem Teil hält Lea Brandner in preeco | datenschutz fest, was die Velomanufaktur Kaltenbach aus dem Vorfall lernt: Lessons Learned mit KI-Unterstützung, eine Aufgabe für die IT und eine neue technische und organisatorische Maßnahme, die direkt im TOM-Dokument landet. Danach richtet sie ein Formular ein, über das Beschäftigte Vorfälle sofort melden. Dieser Artikel ist Teil 22 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Der Vorfall ist erfasst (Teil 21 der Reihe).
  • Ihre technischen und organisatorischen Maßnahmen sind als TOM-Dokument angelegt (Teil 04).
  • Für die KI-Aktionen: Die KI ist für Ihr Team eingerichtet und Ihre Rolle darf sie nutzen.

Worum es geht

Die DSGVO verlangt ein Verfahren, das die technischen und organisatorischen Maßnahmen regelmäßig überprüft, bewertet und evaluiert (Art. 32 Abs. 1 lit. d DSGVO). Ein Vorfall ist ein guter Anlass dafür: Was hat ihn möglich gemacht, und welche Maßnahme fehlt?

Lessons Learned festhalten

  1. Öffnen Sie den Vorfall und klicken Sie auf Bearbeiten. Im Abschnitt Lessons Learned stehen Primäre Ursache, Zusätzliche Informationen, Was lief gut, Was lief schlecht und Verbesserungsmaßnahmen.
  2. Über KI-Aktionen und Lessons Learned ergänzen ergänzt die KI den Abschnitt. Die Angaben des Vorfalls gehen dafür an die KI, die Ergänzungen landen im Formular. Prüfen Sie sie vor dem Speichern und löschen Sie, was nur wiederholt, was schon dasteht.
  3. Klicken Sie auf Speichern.

Eine Aufgabe anlegen

  1. Auf der Seite des Vorfalls klicken Sie im Abschnitt Lessons Learned auf Aufgabe anlegen.
  2. Die Bezeichnung übernimmt preeco aus dem ersten Satz der gespeicherten Verbesserungsmaßnahmen. Setzen Sie Priorität und Fälligkeit, wählen Sie unter Zugewiesen an, wer die Aufgabe erledigt, und klicken Sie auf Erstellen. Die Person erhält eine E-Mail.

Eine Maßnahme aus den TOMs ableiten

  1. Klicken Sie im Vorfall auf Bearbeiten. Unter Maßnahmen legen Sie bei Geplante Maßnahmen mit Neu eine Maßnahme an: Bezeichnung, Art der Maßnahme, Schutzziel, Zuständigkeit für die Umsetzung, Planung der Umsetzung bis und Status der Umsetzung. Klicken Sie auf Übernehmen und dann auf Speichern.
  2. Öffnen Sie den Vorfall erneut über Bearbeiten, klicken Sie unter Geplante Maßnahmen auf die Maßnahme und wählen Sie unter Aktionen den Punkt Maßnahme aus TOM ableiten.
  3. Wählen Sie bei Art "Aus vorhandener technischer und organisatorischer Maßnahme ableiten", dann Ihr TOM-Dokument und die Textbaustein-Kategorie, bei Kaltenbach "Zugangskontrolle". Die Bausteine, die dort schon stehen, werden angezeigt.
  4. Mit dem Plus legen Sie einen neuen Textbaustein an. Beschreiben Sie die Maßnahme so, dass jemand sie prüfen kann. Klicken Sie auf Speichern und dann auf Übernehmen.
  5. Damit ist das TOM-Dokument geändert und mit dem Vorfall verknüpft; die Änderung ist sofort gespeichert. Im Vorfall steht der Verweis unter Bereits existierende Maßnahmen.

Ist das TOM-Dokument freigegeben, legt preeco beim Übernehmen sofort eine neue Revision an. Stimmen Sie die Änderung deshalb vorher mit Ihrem Datenschutzbeauftragten ab.

Die Änderung nachvollziehen

  1. Öffnen Sie das TOM-Dokument und den Reiter Revisionen.
  2. Markieren Sie die aktuelle und die vorherige Revision und wählen Sie unter Aktionen den Punkt Unterschiede anzeigen.
  3. Unter Revisionen vergleichen ist grün markiert, was hinzugekommen ist, und rot, was entfernt wurde.

Ein Formular für Hinweise einrichten

  1. Öffnen Sie im Menü Auskünfte und Vorfälle den Punkt Vorfälle. Unter der Liste der Vorfälle stehen Vorfälle - Hinweise und Vorfälle - Formulare für Hinweise.
  2. Legen Sie unter Vorfälle - Formulare für Hinweise ein Formular an. Unter Formulareigenschaften tragen Sie die Domains ein, auf denen es eingebunden wird, und unter Empfänger für Benachrichtigung, wer bei jedem neuen Hinweis eine E-Mail bekommt.
  3. Unter Einbetten kopieren Sie mit In Zwischenablage kopieren den Code für Ihre Website oder Ihr Intranet.

Das Formular nimmt Hinweise auf Datenschutzvorfälle an. Für Meldungen nach dem Hinweisgeberschutzgesetz gibt es preeco | hinweisgeber, ein eigenes Produkt auf eigener Plattform.

Aus einem Hinweis einen Vorfall machen

  1. Wer das Formular ausfüllt, gibt Name, Funktion und Kontaktdaten, die Art der Mitwirkung und eine Beschreibung an und klickt auf Anfrage absenden.
  2. Der Hinweis steht danach unter Vorfälle - Hinweise mit dem Status Neu.
  3. Öffnen Sie den Hinweis und wählen Sie unter Aktionen den Punkt Vorfall aus Hinweis erstellen. Der neue Vorfall übernimmt die Beschreibung und die meldende Person als Beteiligte. Bewerten Sie ihn dann wie in Teil 21.

So machen es Praktiker

Machen Sie das Melden so einfach wie möglich. Je früher der Datenschutz von einem Vorfall erfährt, desto mehr Zeit bleibt für Bewertung und Meldung.

Nächster Schritt

Im nächsten Teil, Teil 23, holt Kaltenbach Einwilligungen ein, für Fotos auf der Karriereseite.

Alle Teile der Reihe

← Teil 21: Vorfall erfassen und melden · Teil 23: Einwilligungen einholen →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln
  14. Teil 13: Löschkonzept und Löschklassen
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken
  17. Teil 16: DSFA: Maßnahmen und Bericht
  18. Teil 17: Drittlandtransfer prüfen
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen (dieser Artikel)
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)
Zurück zu den Kurzanleitungen