§ 12 Datenschutzrecht / c) 72-Stunden-Frist

Rz. 87

Die Frist für die Meldung bei der Aufsichtsbehörde beträgt 72 Stunden nach Bekanntwerden der Verletzung. Nach Ansicht der Aufsichtsbehörden ist dem Verantwortlichen ein Vorfall bekannt, sofern eine hinreichende Gewissheit darüber besteht, dass ein Sicherheitsvorfall aufgetreten ist.^[58] Letztlich hängt diese Frage auch von den konkreten Umständen der Datenschutzverletzung ab. In einigen Fällen dürfte von Anfang an klar sein, dass eine Datenschutzverletzung vorliegt (z.B. bei einem Fehlversand einer E-Mail). In anderen Fällen dürfte eine solche Verletzung erst nach gewisser Zeit festgestellt werden können (z.B. im Fall eines Hackerangriffs). Wichtig sind aber sofortige Maßnahmen zur Untersuchung des Vorfalls, damit festgestellt wird, ob tatsächlich ein meldepflichtiger Vorfall vorliegt.

Rz. 88

Nach den Anforderungen der DSGVO muss der Verantwortliche alle geeigneten technischen und organisatorischen Maßnahmen treffen, um feststellen zu können, ob eine Datenschutzverletzung aufgetreten ist. Dies erfordert gerade auch die Durchführung von Schulungen der Mitarbeiter hinsichtlich des Umgangs mit solchen Vorfällen. Sie müssen wissen, wen sie über einen entsprechenden Verdachtsfall zu informieren haben, damit dann unternehmensseitig Ermittlungen eingeleitet werden können. Unternehmensintern sind die Personen zu bestimmen, die diese Meldungen bearbeiten, den Vorfall bewerten und letztlich entscheiden, ob eine Meldung an die Aufsichtsbehörde bzw. den Betroffenen erfolgen muss. Zudem sollte das Unternehmen auch durch sog. "Feuerwehrübungen" testen, inwiefern die Prozesse zur Erfassung und Bearbeitung einer Verdachtsmeldung hinsichtlich eines Datenverlustes funktionieren.

Rz. 89

Die 72-Stunden-Frist läuft unabhängig davon, ob der Vorfall an einem Werktag oder an einem Feierta...