Allgemein – foxondo

Wann müssen Sie Datenschutz-Vorfälle melden? Und was gehört in die Dokumentation?

Nora — Thu, 09 Jul 2026 06:42:12 +0000

Was ist überhaupt ein Datenschutz-Vorfall?

Im Gesetz heißt es etwas sperrig „Verletzung des Schutzes personenbezogener Daten“ (Art. 4 Nr. 12 DSGVO). Darunter fällt zum Beispiel, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig

an Unbefugte gelangen,
vernichtet werden oder
verloren gehen, oder sie
unbefugt verändert werden.

Klassische Beispiele aus dem Alltag: das verlorene Firmenhandy, die falsch adressierte E-Mail, ein Ransomware-Angriff oder eine Bewerbungsmappe, die im falschen Papierkorb landet.

Müssen wir jeden Vorfall der zuständigen Aufsichtsbehörde melden?

Die gute Nachricht zuerst: Nein.
Eine Meldung an die Aufsichtsbehörde ist nach Art. 33 DSGVO nur dann nötig, wenn der Vorfall „voraussichtlich zu einem Risiko für die Rechte und Freiheiten“ der betroffenen Personen führt. Führt der Vorfall voraussichtlich zu keinem Risiko, dürfen Sie auf die Meldung verzichten – diese Einschätzung müssen Sie aber begründen können. Sie müssen den Vorfall also prüfen, bewerten und das Ergebnis immer dokumentieren.

Die 72-Stunden-Frist: Was bedeutet das genau?

Falls der Aufsicht gemeldet werden muss, läuft die Uhr: Die Meldung muss „unverzüglich und möglichst binnen 72 Stunden“ erfolgen, nachdem Ihnen der Vorfall bekannt geworden ist. Diese Frist ist knapp – deshalb hilft es enorm, vorher zu wissen, wer intern informiert wird und welche Angaben gebraucht werden. Liegen noch nicht alle Informationen vor, dürfen Sie übrigens auch stufenweise nachmelden.

Und was, wenn die interne Prüfung ergibt, dass wir nicht melden müssen?

Auch dann gilt: Dokumentieren müssen Sie trotzdem. Art. 33 Abs. 5 DSGVO verlangt, dass Sie alle Vorfälle intern festhalten müssen – auch die, die Sie (begründet) nicht melden. Festgehalten werden sollten dabei mindestens:

der Sachverhalt (was ist passiert, welche Daten und wie viele Betroffene sind betroffen?),
die Auswirkungen bzw. das eingeschätzte (Nicht-) Risiko,
die ergriffenen Abhilfemaßnahmen.
Diese Dokumentation ist Ihr Nachweis gegenüber der Aufsichtsbehörde, dass Sie den Vorfall bewertet und richtig gehandelt haben.

Wann muss ich auch die Betroffenen informieren?

Wird durch den Vorfall ein hohes Risiko für die Betroffenen erwartet, reicht die Meldung an die Behörde nicht aus: Dann müssen Sie auch die betroffenen Personen benachrichtigen (Art. 34 DSGVO) – und zwar in klarer, verständlicher Sprache.

Das ist die zweite Eskalationsstufe und kommt seltener vor. Am besten haben Sie sich aber gedanklich schon mal damit beschäftigt.

Wo erfasse und bewerte ich Datenschutz-Vorfälle in foxondo?

Im Modul „Formulare & Checklisten“ finden Sie den Bereich zur Erfassung von Datenpannen. Damit gehen Sie pro Vorfall strukturiert durch die entscheidenden Fragen, nehmen am Ende die Bewertung des Risikos vor und entscheiden, ob eine Meldung an die Aufsichtsbehörde und ggf. auch eine Benachrichtigung der Betroffenen nötig ist.

Das Ergebnis können Sie zusätzlich als PDF-Export intern ablegen. So kommen Sie Ihrer Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO und der Rechenschaftspflicht auf jeden Fall nach.

