Kurz erklärt: Eine Datenpanne ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen.
Was bedeutet Meldung an die Aufsichtsbehörde?
Die Meldung enthält die Art der Verletzung, die betroffenen Datenkategorien und ungefähren Zahlen, die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Liegen noch nicht alle Informationen vor, darf schrittweise gemeldet werden. Eine verspätete Meldung ist zu begründen.
Für Unternehmen mit Hauptniederlassung in Niedersachsen ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig; sie stellt ein Online-Formular bereit. Daneben kann eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO nötig sein, wenn das Risiko hoch ist.
Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO (Frist und Ausnahme)
- Art. 33 Abs. 3 DSGVO (Inhalt der Meldung)
- Art. 33 Abs. 4 DSGVO (schrittweise Meldung)
- Art. 34 DSGVO (Benachrichtigung der Betroffenen)
In der Praxis
Die Entscheidung, ob gemeldet wird, ist eine Risikoprognose und sollte schriftlich festgehalten werden, auch bei Nichtmeldung. Wer unsicher ist, meldet lieber; eine unterlassene Meldung wiegt schwerer als eine Meldung mit geringem Risiko. Auftragsverarbeiter melden nicht selbst an die Behörde, sondern unverzüglich an ihren Auftraggeber.
Häufige Fragen
Fragen zu Meldung an die Aufsichtsbehörde
Was passiert, wenn ich die 72 Stunden verpasse?
Die Meldung ist trotzdem abzugeben, mit Begründung für die Verzögerung. Eine unterlassene oder verspätete Meldung kann nach Art. 83 Abs. 4 DSGVO mit Bußgeld belegt werden.
Muss ich die Betroffenen immer informieren?
Nur bei voraussichtlich hohem Risiko, zum Beispiel bei abgeflossenen Zugangsdaten, Gesundheitsdaten oder Kontodaten. Verschlüsselte Daten können die Benachrichtigung entbehrlich machen.
Verwandte Begriffe