Basisplan für Sicherheitsvorfälle und Datenschutzverletzungen¶

Stand: [19.10.2026]
Freigabe durch Geschäftsführung: [Name / Datum]
Vorfallkoordination und Notfallkontakt: Jochen Vögele
Vertretung: Lukas Manera

Dieser Plan unterstützt die Sicherheitsmaßnahmen nach Artikel 32 DSGVO. Er gilt für die von uns entwickelten, gewarteten und gehosteten Anwendungen. Kundenspezifische Kontakte, Befugnisse und technische Abläufe werden in ergänzenden Kunden- und Betriebsblättern festgehalten.

1. Vorfall melden¶

Alle Mitarbeiter melden vermutete Sicherheitsvorfälle sofort an Jochen Vögele, bei Nichterreichbarkeit an Lukas Manera. Bei dringenden Vorfällen erfolgt die Meldung telefonisch.

Dazu zählen insbesondere unberechtigte Zugriffe, offengelegte oder versehentlich gelöschte Kundendaten, Schadsoftware und sicherheitsrelevante Ausfälle.

Die erste Meldung enthält soweit bekannt:

• Was wurde wann festgestellt?
• Welche Anwendungen und Kunden sind betroffen?
• Gibt es Hinweise auf betroffene personenbezogene Daten?
• Welche Maßnahmen wurden bereits durchgeführt?

Eine Meldung darf nicht durch eine noch unvollständige Untersuchung verzögert werden.

2. Koordination übernehmen¶

Jochen Vögele, ersatzweise Lukas Manera:

• übernimmt die Koordination und beginnt ein Vorfallsprotokoll;
• informiert bei erheblichen Vorfällen oder vermuteten Datenschutzverletzungen unverzüglich die Geschäftsführung;
• bindet die zuständigen Entwickler sowie bei Bedarf Kundenadministration und Hostinganbieter ein;
• verteilt Aufgaben und hält Entscheidungen fest.

Außerhalb der Arbeitszeit ist Jochen Vögele der erste Notfallkontakt. Eine garantierte Rufbereitschaft ist damit nicht festgelegt. Erreichbarkeit und weitere Eskalation sind noch zu vereinbaren.

3. Schaden begrenzen und Beweise sichern¶

Die beteiligten Entwickler prüfen geeignete Sofortmaßnahmen, beispielsweise:

• betroffene Funktionen oder Anwendungen vorübergehend sperren;
• kompromittierte Zugänge sperren und Zugangsdaten erneuern;
• Logs und relevante Systemzustände sichern;
• weitere möglicherweise betroffene Shops prüfen.

Maßnahmen werden mit Zeitpunkt und ausführender Person dokumentiert. Beweismittel dürfen nicht unnötig gelöscht oder überschrieben werden.

Eigenes IONOS-Hosting: Schutzmaßnahmen erfolgen im Rahmen der vertraglich eingeräumten Befugnisse.

Kundeneigenes Hosting: Abschaltungen und wesentliche Eingriffe werden mit dem zuständigen Kundenkontakt abgestimmt, sofern keine vorherige Notfallfreigabe besteht.

Befugnisse und Vorgehen bei Nichterreichbarkeit des Kunden müssen im jeweiligen Kundenblatt festgelegt sein.

4. Datenschutzverletzung bewerten und melden¶

Jochen Vögele koordiniert die technische Sachverhaltsklärung und legt die Ergebnisse der Geschäftsführung vor. Bei Bedarf wird externe Datenschutzberatung hinzugezogen.

Zu klären sind insbesondere betroffene Daten, Personengruppen, Umfang, mögliche Folgen sowie bereits ergriffene Schutzmaßnahmen.

Wenn wir personenbezogene Daten im Auftrag eines Kunden verarbeiten:
Der betroffene Auftraggeber wird nach Bekanntwerden einer Datenschutzverletzung unverzüglich informiert. Eine vollständige Untersuchung wird nicht abgewartet; fehlende Informationen werden nachgereicht. Die Geschäftsführung stellt sicher, dass die Meldung erfolgt, und bestimmt die ausführende Person.

Wenn wir selbst Verantwortlicher für die Verarbeitung sind:
Die Geschäftsführung stellt die Prüfung der Meldepflichten sicher. Eine erforderliche Behördenmeldung erfolgt unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden. Bei voraussichtlich hohem Risiko ist grundsätzlich auch die unverzügliche Benachrichtigung betroffener Personen erforderlich.

Bewertung und Meldeentscheidung werden mit Begründung dokumentiert. Jochen Vögele ist durch diesen Plan nicht zum Datenschutzbeauftragten bestellt.

5. Betrieb wiederherstellen¶

Die technische Zuständigkeit behebt die Ursache und prüft die sichere Wiederaufnahme des Betriebs. Falls erforderlich, werden geeignete, überprüfte Backups wiederhergestellt.

Die Wiederfreigabe erfolgt durch Jochen Vögele beziehungsweise B, bei kundeneigenem Hosting in Abstimmung mit der zuständigen Kundenadministration. Anschließend werden die betroffenen Systeme auf erneute Auffälligkeiten überwacht.

6. Dokumentieren und nachbereiten¶

Das zugriffsbeschränkte Vorfallsprotokoll enthält:

• Entdeckungszeit und Zeitpunkt des Bekanntwerdens einer Datenschutzverletzung;
• betroffene Kunden, Systeme und Daten;
• Bewertung, Entscheidungen und durchgeführte Maßnahmen;
• Benachrichtigungen mit Zeitpunkt und Empfänger;
• Wiederherstellung, Ursache und notwendige Verbesserungen.

Auch Datenschutzverletzungen ohne externe Meldung werden dokumentiert. Nach Abschluss legen Jochen Vögele und die Geschäftsführung Verbesserungsmaßnahmen mit Zuständigkeit und Termin fest.

7. Pflege und offene Festlegungen¶

Der Plan wird nach wesentlichen Änderungen oder Vorfällen überprüft und mindestens jährlich anhand eines Beispiels durchgespielt. Eine aktuelle Kopie muss unabhängig vom Wiki verfügbar sein.

Vor Freigabe sind noch festzulegen:

• Telefonnummern und Eskalationsweg außerhalb der Arbeitszeit
• Ablageort des Vorfallsprotokolls und der unabhängigen Plankopie
• Eingang und Zuständigkeit für technische Warnmeldungen
• Kundenkontakte und Befugnisse für Notfallmaßnahmen
• Zuständigkeiten für Backups und Wiederherstellung
• Zuständige Datenschutzaufsicht und Zugang zu externer Datenschutzberatung