➡️ Unser Tipp: Erstellen Sie einen Notfallplan und warten Sie damit nicht, bis der Ernstfall eintritt. Legen Sie einmal in Ruhe fest, wer im Ernstfall informiert wird und wer die 72-Stunden-Uhr im Blick behält. Denn wenn es zum Ernstfall kommt, zählt jede Stunde – und ein klarer Ablauf nimmt enorm Druck raus.

Weitere Vorgaben zum Umgang mit Datenschutz-Vorfällen können Sie in foxondo in dem Modul „Datenschutz-Organisation“ festhalten.

Datenschutz-Folgenabschätzung: Wann ist sie Pflicht – und wie dokumentieren Sie sie richtig?

Nora — Tue, 16 Jun 2026 11:21:36 +0000

Eine Datenschutz-Folgenabschätzung, kurz DSFA, klingt nach viel Aufwand. Und ja: Sie ist kein Mini-Formular, das man mal nebenbei ausfüllt. Aber sie ist auch kein ‚Monster‘ – wenn man weiß, wann sie wirklich nötig ist und was hineingehört.

Wann ist eine DSFA Pflicht?

Eine DSFA ist immer dann erforderlich, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko“ für die Rechte und Freiheiten betroffener Personen mit sich bringt. Das klingt erst einmal sehr abstrakt.

Konkret bedeutet es: Wenn auf Ihre geplante Verarbeitung zwei oder mehr der folgenden Merkmale zutreffen, sollten Sie genauer hinschauen:

Sie verarbeiten vertrauliche oder höchstpersönliche Daten (z. B. Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit).
Sie bewerten oder klassifizieren Personen– zum Beispiel durch Scoring oder Profiling.
Sie überwachen Menschen systematisch (z.B. durch eine flächendeckende Videoüberwachung oder anlasslose Kontrolle sämtlicher Logdateien).
Sie verarbeiten Daten in großem Umfang, etwa bei sehr vielen Betroffenen oder über einen langen Zeitraum.
Sie führen Datensätzen aus verschiedenen Zusammenhängen zusammen oder gleichen diese ab.
Sie verarbeiten Daten über Personen, zu denen ein größeres Macht-Ungewicht besteht (z.B. Arbeitnehmer, Patienten, Kinder).
Das eingesetzte System trifft automatisierte Entscheidungen ohne menschliche Kontrolle, z.B. über Einladungen für Bewerbungsgespräche oder die Vergabe von Krediten.
Sie setzen neue Technologien ein, deren Auswirkungen auf die Privatsphäre noch nicht vollständig absehbar sind – zum Beispiel KI-gestützte Systeme.
Personen werden an der Ausübung ihrer Datenschutzrechte gehindert.

Außerdem veröffentlichen die Datenschutz-Aufsichtsbehörden sogenannte „Blacklists“ mit Verarbeitungsarten, für die eine DSFA immer Pflicht ist. Die bayerische Aufsichtsbehörde zum Beispiel listet dort unter anderem den Einsatz biometrischer Daten zur eindeutigen Identifikation oder umfangreiche Videoüberwachung auf. Lohnt sich, einmal nachzuschauen.

Was gehört in eine DSFA?

Die DSGVO macht klare Vorgaben, was eine DSFA enthalten muss:

Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge – also: Was passiert mit welchen Daten, warum und wie?
Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit – ist die Verarbeitung wirklich erforderlich, um den angestrebten Zweck zu erreichen?
Eine Beurteilung der Risiken für die Rechte und Freiheiten der betroffenen Personen.
Die geplanten Maßnahmen zur Risikobehandlung – also konkrete technische und organisatorische Maßnahmen (TOMs), die das Risiko auf ein akzeptables Niveau senken.

Klingt nach viel? Ist es manchmal auch.

Aber: Die meisten Grundlagen haben Sie bereits in Ihrer Datenschutz-Dokumentation (z.B. bei uns in foxondo). Die DSFA baut darauf auf, sie verdichtet und bewertet das Vorhandene. Und erleichtert den Nachweis, dass man sich darüber Gedanken gemacht hat.

Wo finde ich das Thema DSFA in foxondo? Und wie kann ich das dort dokumentieren?

