Einordnung
Diese Seite beschreibt den vorgesehenen Ablauf, wenn die Sicherheit personenbezogener Daten auf der Plattform freestays verletzt wird. Die Plattform ist noch nicht gestartet. Der Ablauf ist ein Plan. Er ist im Betrieb nicht erprobt, und es gab bisher keinen Vorfall zu behandeln. Die genannten Fristen sind derzeit angenommene Werte und werden rechtlich geprüft.
Verantwortlich ist der Betreiber, die SnapNext GmbH & Co. KG. Die Rechtsgrundlagen sind Art. 33 und Art. 34 der Datenschutz-Grundverordnung.
Vorgesehener Ablauf
| Schritt | Inhalt |
|---|---|
| Erkennung | Hinweise von Hotels, Creatorn und Dienstleistern an support@freestays.app. Die Plattform hat derzeit keinen automatischen Alarm für Datenschutzverletzungen. |
| Erste Bewertung | Eine verantwortliche Person des Betreibers oder ihre Vertretung bewertet Art, Umfang und Risiko. Vorgesehen ist dies binnen 24 Stunden nach Kenntnis. |
| Meldung an die Aufsicht | Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Kenntnis (Art. 33 DSGVO), außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. |
| Benachrichtigung Betroffener | Bei voraussichtlich hohem Risiko werden die Betroffenen unverzüglich in klarer Sprache informiert: Art der Verletzung, mögliche Folgen, ergriffene Maßnahmen und eine Anlaufstelle (Art. 34 DSGVO). |
| Benachrichtigung der Hotels | Betrifft die Verletzung Daten, die der Betreiber im Auftrag eines Hotels verarbeitet, wird das Hotel unverzüglich informiert, vorgesehen spätestens binnen 48 Stunden nach Kenntnis, per E-Mail an die vom Hotel genannte Kontaktstelle. |
| Dokumentation | Jede Verletzung wird mit Sachverhalt, Folgen, Maßnahmen und der Entscheidung zur Meldung in einem Verletzungsregister festgehalten, auch wenn keine Meldung erfolgt. |
Rollen
- Verantwortliche Person des Betreibers: bewertet, entscheidet über Meldungen und führt das Register. Name und Vertretung werden vor dem Start ergänzt.
- Hotels: melden Auffälligkeiten und erhalten bei betroffenen Daten die Mitteilung des Betreibers. Ein Hotel ist ab Eingang einer Bewerbung für die dabei erhaltenen Daten eigenständig verantwortlich. Ob und wann es selbst melden muss, prüft es für sich. Die Einordnung wird rechtlich geprüft.
- Dienstleister: sollen Verletzungen, die sie bemerken, unverzüglich an den Betreiber melden. Die Fristen dafür werden in den Verträgen mit aktiven Dienstleistern festgelegt.
- Aufsichtsbehörde: Die zuständige Behörde richtet sich nach dem Sitz des Betreibers und wird vor dem Start ergänzt.
Wie Sie einen Vorfall melden
Wenn Sie einen Vorfall vermuten, schreiben Sie an support@freestays.app. Nennen Sie, was Sie beobachtet haben, wann und welche Daten betroffen sein könnten. Bitte senden Sie keine Passwörter und keine Zugangsdaten. Die Adresse wird vom Team gelesen. Einen Dienst rund um die Uhr gibt es nicht.
Was noch aussteht
- Ein technischer Alarm für Vorfälle und eine Fehlerüberwachung sind vorgesehen und noch nicht im Einsatz.
- Der Ablauf wurde nicht in einer Übung erprobt. Das ist vor dem Start vorgesehen.
- Die Benennung der verantwortlichen Person und ihrer Vertretung steht aus.
- Die Fristen und die Verteilung der Pflichten zwischen Betreiber und Hotels werden rechtlich geprüft.