hat sich in den letzten zwei Jahren eine Datenpanne ereignet, die gemeldet werden musste?

Ja/Nein zu einem Datenschutzverstoß ist selten auf Anhieb zu begründen

Diese Frage fragt nicht, ob jemals etwas schiefgelaufen ist, sondern ob es einen Datenschutzverstoß gab, der gemeldet werden musste — das ist eine Zwischenstufe. Ein Verstoß, der intern bemerkt und behoben wurde, ohne dass eine Meldepflicht bestand, ist etwas anderes als ein Verstoß, der bei der Aufsichtsbehörde und möglicherweise bei den Betroffenen gemeldet wurde. Die Antwort "Nein" ist also nur zu geben, wenn Sie sicher wissen, dass es keinen meldungspflichtigen Vorfall gab, nicht nur, dass Sie sich nicht daran erinnern. Die Antwort "Ja" erfordert eine Anschlussfrage beantworten zu können: wann, was gemeldet wurde und an wen.

In der Praxis ist dies eine der Fragen, bei denen sich die Antwort in jeder Ausfüllrunde ändern kann, weil sich der Zeitraum "vergangene zwei Jahre" verschiebt. Ein Datenleck von vor mehr als zwei Jahren fällt in diesem Jahr nicht mehr darunter, während es im Vorjahr noch zählte. Deshalb ist dies keine Antwort, die man einmal festlegt und dann beibehält: Das Dossier muss in jeder Runde erneut prüfen, ob ein Zeitraum entfällt oder hinzukommt. Wer dieses Thema häufiger ausfüllt, erkennt auch die angrenzende Frage über einem internen Meldekanal für Whistleblowerbeide Fragen prüfen nicht nur, ob etwas vorhanden ist, sondern auch, ob der Prozess tatsächlich angewandt wurde.

Woher dies kommt: kein fester Artikel, sondern ein wiederkehrendes Kontrollpunkt

Diese Frage stammt nicht aus einem spezifischen Artikel, der Supplia zur Verfügung gestellt wurde; sie gehört zur breiteren Kategorie von Fragen zur Datenverarbeitung, neben Fragen wie der Frage, ob das Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten führt. Die Quelle für diese Antwort liegt also nicht in einer externen Regelung, sondern im eigenen Vorfallregister des Unternehmens: der Dokumentation dessen, was geschehen ist, wann und ob eine Meldung erfolgt ist. Ohne dieses interne Beweisdokument gibt es keine Grundlage, um "nein" zu bestätigen, und mit einem unvollständig ausgefüllten Register gibt es auch keine Grundlage, um "ja" vollständig zu untermauern.