In jedem Prozess/jeder Verarbeitung finden Sie eine separate Frage zum Thema Datenschutz-Folgenabschätzung. Wenn Sie diese beantworten, wissen Sie, ob Sie eine DSFA machen müssen oder nicht.

Im Modul „Formulare & Checklisten“ finden Sie einen Fragen-Katalog zum Thema DSFA. Damit können Sie eine DSFA erstellen oder zumindest vorbereiten, sodass ein DSB nochmal drauf schauen kann.

Das Ergebnis der DSFA legen Sie dann am besten als Dokument in dem jeweiligen Prozess ab.

Bitte beachten Sie: Wenn sich die Verarbeitung wesentlich ändert, müssen Sie die DSFA überprüfen und aktualisieren. Das kann z.B. der Fall sein, wenn neue Technologien eingesetzt werden oder sich der Umfang der Verarbeitung deutlich erhöht.

Und wenn das Risiko trotzdem zu hoch bleibt?

Dann kann man die zuständige Datenschutz-Aufsichtsbehörde zu konsultieren. Das nennt sich „vorherige Konsultation“ (Art. 36 DSGVO) und kommt in der Praxis selten vor – aber es ist gut zu wissen, dass dieser Schritt erforderlich sein kann.

Sie sind unsicher, ob für einen Ihrer Prozesse eine DSFA erforderlich ist? Schauen Sie sich die Blacklist Ihrer zuständigen Aufsichtsbehörde an – und sprechen Sie im Zweifel mit Ihrem Datenschutzbeauftragten. Lieber einmal zu viel geprüft als einmal zu wenig dokumentiert.

Schwerpunktprüfung 2026: Informationspflichten im Fokus

Nora — Tue, 27 Jan 2026 13:14:29 +0000

Das angekündigte Schwerpunkt-Thema der Datenschutz-Aufsichtsbehörden für 2026 sind die Informations- und Transparenzpflichten. Dabei handelt es sich um eine EU-weit koordinierte Schwerpunktprüfung. Am besten schauen Sie gleich mal nach, ob Sie in allen Prozessen vollständige und aktuelle Datenschutz-Informationen im Einsatz haben! Zum Glück geht das in foxondo ganz einfach über die Filter.

Filtern Sie einfach einmal nach dem Tag „Datenschutz-Infos“ und schauen Sie nach. Dabei könnten Ihnen diese typischen Fehler und Schwachstellen begegnen:

Sie haben noch gar keine Datenschutz-Informationen für bestimmte Prozesse.

Das wäre natürlich nicht schön, aber noch ist ja Zeit, um das in Ordnung zu bringen … Falls etwas fehlt, am besten direkt bei Ihrem DSB melden – es gibt vermutlich passende Muster, auf denen Sie aufbauen können.
👉 Besser spät als zu spät.

Juristisch korrekt, aber praktisch unverständlich

Es gibt zwar Datenschutz-Infos, aber sie sind unverständlich. Die Informationspflicht ist nicht erfüllt, wenn man eigentlich nur mit Jura-Studium versteht, was passiert.
👉 Maßstab ist der „normale Mensch“.

Papier und Praxis passen nicht zusammen

Die Datenschutzerklärung sagt A, die Prozesse laufen aber nach B. Eine gut formulierte Information nützt nichts, wenn sie nicht zur Realität passt. Darum kann man auch Datenschutz-Informationen nicht einfach irgendwoher kopieren – Prozesse sind nämlich immer ein bisschen anders.
👉 Genau diese Lücke wird geprüft.

Zu spät oder zu versteckt informiert

Betroffene brauchen nicht danach ‚suchen‘. Die Informationen müssen einfach und leicht zugänglich erteilt werden. Ist in foxondo sauber dokumentiert, WIE Sie die Datenschutz-Informationen in der Praxis erteilen (z.B. über Links in Mail-Signaturen oder über Web-Formulare)? Falls nicht, fragen Sie Ihre Prozessverantwortlichen und bessern Sie gegebenenfalls nach.
👉 Verstecken ist nicht erlaubt.

