Meldepflichtige Datenpannen im Unternehmen
Entstehung der Meldepflicht
Das verantwortliche Unternehmen muss sich bei einer Datenpanne immer die Frage stellen, ob diese meldepflichtig gemäß Art. 33 Abs. 1 DSGVO ist.
Nachdem das Unternehmen in einem ersten Schritt geprüft hat, ob überhaupt eine Verletzung personenbezogener Daten im Sinne der DSGVO vorliegt, muss in einem zweiten Schritt das Risiko für die persönlichen Rechte und Freiheiten der Betroffenen bewertet werden. Stellt der Verantwortliche ein geringes Risiko fest, entfällt die Meldepflicht. Bei der Ermittlung des Risikos spielt neben der Art der betroffenen Daten auch der Umfang eine Rolle, d.h. wie viele Daten von wie vielen Personen betroffen sind. Ein geringes Risiko dürfte in der Regel vorliegen, wenn die Daten, zu denen sich Unbefugte Zugang verschafft haben, sicher verschlüsselt wurden.
Kommt das verantwortliche Unternehmen bei der Bewertung der Datenpanne zum Ergebnis, dass sogar ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht, ist zudem eine Benachrichtigung der betroffenen Personen gem. Art. 34 Abs. 1 DSGVO erforderlich. Ein hohes Risiko liegt insbesondere dann vor, wenn mit erheblichen Konsequenzen bzw. schwerwiegenden Beeinträchtigungen zu rechnen ist (z.B. bei Verlust von Gesundheitsdaten).
Drohung von Bußgeldern bei verspäteter oder unterlassener Meldung
Im Fall einer meldepflichtigen Datenpanne muss der Verantwortliche gem. Art. 33 Abs. 1 DSG-VO die Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde melden. Die Aufsichtsbehörden stellen auf ihren Websites Online-Meldeformulare zur Verfügung, mit denen die Meldung einer Datenpanne vereinfacht werden soll.
Kommt der Verantwortliche der Meldepflicht nicht oder verspätet nach, kann dies mit einem Bußgeld geahndet werden. Die Aufsichtsbehörde in Hamburg hat in einem Fall für die verspäte-tete Benachrichtigung über einen Datenschutzverstoß und die Nichtbenachrichtigung der betroffenen Personen ein Bußgeld i.H.v. 20.000,- € verhängt.
Ihre Autoren
Assoziierte Partnerin
Rechtsanwältin
Fachanwältin für Informationstechnologierecht
