Meldung einer Datenschutzverletzung
Die Meldung einer Datenschutzverletzung ist die Benachrichtigung der zuständigen Datenschutzaufsichtsbehörde über eine Verletzung des Schutzes personenbezogener Daten. Der Verantwortliche muss sie grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden abgeben, sofern die Verletzung voraussichtlich nicht nur ein geringes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Die Meldung muss Art, Umfang, Folgen und Gegenmaßnahmen beschreiben; verspätete Meldungen sind zu begründen und sämtliche Vorfälle zu dokumentieren.
Was ist eine Datenschutzverletzung?
Erfasst ist eine Sicherheitsverletzung, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Beispiele sind Fehlversand, Hackerangriff oder der Verlust eines unverschlüsselten Datenträgers.
Meldepflicht des Verantwortlichen
Frist und Risikoprüfung
Nach Art. 33 DSGVO beginnt die 72-Stunden-Frist mit dem Bekanntwerden. Eine Meldung unterbleibt nur, wenn voraussichtlich kein Risiko für Betroffene besteht. Fehlende Einzelheiten dürfen erforderlichenfalls schrittweise nachgereicht werden.
Pflichten des Auftragsverarbeiters
Ein Auftragsverarbeiter meldet den Vorfall nicht anstelle des Verantwortlichen, sondern informiert diesen unverzüglich, damit er seine Pflichten erfüllen kann.
Benachrichtigung der Betroffenen
Bei voraussichtlich hohem Risiko müssen zusätzlich die betroffenen Personen nach Art. 34 DSGVO verständlich informiert werden. Ausnahmen bestehen etwa bei wirksamer Verschlüsselung oder nachträglicher Beseitigung des hohen Risikos.
Beispiel
Eine Praxis versendet Befunde an einen falschen Empfänger. Sie sichert Beweise, bewertet Sensibilität und Empfängerkreis, meldet den Vorfall gegebenenfalls binnen 72 Stunden und informiert bei hohem Risiko die Patienten.
Häufige Fragen
Muss jeder Vorfall gemeldet werden?
Nein. Jeder Vorfall ist zu dokumentieren; die Behördenmeldung hängt von der Risikoprognose ab.
Was geschieht bei verspäteter Meldung?
Sie bleibt erforderlich und muss eine Begründung für die Verzögerung enthalten.
Wer ist zuständig?
Grundsätzlich die nach der DSGVO zuständige Datenschutzaufsichtsbehörde des Verantwortlichen.
Rechtsquelle
Siehe Art. 4 Nr. 12 sowie Art. 33 und 34 der Datenschutz-Grundverordnung.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.