Meldung von Datenpannen

Dieser Blogpost behandelt den Umgang mit Datenpannen. Trotz vielen Schutzmaßnahmen kann es vereinzelt zu Datenpannen kommen, mit denen richtig umgegangen werden muss. Im letzten Artikel wurden bereits die Folgen und Geldbußen behandelt, die eine Datenpanne mit sich ziehen kann. Wird allerdings im Falle der Datenpanne richtig gehandelt, so lassen sich die Strafen meist mildern.

Allgemein gilt, dass nach Art. 33 Abs. 1 DSGVO die verantwortliche Stelle eine Meldung an die zuständige Aufsichtsbehörde machen muss, sobald die Verletzung des Schutzes von personenbezogenen Daten vorliegt. Viele Aufsichtsbehörden haben dafür Meldeformulare eingerichtet, die auf den jeweiligen Websites abrufbar sind.

Diese Meldepflicht im Falle einer Datenpanne gilt für sowohl private als auch für öffentliche Stellen, was eine Änderung im Vergleich zum Bundesdatenschutzgesetz zuvor darstellt.

Es müssen alle Verletzungen des Schutzes von allen Arten personenbezogener Daten gemeldet werden, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Sollte die Verletzung zu einem Risiko führen, so muss die Mitteilung unverzüglich an die zuständige Aufsichtsbehörde erfolgen und innerhalb von 72 Stunden nach der Datenpanne. Sollte die Meldung später als 72 Stunden nach Kenntnisnahme der Datenpanne erfolgen, so muss die Verzögerung begründet werden.

Sobald die Verletzung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss auch der Betroffene benachrichtigt werden. Die Meldung an die Behörde muss in jedem Fall erfolgen, auch wenn keine Verpflichtung zur Benachrichtigung der betroffenen Personen besteht.

Insgesamt ist zu sagen, dass eine Datenpanne in keinem Fall verheimlicht oder vertuscht werden sollte. Die Meldung an die zuständige Behörde bedeutet nicht, dass direkt ein Bußgeldverfahren eingeleitet wird, wie bereits im letzten Blogartikel erklärt.