Stand: 29.05.2026

Datenpannenprozess

1. Ziel

Dieser Prozess regelt den Umgang mit möglichen Verletzungen des Schutzes personenbezogener Daten, etwa unbefugtem Zugriff, Verlust, Offenlegung, Veränderung, Verschlüsselung durch Angreifer, Fehlversand oder fehlerhafter Mandantentrennung.

2. Meldung und Erstbewertung

Verdächtige Ereignisse sind unverzüglich intern an die Geschäftsführung von Proximo Systems Dreessen & Haensch GbR zu melden. Die Erstbewertung klärt, ob personenbezogene Daten betroffen sein könnten, welche Systeme betroffen sind, ob der Vorfall andauert und welche Sofortmaßnahmen erforderlich sind.

3. Sofortmaßnahmen

Je nach Vorfall werden Zugänge gesperrt, Tokens rotiert, Systeme isoliert, Logs gesichert, fehlerhafte Funktionen deaktiviert, Backups geschützt, Passwörter zurückgesetzt oder externe Dienstleister eingebunden. Maßnahmen werden dokumentiert.

4. Untersuchung

Die Untersuchung ermittelt Ursache, Zeitpunkt, betroffene Nutzer, Workspaces, Kategorien personenbezogener Daten, Umfang der Offenlegung, mögliche Folgen und bereits ergriffene Gegenmaßnahmen. Relevante Beweise und Logdaten werden gesichert.

5. Risikobewertung

Es wird bewertet, ob ein Risiko oder hohes Risiko für Rechte und Freiheiten betroffener Personen besteht. Zu berücksichtigen sind Art und Sensibilität der Daten, Menge der Daten, Identifizierbarkeit, Schutzmaßnahmen wie Verschlüsselung, Missbrauchswahrscheinlichkeit und mögliche Schäden.

6. Benachrichtigung von Kunden

Wenn clutr als Auftragsverarbeiter handelt, wird der betroffene Kunde unverzüglich informiert, damit dieser seine Pflichten als Verantwortlicher erfüllen kann. Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten, betroffene Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.

7. Meldung an Aufsichtsbehörden

Wenn Proximo Systems Dreessen & Haensch GbR selbst Verantwortlicher ist und eine meldepflichtige Datenschutzverletzung vorliegt, erfolgt die Meldung an die zuständige Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden. Verzögerungen sind zu begründen.

8. Benachrichtigung betroffener Personen

Besteht voraussichtlich ein hohes Risiko für betroffene Personen, werden diese nach Maßgabe der DSGVO unverzüglich informiert, sofern keine gesetzliche Ausnahme greift. Die Information erfolgt klar und verständlich.

9. Abschluss und Nachbereitung

Nach Eindämmung und Untersuchung werden Ursachen beseitigt, Schutzmaßnahmen verbessert, betroffene Kunden informiert, Dokumentation abgeschlossen und Lehren für Technik, Prozesse und Verträge abgeleitet.

10. Dokumentation

Jeder Datenschutz- oder Sicherheitsvorfall wird dokumentiert, auch wenn keine Meldepflicht besteht. Die Dokumentation umfasst Zeitlinie, Verantwortliche, Entscheidungen, Risikoabwägung, Kommunikation, Maßnahmen und Nachweise.