„Das hat noch nie jemand beanstandet.“

Genau deshalb nehmen die Aufsichtsbehörden das Thema jetzt gezielt in den Fokus. 2026 ist kein Jahr zum „Durchrutschen“.
👉 Schwerpunktprüfungen sind genau dafür da, neue Maßstäbe durchzusetzen.

➡️ Haben Sie veraltete oder schwer verständliche Datenschutz-Informationen?
Dann ist jetzt ein wirklich guter Zeitpunkt, da nachzubessern!

KI im Datenschutz? Stimmung positiver als erwartet.

Nora — Mon, 13 Oct 2025 11:36:00 +0000

Kürzlich haben wir die User in foxondo gefragt, wie sie zum Einsatz von KI im Datenschutz bzw. in unserer Anwendung foxondo stehen.

Überraschendes Ergebnis: Nur wenige lehnen KI grundsätzlich ab. Die klare Mehrheit wünscht sich Unterstützung und Zeit-Ersparnis, um die Datenschutz-Dokumentation (noch) einfacher zu machen.

Wir hatten ehrlich gesagt eine eher gemischte Reaktion und vielleicht sogar kontroverse Diskussionen dazu erwartet!

Aber die hitzigen Debatten blieben aus und das Stimmungsbild fiel überwiegend positiv aus.

Test von KI-Funktionen

Wir testen daher gerade verschiedene Möglichkeiten, ob und wie KI einen sinnvollen Mehrwert in foxondo bieten könnte.

Je nach Ergebnissen unserer Tests werden dann daraus neue Funktionen – oder eben nicht. Wir sind gespannt und halten Sie auf dem Laufenden.

Sie möchten Ihre Gedanken zum Thema KI mit uns teilen? Dann schreiben Sie uns gerne eine Nachricht an info@foxondo.com.

Orientierung leicht gemacht: Unser Modul „Prozesse“ wurde überarbeitet

Nora — Tue, 01 Jul 2025 11:24:00 +0000

Warum wir das Modul angepasst haben

Rückmeldungen unserer User zeigen uns immer wieder, wie wichtig eine intuitive Navigation und ein schneller Überblick sind – gerade dann, wenn viele Prozesse dokumentiert werden. Mit der bisherigen Ansicht konnte es bei umfangreichen Verarbeitungsverzeichnissen schnell unübersichtlich werden.

Deshalb haben wir die Struktur grundlegend überarbeitet. Das neue Layout ist klarer, aufgeräumter und unterstützt dabei, sich schneller zurechtzufinden.

Unser Ziel: Ihnen die Orientierung noch einfacher zu machen und Arbeitsabläufe weiter zu verbessern.

Das ist neu an der Struktur

Gruppierungen nach Themengebieten: Die einzelnen Prozesse sind nun nach den Themengebieten (wie z.B. Personal) zusammengefasst. Durch die neue Gliederung lassen sich Informationen besser auf einen Blick erfassen.
Entfall der vorangestellten Kürzel: Die zweistelligen Kürzel sollten der Orientierung dienen, waren aber nicht immer eindeutig. Durch die ein- und ausklappbaren Überschriften findet man sich nun schneller zurecht.
Ein- und ausklappbare Überschriften: Themengebiete zuklappen, für die man nicht verantwortlich ist – sorgt für noch mehr Übersichtlichkeit.

Die neue Darstellung ist ab sofort für alle User verfügbar. Loggen Sie sich einfach ein und entdecken Sie, wie viel einfacher die Arbeit jetzt ist.

Sie sind noch kein foxondo-User?
Dann testen Sie foxondo doch einfach 30 Tage kostenlos!
Wir würden uns über Ihr Feedback freuen.

Oster-Aktion – Belohnung für IHRE MrFOX-Punkte

Nora — Thu, 17 Apr 2025 11:09:00 +0000

Haben Sie erst ganz wenige MrFOX-Punkte oder schon richtig viele?

Ganz egal, Sie haben immer eine Chance!

