Source: https://www.datenschutzexperte.de/was-ist-datenschutz/datenschutzpannenimunternehmen/die-meldepflicht-beim-datenschutzverstoss/
Timestamp: 2018-02-20 03:29:11+00:00

Document:
Die Meldepflicht beim Datenschutzverstoß | Datenschutzexperte.de
Nach der zurzeit geltenden Rechtslage unter dem Bundesdatenschutzgesetz entstehen bei Datenpannen sowohl gegenüber den Datenschutzbehörden als auch im Hinblick auf die Betroffenen Melde-und Anzeigepflichten. Entsprechende Nachlässigkeiten gegen die Meldepflicht beim Datenschutzverstoß sind auch jetzt bereits bußgeldpflichtig. Allerdings stellt die ab 25. Mai 2018 bindend werdende EU-Datenschutzgrundverordnung höhere Anforderungen in diesem Pflichtenkreis. Außerdem wurde der Rahmen für die Bußgelder drastisch erhöht. Unternehmen werden in Zukunft entsprechenden Protokollroutinen und Abläufen bei der Meldung der Pflichtverstöße erhöhte Aufmerksamkeit schenken müssen. Hier ist bei den Unternehmen aktives Handeln gefragt, um sich den gesteigerten Anforderungen in betrieblichen Alltag zu stellen.
Die Meldepflicht beim Datenschutzverstoß – Rechtsgrundlagen nach BDSG
Aktuell setzt § 42a BDSG den rechtlichen Rahmen für die bezeichneten Meldepflichten. Nach dieser Vorschrift ist allerdings nicht jeder Datenschutzverstoß zu melden. Die Pflicht greift nur dann, wenn von der Datenpanne besonders sensible Daten erfasst werden. Gemeint sind damit spezielle Arten personenbezogener Daten wie etwa Gesundheitsdaten, solche, die einem Berufsgeheimnis unterliegen, die sich auf strafbare Handlungen beziehen oder Bankdaten betreffen. Weiterhin qualifiziert das Bundesdatenschutzgesetz die Datenpanne selbst. Die Meldepflichten gelten nur dann, wenn schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdige Interessen des Betroffenen zu erwarten sind. Regelmäßig wird man das bei sensiblen Daten annehmen müssen. Die einschlägige Vorschrift im Bundesdatenschutzgesetz legt auch fest, dass von der Datenpanne betroffene Dateninhaber unverzüglich zu informieren sind sowie dabei geeignete Maßnahmen zur Minderung entsprechend nachteiliger Folgen zu treffen sind.
Ab Mai 2018 setzen zwei Vorschriften in der DSGVO den rechtlichen Rahmen für die Meldepflicht beim Datenschutzverstoß. Während sich Art. 33 DSGVO mit der Informationspflicht gegenüber den Aufsichtsbehörden befasst, regelt Art. 34 DSGVO die Informations- und Anzeigepflicht gegenüber den Betroffenen. Die EU-Datenschutzgrundverordnung geht dabei weiter als das BDSG. Im Rahmen von Art. 33 DSGVO werden nicht nur Datenpannen mit Verletzung sensibler personenbezogener Daten umfasst, sondern die Vorschrift bezieht sich auf alle personenbezogenen Daten bezieht. Die Anforderungen werden hinsichtlich der Meldepflicht nur dahingehend qualifiziert, dass als Ausnahme eine Meldung nicht erfolgen muss, wenn durch die Verletzung voraussichtlich kein Risiko für die Rechte oder Freiheiten natürlicher Person realisiert werden kann. Vergleicht man die neuen Regelungen mit den Vorgaben von § 42a BDSG fällt ein weiterer Unterschied auf. Letztere Vorschrift verlangt bei der Datenschutzverletzung ein unrechtmäßiges Übermitteln, beziehungsweise eine unrechtmäßige Kenntnisnahme von Dritten in Bezug auf die fraglichen Daten. Im Rahmen der der EU-Datenschutzgrundverordnung reicht es zukünftig aus, dass ein entsprechender Datenverlust aufgetreten ist. In Rahmen der Neuregelung reicht der Datenverlsut aus, um eine Meldepflicht beim Datenschutzverstoß auszulösen.
Es wird im Rahmen der Neuregelung ebenfalls verlangt, dass eine Meldung des Datenschutzverstoßes unverzüglich, möglichst innerhalb 72 Stunden nachdem die Datenpanne bekannt geworden ist, an die entsprechende Behörde zu melden ist. Dabei detailliert Art. 33 Abs. 5 DSGVO die Dokumentationspflichten, die mit einer Meldung des Datenschutzverstoßes einhergehen müssen. In diesem Rahmen ist nicht nur die Datenschutzpanne selbst zu dokumentieren, sondern auch deren Auswirkungen sowie die entsprechenden Maßnahmen zur Verhütung von Folgeschäden. Auch die betroffenen Dateninhaber sind unverzüglich über die entsprechende Datenschutzpanne zu informieren. Die Information hat so zu erfolgen, dass sie von den Betroffenen erfasst werden kann, das heißt also in einer klaren und einfach strukturierten Sprache. Grundsätzlich hat die Meldung beim Datenschutzverstoß den Betroffenen gegenüber individuell zu erfolgen, als Ausnahme ist bei unverhältnismäßigen Aufwand eine öffentliche Bekanntmachung möglich.
Nach der zurzeit noch geltenden Rechtslage sind Verstöße gegen die Meldepflicht beim Datenschutzverstoß mit bis zu 300.000 EUR Bußgeld bedroht. Die EU-Datenschutzgrundverordnung erhöht diesen Rahmen erheblich. Entsprechende Verstöße sind jetzt mit bis zu 20 Millionen EUR Bußgeld, beziehungsweise mit 4 % des gesamten weltweit erwirtschaften Jahresumsatzes im vorangegangenen Geschäftsjahr sanktioniert. Auch, wenn noch abzuwarten ist, wie dieser Rahmen in der Praxis umgesetzt wird, müssen Unternehmen zukünftig bei der Meldung eines Datenschutzverstoßes unbedingt datenschutzkonform vorgehen. Die Meldepflicht beim Datenschutzverstoß gegenüber Behörden und den Betroffenen spielt ab Mai 2018 eine größere Rolle als bisher. Insoweit müssen unter Umständen veränderte technische Maßnahmen zur Überwachung der gesamten Datenverarbeitung zur Anwendung kommen, da nicht mehr nur sensible personenbezogene Daten erfasst werden.
/ Was ist Datenschutz? / Datenschutzpannen im Unternehmen / Die Meldepflicht beim Datenschutzverstoß

References: § 42
 Art. 33
 Art. 34
 Art. 33
 § 42
 Art. 33