Fehler melden
Warum Meldungen ausbleiben, wie ein Meldeweg aussieht, den Menschen benutzen, und was bei einem ernsthaften Vorfall zu tun ist.
Warum Meldungen ausbleiben
- Der Weg ist umständlich: ein Formular mit zwölf Pflichtfeldern.
- Es ist unklar, was überhaupt meldenswert ist.
- Wer meldet, bekommt die Nacharbeit.
- Es passiert nichts, und die nächste Meldung unterbleibt.
- Es könnte als eigenes Versäumnis ausgelegt werden.
Alle fünf sind organisatorisch und keins technisch. Ein Meldeweg wird durch Gestaltung benutzt, nicht durch Aufforderung.
Ein Meldeweg, der funktioniert
- 01
Drei Felder
Was ist passiert, wo, und was hätte richtig sein sollen. Mehr nicht.
- 02
An der Stelle, wo es auffällt
Ein Knopf am Ergebnis, nicht ein Formular im Intranet.
- 03
Rückmeldung innerhalb einer Woche
Auch wenn sie lautet: bekannt, wird in der nächsten Fassung behoben.
- 04
Ausdrücklich folgenlos
Schriftlich, von der Leitung, und in der Praxis eingehalten.
Meldepflichten nach AI Act
Betreiber von Hochrisikosystemen unterrichten den Anbieter und, je nach Fall, die Marktüberwachungsbehörde über ernsthafte Vorfälle. Anbieter melden unverzüglich nach Feststellung des Zusammenhangs, spätestens innerhalb der vorgesehenen Fristen.
| Fall | Frist |
|---|---|
| Ernsthafter Vorfall, allgemein | unverzüglich, spätestens 15 Tage nach Kenntnis |
| Weitverbreiteter Verstoß oder schwere Störung kritischer Infrastruktur | spätestens 2 Tage |
| Tod einer Person | spätestens 10 Tage |
Diese Fristen gehören vor dem Ereignis dokumentiert. Im Ereignisfall bleibt keine Zeit, sie nachzuschlagen.
Was zusätzlich melden kann pflichtig sein
- Datenschutzverletzung. Art. 33 DSGVO, an die Aufsichtsbehörde binnen 72 Stunden, an Betroffene bei hohem Risiko.
- IKT-Vorfall. Bei Finanzunternehmen nach DORA, mit eigenen Fristen und Meldeformaten.
- Produktsicherheit. Wenn das System Teil eines Produkts ist.
- Berufsrecht. Bei Verschwiegenheitsverletzungen gegenüber der zuständigen Kammer.
Die Fristen laufen parallel und beginnen zu unterschiedlichen Zeitpunkten. Wer sie erst im Ereignisfall sortiert, verpasst die kürzeste.
Der interne Ablauf
- 01
Erfassen und einstufen
Innerhalb von 24 Stunden: welcher Fall, welcher Umfang, welche Fristen laufen.
- 02
Eingrenzen
Betroffenen Zeitraum und Umfang aus den Protokollen bestimmen.
- 03
Sofortmaßnahme
Abschalten, zurücknehmen oder Prüfquote erhöhen. Dokumentiert.
- 04
Melden
Nach den laufenden Fristen, an alle zuständigen Stellen.
- 05
Nachbereiten
Ursache, dauerhafte Maßnahme, und was die Erkennung verzögert hat.
Der letzte Punkt ist der wertvollste und wird am häufigsten übersprungen.
Passende Kurse und Quellen
Österreichische Datenschutzbehörde
Die zuständige Aufsicht für Österreich, mit Formularen, Entscheidungen und Hinweisen zur Meldung von Verletzungen.
Für österreichische Verantwortliche: die zuständige Stelle für Meldungen und Auskünfte.