DSGVO Datenpanne: Meldepflicht und Reaktionsplan

Eine Datenschutzverletzung muss der Aufsichtsbehörde gemeldet werden, wenn sie voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Die Meldung muss unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Kann die Frist nicht eingehalten werden, ist die Verzögerung zu begründen. Kein Meldeerfordernis besteht, wenn die Verletzung voraussichtlich kein Risiko für Betroffene darstellt, etwa bei verschlüsselten Daten, die nicht entschlüsselt werden konnten.

Die Meldung muss die Art der Verletzung beschreiben, die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze nennen, den Datenschutzbeauftragten als Ansprechpartner angeben, die voraussichtlichen Folgen der Verletzung darlegen und die ergriffenen oder geplanten Gegenmaßnahmen beschreiben. Wenn nicht alle Informationen sofort vorliegen, können sie in Phasen nachgereicht werden.

Betroffene Personen müssen benachrichtigt werden, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen und die Art der Verletzung, den Ansprechpartner, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen beschreiben. Eine Benachrichtigung entfällt, wenn geeignete Schutzmaßnahmen wie Verschlüsselung angewendet wurden oder das hohe Risiko durch nachträgliche Maßnahmen beseitigt wurde.

Die Verletzung der Meldepflicht nach Art. 33 DSGVO kann mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Bei zusätzlichen Verstößen gegen die Benachrichtigungspflicht nach Art. 34 können Bußgelder bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes verhängt werden. Die Höhe richtet sich nach Art und Schwere des Verstoßes, der Dauer, der Zahl der Betroffenen und dem Grad der Zusammenarbeit mit der Aufsichtsbehörde.

Ein strukturierter Incident-Response-Prozess besteht aus sechs Schritten: Erkennung des Vorfalls durch technische Überwachung oder Mitarbeitermeldung, Erstbewertung zur Einschätzung der Meldepflicht, Eindämmung der Verletzung durch technische und organisatorische Sofortmaßnahmen, Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, Benachrichtigung betroffener Personen bei hohem Risiko sowie Nachbereitung mit Ursachenanalyse und Verbesserung der Schutzmaßnahmen.

Meldepflichtige Datenpannen umfassen den Versand von Kundendaten an falsche Empfänger, den Verlust unverschlüsselter Laptops oder USB-Sticks mit personenbezogenen Daten, Ransomware-Angriffe mit Zugriff auf Kundendatenbanken, Fehlkonfigurationen von Cloud-Speichern mit öffentlichem Zugriff auf personenbezogene Daten sowie Phishing-Angriffe mit Zugang zu E-Mail-Konten, die personenbezogene Daten enthalten. Die Meldepflicht hängt jeweils von der Risikobewertung im konkreten Einzelfall ab.

Auftragsverarbeiter müssen Datenschutzverletzungen unverzüglich dem Verantwortlichen melden, sobald sie davon Kenntnis erlangen. Die Meldepflicht gegenüber der Aufsichtsbehörde liegt beim Verantwortlichen, nicht beim Auftragsverarbeiter. Der Auftragsvertrag nach Art. 28 DSGVO sollte klare Regelungen zu Meldefristen, Informationspflichten und Unterstützungsleistungen des Auftragsverarbeiters bei Datenpannen enthalten.