Source: https://www.recht-freundlich.de/datenschutz-recht-dsgvo/die-meldepflichten-bei-der-datenschutz-grundverordnung
Timestamp: 2020-07-12 18:40:19
Document Index: 333850525

Matched Legal Cases: ['Art. 33', '§42', 'Art. 33', 'Art. 33', '§42', 'Art. 33']

Die Meldepflichten nach der Datenschutz-Grundverordnung DSGVO
In Kategorie(n): Datenschutz DSGVO - 03. Januar 2020 von Rechtsanwalt Thomas Feil
Die Datenschutz-Grundverordnung (DSGVO) ist im Mai 2018 in Kraft getreten. Oft kommt es vor, dass Unternehmen über Datenschutzverstösse nicht berichten, weil sie Angst vor einem Reputationsschaden haben.
Datenschutzpanne führt zur Meldepflicht
Meldung an Aufsicht und Betroffene
Meldepflicht missachtet – Bußgeld droht
Art. 33 DSGVO Meldepflicht bei Aufsichtsbehörde
Kurze Frist für Meldung: 72 Stunden
Inhalt einer Meldung
Dokumentation der Datenschutzpannen
In Wirklichkeit ist niemand hundertprozentig vor Datenpannen geschützt. In den letzten Jahren sind immer mehr Unternehmen davon betroffen, wie z.B. Apple, Yahoo, große Banken usw., und es ist wichtig, das rechtzeitig mitzuteilen, damit solche Geschehnisse vermieden werden.
In Deutschland ist schon seit 2009 eine Meldepflicht unter §42a BDSG vorhanden. Laut des Gesetzes tritt eine Informationspflicht auf, wenn als Folge einer Datenpanne personenbezogene Daten einem Dritten unrechtmässig bekannt worden sind.
Was unter dem Begriff „personenbezogene Daten“ gemeint ist, sind alle Daten wie z.B. Daten, die einem Berufsgeheimnis unterliegen, mit einer strafbaren Handlung verbundene Daten, Bankdaten, darunter auch besondere Arten von Daten wie Rasse, politische Meinungen, Religion, Gesundheit und Sexualleben.
Unter bestimmten Umständen ist es dann nötig, sowohl der zuständigen Aufsichtsbehörde als auch die betroffenen Personen darüber zu informieren.
Mit der Datenschutz-Grundverordnung ändern sich die Regelungen nicht nur über Meldepflichten, sondern auch über die Sanktionen. Falls die Unternehmen die neu gelegten Anforderungen nicht einhalten, erwartet sie eine unangenehme Überraschung.
Abhängig von dem Verstoß ist es möglich, dass manche Unterhnehmen auch Bußgeld im Betrag von 10 oder 20 Milionen Euro (oder zwei oder vier Prozent des Jahresumsatzes) zahlen werden. Auf dem ersten Blick scheinen diese Summen ziemlich groß, aber es ist wichtig auch daran zu denken, wie viel betroffene Personen verlieren können, wenn ihre Daten gestohlen werden.
Art. 33 der Datenschutz-Grundverordnung enthält die Meldepflichten gegenüber Aufsichtsbehörden. Demzufolge sind Verantwortliche dazu verpflichtet, jede stattgefundene Datenschutzverletzung den Aufsichtsbehörden zu berichten.
Das unterscheidet sich wesentlich von der Situation unter dem BDSG, welches die Meldepflicht nur in bestimmten Ausnahmsfällen verlangt. Eine Ausnahme zu dieser Regel sind Situationen, in denen die Verletzung nicht zu einem voraussichtlichen Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die genaue Bedeutung von dieser Vorschrift ist noch nicht geklärt worden, aber es bezieht sich wahrscheinlich auf die Fälle, in denen die Daten verschlüsselt waren oder Mechanismen eingeführt wurden, die die Schaden möglichst stark abgrenzen konnten.
Weiterhin schreibt die Datenschutz-Grundverordnung eine ziemlich kurze Frist zur Erfüllung dieser Pflicht vor, nämlich 72 Stunden nachdem sie von der Verletzung erfahren haben. Eine Verzögerung ist erst dann erlaubt, wenn es eine Begründung gibt, die die Verspätung rechtfertigen kann.
Deswegen ist es in der Praxis sehr wichtig, den Beginn der Meldefrist genau zu bestimmen. Die Anforderungen in Art. 33 deuten an, dass ein bloßer Verdacht nicht ausreichend ist, um den Fristbeginn zu bestimmen, man muss sich auf tatsächliche Anhaltspunkte beziehen.
Falls es zur Beschleunigung dieses Prozesses führt, ist es praktisch, auch den Datenschutzbeauftragten des Unternehmens zu involvieren.
Hinsichtlich des Mindestinhalts der Meldung hat sich nicht viel im Vergleich zu der bisherigen Rechtslage unter §42a S.4 BDSG verändert. Etwas ganz Neues ist die Dokumentationspflicht für Datenschutzverletzungen in Art. 33 Abs. 5.
Gemäß dieser Vorschrift sind Unternehmen verpflichtet, nicht nur diese Datenschutzverletzungen zu dokumentieren, die auch den Aufsichtsbehörden zu berichten sind, sondern auch jene, für die keine Meldepflicht besteht. Daher ist es erforderlich, dass Unternehmen ihre Mitarbeiter schon darauf vorbereiten, jede Datenpanne zu notieren und mit dem Datenschutzbeauftragten zu besprechen, damit Fehler mit der Meldebedürftigkeit vermieden werden können.