DSGVO Meldepflicht: Datenschutzverletzungen richtig melden

Nach Art. 33 DSGVO muss eine Datenschutzverletzung unverzüglich, spätestens jedoch binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden. Die Meldepflicht entfällt nur, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Bei Fristüberschreitung muss die Verzögerung begründet werden.

Die Meldung nach Art. 33 Abs. 3 DSGVO muss mindestens folgende Angaben enthalten: eine Beschreibung der Art der Verletzung mit Kategorien und ungefährer Anzahl betroffener Personen und Datensätze, den Namen und die Kontaktdaten des Datenschutzbeauftragten, eine Beschreibung der wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung der Auswirkungen.

Nach Art. 34 DSGVO müssen betroffene Personen unverzüglich benachrichtigt werden, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen. Sie kann entfallen, wenn geeignete Schutzmaßnahmen wie Verschlüsselung greifen oder nachträgliche Maßnahmen das hohe Risiko beseitigt haben.

Ein strukturierter Meldeprozess umfasst typischerweise folgende Schritte: Erstens die Erkennung und interne Meldung des Vorfalls an den Datenschutzbeauftragten. Zweitens die Bewertung, ob eine Meldepflicht besteht und wie hoch das Risiko für Betroffene ist. Drittens die fristgerechte Meldung an die Aufsichtsbehörde mit allen erforderlichen Angaben. Viertens die Prüfung, ob Betroffene benachrichtigt werden müssen. Fünftens die lückenlose Dokumentation aller Fakten, Auswirkungen und Abhilfemaßnahmen.

Eine verspätete oder unterlassene Meldung kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Bei einer Verzögerung muss der Meldung eine Begründung beigefügt werden. Die DSGVO erlaubt eine schrittweise Informationsbereitstellung, sodass zunächst eine vorläufige Meldung abgegeben werden kann, die später ergänzt wird.

Nach Art. 33 Abs. 5 DSGVO muss der Verantwortliche jede Datenschutzverletzung dokumentieren, einschließlich aller Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde eine Überprüfung der Einhaltung ermöglichen. Auch Verletzungen ohne Meldepflicht müssen dokumentiert werden, um die Entscheidung gegen eine Meldung nachweisen zu können.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO ist bei jeder Verletzung mit Risiko für Betroffene erforderlich und enthält detaillierte technische Angaben. Die Benachrichtigung Betroffener nach Art. 34 DSGVO wird nur bei hohem Risiko ausgelöst und muss in verständlicher Sprache über die Art der Verletzung, mögliche Folgen und ergriffene Schutzmaßnahmen informieren. Beide Pflichten haben unterschiedliche Schwellenwerte und Adressaten.

Bei grenzüberschreitenden Verletzungen muss die federführende Aufsichtsbehörde am Hauptsitz des Verantwortlichen in der EU informiert werden. Sind Betroffene in mehreren Mitgliedstaaten betroffen, greift das Kohärenzverfahren. Unternehmen benötigen vorab definierte Meldewege und klare Zuständigkeiten, um die 72-Stunden-Frist auch bei komplexen, multinationalen Vorfällen einhalten zu können.

Nach Art. 33 Abs. 2 DSGVO muss der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren, sobald ihm eine Datenschutzverletzung bekannt wird. Die Meldepflicht gegenüber der Aufsichtsbehörde liegt beim Verantwortlichen. In der Auftragsverarbeitungsvereinbarung sollten konkrete Meldefristen, Ansprechpartner und Informationspflichten des Auftragsverarbeiters festgelegt sein.

Die Risikobewertung berücksichtigt die Art der betroffenen Daten, die Anzahl Betroffener, die Schwere möglicher Folgen und ob die Daten durch Verschlüsselung oder andere Maßnahmen geschützt waren. Ergibt die Bewertung voraussichtlich kein Risiko für die Rechte und Freiheiten Betroffener, entfällt die Meldepflicht an die Aufsichtsbehörde. Die Bewertung und das Ergebnis müssen in jedem Fall dokumentiert werden.