Verfahren für Meldepflichten aufsetzen
Geht es um die Meldung einer Datenschutz-Verletzung an die zuständige Aufsichtsbehörde, steht die Frist von 72 Stunden im Mittelpunkt der Diskussionen. Es gilt nach Datenschutz-Grundverordnung:
„Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.“
Doch die 72-Stunden-Frist ist nicht die einzige Herausforderung bei den Informationspflichten, die bei einer Datenschutz-Verletzung nach DSGVO eintreten.
Tatsächlich muss der Verantwortliche das Verfahren zur Meldung einer Datenpanne nicht nur fristgerecht gestalten. Er muss viel mehr noch weitere, grundsätzliche Maßnahmen ergreifen.
Meldepflichten: Was die DSGVO fordert
Die DSGVO setzt eine niedrige Schwelle, ab wann eine Meldepflicht an die zuständige Aufsicht besteht. Dagegen müssen die Meldungen an die betroffenen Personen eher selten erfolgen. So gilt:
- Eine Meldung an die Aufsichtsbehörde hat bei einer Verletzung der DSGVO immer zu erfolgen. Ausnahme: Die Datenpanne führt „voraussichtlich nicht zu einem Risiko“ für den Betroffenen.
- Eine betroffene Person muss dagegen nur benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.
- Tipp: In den Leitlinien 01/2021 hat der Europäische Datenschutzausschuss (EDSA) Beispiele für die Meldung von Verletzungen des Schutzes personenbezogener Daten veröffentlicht.
Neben der eingangs genannten Meldefrist gibt es nach DSGVO bestimmte Inhalte, die die Meldung an die zuständige Aufsichtsbehörde berücksichtigen muss:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze
- den Namen und die Kontaktdaten des Datenschutzbeauftragten oder sonstigen Anlaufstelle für weitere Informationen
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten
- eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen
Können Verantwortliche die Informationen nicht zur gleichen Zeit bereitstellen, können diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt werden.
Es zeigt sich: Sich auf die Meldefrist allein zu konzentrieren, reicht nicht aus. Es ist notwendig, den kompletten Meldeprozess zu etablieren und zu gewährleisten.
Der Verantwortliche muss jede Datenschutz-Verletzung dahin gehend überprüfen, ob die Datenpanne „voraussichtlich nicht zu einem Risiko“ für den Betroffenen führt.
Und das nicht nur bei einer Datenpanne mit besonders sensiblen Daten.
