Source: https://www.datenschutzexperte.de/gesetzestext-eu-dsgvo/artikel-33/
Timestamp: 2018-11-19 01:12:51+00:00

Document:
Art. 33 EU-DSGVO: Meldung von Verletzung des Schutzes von Daten: Datenschutzexperte.de
Artikel 33 EU-DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personen bezogenen Datensätze;
Kommentar zu Art. 33 DSGVO
Art. 33 DSGVO beinhaltet eine Meldepflicht für eine Verletzung des Schutzes personenbezogener Daten bei der zuständigen Aufsichtsbehörde. Hierbei nennt die Norm - im Gegensatz zur alten Fassung des Bundesdatenschutzgesetzes - keine bestimmten meldungswürdigen Verstöße, sondern spricht eine allgemeingültige Meldepflicht aus. Allerdings besteht eine Ausnahme für solche Verstöße, die voraussichtlich nicht zu einem Risiko für die betroffene Person führen. In diesen Fällen ist eine Meldung entbehrlich.
Liegt ein solcher Fall nicht vor, so sind in der Folge weitere Maßnahmen zu treffen. So müssen Sie beispielsweise unter Umständen alle betroffenen Personen informieren, einen Plan zur Folgenbeseitigung und Prävention entwickeln sowie den gesamten Vorgang dokumentieren. Ein Verstoß gegen die DSGVO und weitere datenschutzrechtliche Normen zieht also weitreichende Folgen nach sich. Aus diesem Grund ist die rechtzeitige und eingehende Auseinandersetzung mit diesem Thema, unter Umständen durch das Hinzuziehen eines professionellen Datenschutzbeauftragten, von großer Bedeutung.
Art. 33 DSGVO - Anforderungen an die Meldung
In Art. 33 DSGVO und insbesondere im dritten Absatz sind zahlreiche Anforderungen an die Meldung, dass datenschutzrechtliche Regulierungen verletzt wurden, genannt. Wenn es also zu einem Verstoß gekommen ist, sind folgende Punkte zu beachten:
Meldung durch den Verantwortlichen an die zuständige Aufsichtsbehörde (in Deutschland die jeweiligen Landes- und Bundesdatenschutzbeauftragten)
Unverzügliche Meldung, d.h. möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung (bei späteren Meldungen inklusive einer Begründung für die Verspätung)
Unverzügliche Meldung durch den Auftragsverarbeiter an den Verantwortliche
Art der Verletzung, betroffene Daten und ungefähre Anzahl der betroffenen Personen
Namen und Kontaktdaten des Datenschutzbeauftragten,
Geplante oder bereits getroffene Maßnahmen zur Behebung der Verletzung
Welche Verstöße sind an die Aufsichtsbehörde zu übermitteln?
Weiter oben wurde bereits beschrieben, dass eine Meldung dann nicht notwendig ist, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Hier kommt es demnach nicht auf das Risiko für die Verletzung von Firmengeheimnisse an, sondern die betroffene Person steht im Vordergrund. Somit muss die Aufsichtsbehörde im Normalfall nicht unterrichtet werden, wenn sich beispielsweise ein Besucher Ihrer Firma nicht in die Besucherliste eingetragen hat, jedoch zu keiner Zeit in Kontakt mit personenbezogenen Daten gekommen ist. Andererseits ist es bei Unsicherheiten aufgrund der unter Umständen hohen Strafen, die bei Verstößen gegen datenschutzrechtliche Vorschriften drohen, sicherlich empfehlenswert, die Aufsichtsbehörde auch bei kleineren Verstößen zu informieren. So gehen Sie auf Nummer sicher.
Verletzungen personenbezogener Daten, die Sie melden sollten, sind etwa:
Diebstahl Ihrer Firmenakten oder IT-Geräte
Durch Transportunternehmen verlorengegangene Sendungen
Virtueller Datenklau
Weitergabe firmeninterner Daten durch Mitarbeiter
Einsicht in Akten, die personenbezogene Daten enthalten durch unautorisierte Mitarbeiter
Unvollständige Datenschutzerklärung
Veröffentlichung von Daten Ihrer Kunden trotz fehlender Einwilligung im Internet
Was bedeutet Art. 33 DSGVO für Ihr Unternehmen?
Art. 33 DSGVO bedeutet für Ihr Unternehmen vor allen Dingen, dass Sie im Falle einer Verletzung des Schutzes personenbezogener Daten schnell handeln müssen. Vor allem die 72-stündige Frist zur Meldung ist einzuhalten. Daneben müssen Berichte verfasst, Interventionspläne ausgearbeitet und betroffene Mitarbeiter unterrichtet werden. Je nach Schwere des Verstoßes kann dies viel Zeit in Anspruch nehmen. Zudem wird Ihr Unternehmen künftig von der Aufsichtsbehörde voraussichtlich genauer unter die Lupe genommen. Damit Sie für diesen Fall gut vorbereitet sind und eine nach Maßgaben des fünften Absatzes der DSGVO ausreichende Dokumentation der Vorgänge stattfindet, empfiehlt sich die Einsetzung eines professionellen Datenschutzbeauftragten. Dieser berät zudem im Vorfeld über datenschutzrechtliche Maßnahmen, so dass sich Verstöße vielfach vermeiden lassen.

References: Art. 33

Art. 33

Art. 33
 Art. 33
 Art. 33

Art. 33