Datenschutz Verstoß - so können ihn Unternehmen melden

Es ist passiert: Ein Datenschutzverstoß! Nun muss er den Behörden gemeldet werden. Doch wie genau läuft diese Meldung ab, und was ist dabei zu beachten?

Wenn es um Verstöße gegen datenschutzrechtliche Vorschriften und deren Meldung geht, muss man zwei Fälle unterscheiden. Zum einen bestehen entsprechende Meldepflichten für Unternehmen. Ihnen kommt unter bestimmten Umständen die ausdrückliche Pflicht zu, einen Verstoß gegen Datenschutzvorgaben zu melden. Auf der anderen Seite muss der Verantwortliche die betroffenen Personen nach Art. 34 Abs. 1 DSGVO unverzüglich benachrichtigen, wenn durch die Datenschutzverletzung ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht.

Im Folgenden geht es zunächst um die Meldung einer Datenschutzverletzung bei der Aufsichtsbehörde durch das Unternehmen.

Verstoß gegen den Datenschutz melden – EU-Datenschutzgrundverordnung

Seit dem 25. Mai 2018 gilt die EU-Datenschutz-Grundverordnung. Sie erweitert die Meldepflicht für Unternehmen bei einem Verstoß gegen datenschutzrechtliche Vorschriften auf alle Formen der Datenpannen. Das bedeutet: Oftmals ist Unternehmern gar nicht bewusst, dass es sich bei einem bestimmten Vorfall bereits um eine meldepflichtige Datenpanne handelt. Hier ist es an Ihrem Datenschutzbeauftragten, Ihre Mitarbeiter zu sensibilisieren und im Fall einer Datenpanne richtig zu handeln. Wo immer erforderlich, hilft er Ihnen bei der Prognoseentscheidung und Risikoeinschätzung sowie bei Meldungen oder Benachrichtigungen.

Download: Checkliste

Umgang mit Datenschutzverletzungen

Eine Ausnahme der Meldepflicht wäre nur gegeben, wenn der Datenverlust voraussichtlich nicht zu einem Risiko für die betroffene Person führt. Angesichts des drastisch erhöhten Bußgeldrahmens von jetzt bis zu 20 Millionen EUR oder 4 % des Unternehmens-Umsatzes pro Jahr bei einer Verletzung der Meldepflicht wird sich allerdings kaum ein Unternehmen dafür entscheiden, eine entsprechende Ausnahme von sich aus anzunehmen.

Geregelt ist die Meldepflicht in Art. 33 DSGVO. Dabei ist unter anderem festgelegt, dass die Meldung eines Verstoßes gegen den Datenschutz innerhalb von 72 Stunden zu erfolgen hat.

Verstoß gegen Datenschutz melden – betroffene Person

Wer als betroffene Person einen Verstoß gegen den Datenschutz melden möchte, kann sich entweder an den Datenschutzbeauftragten des Unternehmens oder an die zuständige Aufsichtsbehörde wenden, sofern es sich um einen Verantwortlichen aus dem nicht-öffentlichen Bereich handelt. Bei öffentlichen Stellen auf Bundesebene ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Ansprechpartner.