DSGVO-Pflichten für Unternehmen / 11 Meldepflichten bei Datenpannen (Art. 33 und 34 DSGVO)

Kommt es zu Datenschutzverletzungen, hat der Verantwortliche dies unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde zu melden. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen. Die Meldepflicht entfällt, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Kommt es beim Auftragsverarbeiter zu einem meldepflichtigen Vorfall, hat er dies unverzüglich dem Verantwortlichen des Auftraggebers zu melden. Eine Datenschutzverletzung liegt vor, wenn die Sicherheit verarbeiteter personenbezogener Daten unbeabsichtigt oder unrechtmäßig verletzt wird – durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung. Häufigster Fall für eine Meldepflicht ist die unbefugte Offenlegung. Ergibt sich aus der Datenschutzverletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen, so sind auch die davon betroffenen Personen unverzüglich von der Verletzung zu unterrichten. Von der Benachrichtigung kann abgesehen werden, wenn die Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden ist. In diesem Fall hat dann eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, um die betroffenen Personen wirksam zu informieren.