Die Meldepflicht bei Datenschutzverletzungen verpflichtet Verantwortliche, eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden.
Die 72-Stunden-Frist
Die Frist beginnt mit dem Bekanntwerden der Verletzung, nicht mit ihrer Aufklärung. Wer die Meldung ohne Begründung verspätet abgibt, riskiert ein eigenes Bußgeld zusätzlich zum Vorfall.
Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Liegen noch nicht alle Informationen vor, kann schrittweise gemeldet werden.
Inhalt der Meldung
- Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten
- wahrscheinliche Folgen
- ergriffene oder vorgeschlagene Maßnahmen
Benachrichtigung der Betroffenen
Besteht voraussichtlich ein hohes Risiko, sind zusätzlich die betroffenen Personen unverzüglich zu benachrichtigen. Das kann entfallen, wenn die Daten etwa wirksam verschlüsselt waren. Auftragsverarbeiter müssen Verletzungen unverzüglich an den Verantwortlichen melden.
Rechtsgrundlagen
- Art. 33 DSGVO
- Meldung an die Aufsichtsbehörde binnen 72 Stunden.
- Art. 34 DSGVO
- Benachrichtigung der betroffenen Personen.
- Art. 83 Abs. 4 lit. a DSGVO
- Bußgeldrahmen bei Verstößen gegen die Meldepflicht.
Verwandte Begriffe.
Aufsichtsbehörde Die Datenschutz-Aufsichtsbehörde überwacht die Einhaltung des Datenschutzrechts und kann Prüfungen durchführen und Bußgelder verhängen. Art. 51 bis 59 DSGVO Bußgeld Bußgelder nach der DSGVO können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen. Art. 83 DSGVO 