wer ist verantwortlich für die Meldung eines Datenschutzverstoßes in meinem Unternehmen

Die Verantwortung liegt bei der Organisation, nicht bei einem einzelnen Mitarbeiter

Die DSGVO legt die Meldepflicht bei der Organisation, die Verantwortlicher im Sinne der DSGVO ist, nicht bei einem einzelnen Mitarbeiter, der das Leck entdeckt oder verursacht hat. Wer innerhalb des Unternehmens die Meldung tatsächlich vornimmt, regelt die DSGVO nicht — das ist eine interne Angelegenheit. In der Praxis ist dies in der Regel der Inhaber, ein Geschäftsführer oder jemand, der speziell zur Wahrnehmung von Datenschutzangelegenheiten bestellt ist, wie ein Datenschutzbeauftragter, falls ein solcher bestellt wurde. Bei einem Einzelunternehmen oder einem kleinen Unternehmen ohne separate Funktion fällt diese Verantwortung oft von selbst auf die Person, die das Unternehmen führt.

Was jedoch feststeht, ist, dass es jemanden geben muss, der weiß, dass eine Meldung erforderlich werden kann, sobald ein Leck auftritt, und der beurteilen kann, ob was genau unter einer Datenschutzverletzung fällt hier Anwendung findet. Ein Unternehmen, das nicht festgelegt hat, wer sich darum kümmert, läuft Gefahr, dass ein Leck erkannt wird, aber niemand die nächsten Schritte unternimmt — während die Frist ab dem Zeitpunkt der Entdeckung bereits läuft. Auch wenn die Verarbeitung an einen Dritten ausgelagert wurde, ändert sich nichts daran, wer für die Meldung verantwortlich bleibt: das ist und bleibt das eigene Unternehmen, auch wenn ein Anbieter selbst eine Datenschutzverletzung meldet.

Grundlage dafür: Artikel 33 der DSGVO

Artikel 33 der DSGVO spricht durchgehend vom "Verantwortlichen" als die Partei, die den Behörden melden muss, schreibt aber keine interne Funktion oder Person vor; wer dies tatsächlich ausführt, liegt im Ermessen der Organisation selbst. Die Autoriteit Persoonsgegevens bestätigt auf ihrer Seite zu Datenschutzverletzungen, dass die Meldepflicht beim Unternehmen liegt und nicht bei einem bestimmten Mitarbeiter. Bei welcher Behörde eine Meldung erfolgen muss, unterscheidet sich nach Mitgliedstaat: In den Niederlanden ist es die Autoriteit Persoonsgegevens, während in anderen EU-Ländern die nationale Behörde die zuständige Stelle ist. Mehr über die zu ergreifenden Schritte und die Rolle der Behörde finden Sie bei wann eine Datenschutzverletzung bei der Autoriteit Persoonsgegevens gemeldet werden muss.