welche Konsequenzen hat es, wenn ich einen Datenschutzverstoß der AP nicht melde

Nichtmeldung kann Folgen haben, die über den Verstoß selbst hinausgehen

Wer eine meldepflichtige Datenschutzverletzung nicht dem Aufsichtsbehörde meldet, riskiert, dass diese Aufsichtsbehörde dies selbst herausfinden könnte und dann auf der Grundlage von Artikel 33 der DSGVO tätig wird, der die Meldepflicht innerhalb der festgelegten Frist regelt. Die niederländische Aufsichtsbehörde für den Datenschutz und die anderen europäischen Aufsichtsbehörden haben die Befugnis, Untersuchungen durchzuführen, Fragen zu stellen und bei einem festgestellten Verstoß eine Strafe zu verhängen. Dass ein Verstoß nicht gemeldet wurde, kommt häufig erst dann ans Licht, weil eine Person, deren Daten betroffen sind, selbst eine Beschwerde einreicht, weil Daten anderswo auftauchen oder weil ein Auftragsverarbeiter oder Anbieter den Verstoß meldet und die Aufsichtsbehörde dann nachfragen stellt — siehe auch was tun, wenn ein Anbieter eine Datenschutzverletzung meldet.

Neben dem Risiko bei der Aufsichtsbehörde gibt es noch etwas anderes: die Nichtmeldung eines Verstoßes ist unabhängig von der Frage, ob die betroffenen Personen benachrichtigt werden müssen. Diese Verpflichtung ergibt sich aus Artikel 34 der DSGVO und kann auch dann noch bestehen, wenn die Meldung an die Aufsichtsbehörde unterblieben ist — mit all dem Reputationsschaden und Vertrauensverlust, der entstehen kann, wenn dies später dennoch bekannt wird. Auch ein Verstoß, der nicht meldepflichtig ist, sollte in der eigenen Dokumentation erfasst werden; siehe warum auch nicht gemeldete Datenschutzverletzungen dokumentiert werden sollten.

Was hierzu in den Regeln steht

Die Meldepflicht steht in Artikel 33 der DSGVO und gilt unmittelbar in jedem Mitgliedstaat der EU. Die Stelle, an die die Meldung erfolgt, unterscheidet sich je nach Land: in den Niederlanden ist das die niederländische Aufsichtsbehörde für den Datenschutz, in anderen Mitgliedstaaten die nationale Aufsichtsbehörde dieses Landes — der Europäische Datenschutzausschuss führt ein Verzeichnis dieser Aufsichtsbehörden und veröffentlicht Leitlinien zur Auslegung der Meldepflicht. Die genaue Erläuterung, wann etwas gemeldet werden muss und wann nicht, finden Sie auf der Seite über Beurteilung, ob eine Datenschutzverletzung gemeldet werden muss.