Wir verschenken zusammen mit unserem Partner fox-on Datenschutz GmbH
eine schöne Oster-Überraschung.

Schicken Sie einfach einen Screenshot Ihrer MrFOX-Punkte
an info@fox-on.com.

Die Gewinner werden unter allen Teilnehmern, die uns rechtzeitig eine E-Mail mit dem Screenshot ihrer MrFOX-Punkte schicken, ermittelt und ggf. per E-Mail über einen Gewinn informiert. Das Gewinnspiel wird durchgeführt von der fox-on Datenschutz GmbH (Pollerhofstr. 33a, 51789 Lindlar). Mit der Teilnahme am Gewinnspiel willigen Sie in die Verarbeitung Ihrer Daten ein. Sie werden nur für die Durchführung und Abwicklung des Gewinnspiels verwendet und um Sie im Falle eines Gewinns zu benachrichtigen. Eine Nutzung zu Werbezwecken und eine Weitergabe der Daten an andere Dritte findet nicht statt. Sie können die Einwilligungen jederzeit durch Nachricht an uns widerrufen; dann nehmen Sie nicht mehr am Gewinnspiel teil. ↩︎

Sie finden Ihre gesammelten MrFOX-Punkte unter „Mein Account“ oben rechts in foxondo.

Es gibt dann drei Gewinner:

die Einsendung mit der kleinsten Zahl an MrFOX-Punkten,
die Einsendung mit dem höchsten Wert und
die Einsendung, dessen MrFOX-Punkte am nächsten am Durchschnitt von allen Einsendungen ist

Gibt es in der jeweiligen Kategorie mehr als eine Einsendung, entscheidet das Los.

Keine Sorge, wir verraten niemandem, wer die niedrigste Zahl eingesendet hat, außer dem Gewinner 😉

Damit auch alle Oster-Urlauber mitmachen können, nehmen wir Einsendungen bis zum Mittwoch, den 30. April an.*

Sie nutzen foxondo noch nicht?

Dann testen Sie foxondo doch einfach 30 Tage kostenlos.
Und wenn Sie bis zum 31. Mai 2025 mit dem Code: Ostern2025 buchen, erhalten Sie einen zusätzlichen Monat kostenlos.

* Die Gewinner werden aus allen Teilnehmern ausgewählt, die uns rechtzeitig eine E-Mail mit einem Screenshot ihrer MrFOX-Punkte schicken, und werden per E-Mail benachrichtigt, wenn sie gewonnen haben. Die Aktion wird von der fox-on Datenschutz GmbH (Pollerhofstr. 33a, 51789 Lindlar, Deutschland) organisiert. Mit der Teilnahme an der Aktion stimmen Sie der Verarbeitung Ihrer Daten zu. Diese werden ausschließlich zum Zweck der Durchführung und Abwicklung der Aktion sowie zur Benachrichtigung im Falle eines Gewinns verwendet. Die Daten werden nicht für Werbezwecke verwendet oder an Dritte weitergegeben. Sie können Ihre Einwilligung jederzeit durch eine Nachricht an uns widerrufen; Sie können dann nicht mehr an der Aktion teilnehmen.

Die Gewinner werden unter allen Teilnehmern, die uns rechtzeitig eine E-Mail mit dem Screenshot ihrer MrFOX-Punkte schicken, ermittelt und ggf. per E-Mail über einen Gewinn informiert. Das Gewinnspiel wird durchgeführt von der fox-on Datenschutz GmbH (Pollerhofstr. 33a, 51789 Lindlar). Mit der Teilnahme am Gewinnspiel willigen Sie in die Verarbeitung Ihrer Daten ein. Sie werden nur für die Durchführung und Abwicklung des Gewinnspiels verwendet und um Sie im Falle eines Gewinns zu benachrichtigen. Eine Nutzung zu Werbezwecken und eine Weitergabe der Daten an andere Dritte findet nicht statt. Sie können die Einwilligungen jederzeit durch Nachricht an uns widerrufen; dann nehmen Sie nicht mehr am Gewinnspiel teil. ↩︎