Muss ich auch Datenpannen nachverfolgen, die ich nicht melde?

Auch Lecks ohne Meldung gehören ins Register

Ja, in den meisten Fällen gilt: Jeder Datenschutzverstoß erhält einen Platz im Register, auch wenn keine Meldung an eine Aufsichtsbehörde erfolgt ist. Das Register ist nicht als Übersicht der Meldungen gedacht, sondern als Übersicht aller Verstöße, die vorgefallen sind, mitsamt der dabei getroffenen Bewertung: Was ist geschehen, welche Daten waren betroffen, welches Risiko wurde eingeschätzt und warum wurde gemeldet oder nicht gemeldet. Ein Leck, das keine Meldepflicht auslöst, weil das Risiko für die betroffenen Personen gering eingeschätzt wurde, fällt darunter.

Was meist nicht ins Register muss, sind Vorfälle, die keinen Verstoß gegen den Schutz personenbezogener Daten darstellen — zum Beispiel ein Systemausfall, ohne dass Daten offengelegt, verloren gegangen oder rechtswidrig verarbeitet wurden. Sobald es sich aber um einen Verstoß handelt, zählt dieser für das Register, unabhängig davon, ob eine Meldung bei der Aufsichtsbehörde erfolgt ist und unabhängig davon, ob betroffene Personen informiert wurden.

Dies folgt aus der Dokumentationspflicht von Artikel 33 der DSGVO

Artikel 33 der DSGVO regelt nicht nur die Meldung innerhalb von 72 Stunden, sondern enthält auch eine gesonderte Dokumentationspflicht: Jeder Verstoß gegen den Schutz personenbezogener Daten wird dokumentiert, einschließlich der Fakten, der Auswirkungen und der getroffenen Maßnahmen, damit eine Aufsichtsbehörde dies später überprüfen kann. Diese Dokumentationspflicht steht unabhängig davon, ob tatsächlich eine Meldung erfolgt ist. Welche Aufsichtsbehörde das Register abrufen kann, unterscheidet sich je nach Mitgliedstaat — in den Niederlanden ist dies die Autoriteit Persoonsgegevens, in Deutschland die Aufsichtsbehörde des Bundeslandes, in dem die Betriebsstätte ansässig ist — aber die Verpflichtung zur Dokumentation ergibt sich unmittelbar aus der Verordnung und gilt in dieser Form in jedem Mitgliedstaat gleichermaßen. Auch die Autoriteit Persoonsgegevens weist in ihren Informationen zu Datenschutzverstößen darauf hin, dass die Dokumentation ein separater Schritt ist, unabhängig davon, ob eine Meldung erfolgt oder nicht.