Faxe, E-Mail und der Datenschutz (AO-StB 2021, Heft 8, S ... / 4. Rechtsfolgen bei Verstößen

Unterläuft dem Verantwortlichen ein Datenschutzverstoß, so ist er in aller Regel verpflichtet, diesen im Rahmen von Art. 33 DS-GVO der Aufsichtsbehörde zu melden, sobald er davon Kenntnis erlangt. Ist zu erwarten, dass personenbezogene Daten aus dem Mandatsverhältnis an fremde Dritte gelangt sind, handelt es sich um einen meldepflichtigen Vorgang. Genauere Informationen über die durchzuführende Risikoabwägung und das Meldeverfahren findet man im Kurzpapier Nr. 18 der DSK sowie auf den Seiten der Aufsichtsbehörden (z.B. https://www.datenschutz.rlp.de/de/themenfelder-themen/online-services/meldeformular-datenpanne-art-33-ds-gvo/). Ein Verstoß gegen die Meldepflicht ist bereits für sich gesehen eine Ordnungswidrigkeit nach Art. 83 Abs. 4 lit. a DS-GVO. Gleichzeitig schützt eine ordnungsgemäße Meldung jedoch auch vor weiteren Sanktionen, § 43 Abs. 4 BDSG.

Wird der Aufsichtsbehörde ein mutmaßlicher Verstoß gegen die DS-GVO im Wege einer Beschwerde oder eines Hinweises gemeldet (z.B. Fehlversand oder "unverschlüsselter" Versand) und liegt keine vorherige Meldung nach Art. 33 DS-GVO hierzu vor, wird die Aufsichtsbehörde ein Prüfverfahren einleiten. Festgestellte Verstöße können je nach Einzelfall mit einer Verwarnung oder einer Geldbuße nach Art. 83 Abs. 4 lit. a (Verstoß gegen die Sicherheit der Verarbeitung) oder Abs. 5 lit. a (Verstoß gegen Einwilligungserfordernisse) DS-GVO geahndet werden.

Beraterhinweis Die Aufsichtsbehörden müssen im Rahmen ihres Ermessens entsprechenden Meldungen auch dann nachgehen, wenn die meldende Person nicht unmittelbar selbst betroffen ist. Es kann also selbst dann zu einem Verfahren kommen, wenn der Mandant seine Rechte gar nicht als verletzt ansieht.

Abschließend sei darauf hingewiesen, dass die Aufsichtsbehörde bei einer Häufung von Beschwerden, die auf systematische Verstöße schließen lassen, verpflichtet ist, eine Meldung nach § 10 Abs. 2 StBerG zu prüfen.