Meldung von Datenschutzverletzungen nach DSGVO: wann Sie innerhalb von 72 Stunden melden müssen

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Darunter fällt eine an die falsche Person gesendete E-Mail ebenso wie ein Cyberangriff.

Meldung an die Behörde innerhalb von 72 Stunden, es sei denn, ein Risiko ist unwahrscheinlich

Artikel 33 verpflichtet den Verantwortlichen, die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später, müssen Sie die Verzögerung begründen.

Auftragsverarbeiter müssen ihren Verantwortlichen unverzüglich informieren, nachdem ihnen eine Verletzung bekannt geworden ist (Art. 33 Abs. 2).

Was die Meldung enthält

Wenn Ihnen noch nicht alle Informationen vorliegen, können Sie diese schrittweise bereitstellen (Art. 33 Abs. 4).

• die Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen.

Die betroffenen Personen bei hohem Risiko benachrichtigen

Wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat, müssen Sie diese zudem unverzüglich in klarer und einfacher Sprache benachrichtigen (Art. 34). Dies ist nicht erforderlich, wenn die Daten verschlüsselt und für den Empfänger unverständlich waren, wenn nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder wenn eine individuelle Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden wäre; in diesem Fall erfolgt stattdessen eine öffentliche Bekanntmachung.

Jede Verletzung dokumentieren

Artikel 33 Abs. 5 verpflichtet Sie, jede Verletzung zu dokumentieren, auch solche, die Sie nicht melden: den Sachverhalt, die Auswirkungen und die ergriffenen Abhilfemaßnahmen. Das Register zeigt der Behörde, dass Sie jeden Fall bewertet haben.

In Estland werden Datenschutzverletzungen der Datenschutzinspektion (AKI) gemeldet. Unser DSGVO-Kit enthält ein Verfahren für Datenschutzverletzungen mit der 72-Stunden-Frist, ein Meldeformular und ein Register der Datenschutzverletzungen.