Wann muss ich eine Datenpanne bei der Autoriteit Persoonsgegevens melden?

Meldung ist die Hauptregel, es sei denn, ein Risiko ist unwahrscheinlich

Eine Datenschutzverletzung melden Sie der Aufsichtsbehörde, sobald wahrscheinlich ist, dass die Verletzung ein Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Das ist der Kern von Artikel 33 DSGVO: Meldung ist der Ausgangspunkt, und nur wenn begründet anzunehmen ist, dass kein Risiko entsteht, unterbleibt diese Meldung. In der Praxis bedeutet dies, dass die meisten Datenschutzverletzungen mit personenbezogenen Daten — eine falsch versandte E-Mail mit Kundendaten, ein gestohlener Laptop, eine gehackte Datenbank — der Meldepflicht unterliegen, während eine Verletzung, die offensichtlich niemanden treffen kann (beispielsweise weil die Daten verschlüsselt waren und der Schlüssel nicht abhandengekommen ist), außerhalb fallen kann.

Für diese Einschätzung berücksichtigen Sie, was genau vorgefallen ist, welche Daten es betrifft und wer dadurch betroffen sein kann. Besondere Kategorien personenbezogener Daten, Finanzdaten oder Daten von Kindern wiegen dabei schwerer als eine einzelne E-Mail-Adresse. Die 72-Stunden-Frist aus Artikel 33 DSGVO läuft ab dem Zeitpunkt, in dem Sie sich der Verletzung bewusst werden, nicht ab dem Zeitpunkt, in dem sie eintrat — diese beiden liegen manchmal Wochen auseinander. Ein Entscheidungsbaum, der diese Abwägung Schritt für Schritt durchläuft, ist nie ein Ersatz für Ihr eigenes Urteil über die konkrete Verletzung, hilft aber dabei, die Frage "meldepflichtig oder nicht" strukturiert zu durchlaufen.

Wo dies aus Artikel 33 DSGVO und den EDPB-Leitlinien folgt

Die Meldepflicht selbst ist in Artikel 33 DSGVO verankert; die Konkretisierung von Begriffen wie "Risiko" und "unverzüglich" stammt aus den EDPB-Leitlinien zu Datenschutzverletzungsmeldungen, und die Autoriteit Persoonsgegevens erläutert dies für die niederländische Praxis. Die DSGVO gilt unmittelbar in jedem Mitgliedstaat, aber bei wem Sie melden, unterscheidet sich: In den Niederlanden ist dies die Meldestelle der Autoriteit Persoonsgegevens, der einzigen Aufsichtsbehörde für das ganze Land. In Deutschland melden Sie bei der Aufsichtsbehörde des Bundeslandes, in dem die Betriebsstätte ansässig ist, da dort sechzehn Landesaufsichtsbehörden neben einer Bundesaufsichtsbehörde bestehen.