Die Meldepflicht bei Datenschutzverletzungen verpflichtet Verantwortliche, eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden.
Die 72-Stunden-Frist
Die Frist beginnt mit dem Bekanntwerden der Verletzung, nicht mit ihrer Aufklärung. Wer die Meldung ohne Begründung verspätet abgibt, riskiert ein eigenes Bußgeld zusätzlich zum Vorfall.
Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Liegen noch nicht alle Informationen vor, kann schrittweise gemeldet werden.
Inhalt der Meldung
- Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten
- wahrscheinliche Folgen
- ergriffene oder vorgeschlagene Maßnahmen
Benachrichtigung der Betroffenen
Besteht voraussichtlich ein hohes Risiko, sind zusätzlich die betroffenen Personen unverzüglich zu benachrichtigen. Das kann entfallen, wenn die Daten etwa wirksam verschlüsselt waren. Auftragsverarbeiter müssen Verletzungen unverzüglich an den Verantwortlichen melden.
Rechtsgrundlagen
- Art. 33 DSGVO
- Meldung an die Aufsichtsbehörde binnen 72 Stunden.
- Art. 34 DSGVO
- Benachrichtigung der betroffenen Personen.
- Art. 83 Abs. 4 lit. a DSGVO
- Bußgeldrahmen bei Verstößen gegen die Meldepflicht.
Verwandte Begriffe.
Aufsichtsbehörde Eine Aufsichtsbehörde überwacht die Einhaltung der datenschutzrechtlichen Vorschriften und setzt diese gegenüber Unternehmen und öffentlichen Stellen durch. Nach Art. 51 DS-GVO müssen die Mitgliedstaaten der Europäischen Union unabhängige Datenschutzaufsichtsbehörden vorsehen. Zu ihren Aufgaben gehören die Prüfung von Datenschutzverstößen, die Bearbeitung von Beschwerden und die Beratung zu datenschutzrechtlichen Fragen. Bei Verstößen können sie insbesondere Anordnungen erlassen und Geldbußen verhängen. Art. 51–59 DS-GVO Bußgeld Ein Bußgeld ist eine behördlich verhängte Geldsanktion, mit der Verstöße gegen gesetzliche Vorschriften geahndet werden. Im Datenschutzrecht können die zuständigen Aufsichtsbehörden nach Art. 83 DS-GVO Geldbußen verhängen, wenn Verantwortliche oder Auftragsverarbeiter gegen bestimmte datenschutzrechtliche Pflichten verstoßen. Die Sanktionen sollen wirksam, verhältnismäßig und abschreckend sein. Art. 58 Abs. 2 DS-GVO 