Ist Ihr Unternehmen nur in den Niederlanden ansässig und betrifft eine Datenpanne niederländische betroffene Personen, melden Sie dies wie gewohnt: bei der Autoriteit Persoonsgegevens. Hat Ihr Unternehmen auch eine Niederlassung in einem anderen EU-Land, oder betrifft das Leck betroffene Personen in mehreren Mitgliedstaaten, sieht die DSGVO einen besonderen Mechanismus vor: das One-Stop-Shop-Prinzip. Dabei bestimmt die Verordnung eine Aufsichtsbehörde, die den Fall koordiniert, auch wenn mehrere Länder beteiligt sind.
Die eine, koordinierende Aufsichtsbehörde wird als federführende Aufsichtsbehörde bezeichnet. Dies ist grundsätzlich die Aufsichtsbehörde des Landes, in dem sich Ihre Hauptniederlassung befindet: der Ort, an dem die wichtigsten Entscheidungen über die Zwecke und Mittel der Verarbeitung getroffen werden. Die Frist von 72 Stunden für die Meldung ändert sich nicht, auch nicht wenn mehrere Länder beteiligt sind — diese Frist ist in der DSGVO selbst festgelegt und gilt EU-weit.
Wann ist eine Datenpanne grenzüberschreitend
Eine Datenpanne ist grenzüberschreitend, sobald die Verarbeitung, auf die sich das Leck bezieht, im Rahmen der Aktivitäten von Niederlassungen in mehr als einem Mitgliedstaat stattfindet, oder wenn das Leck betroffene Personen in mehreren Mitgliedstaaten erheblich betrifft. Dies ist nicht dasselbe wie „es gibt auch Kunden im Ausland›: Es geht um die Frage, ob die Verarbeitung selbst grenzüberschreitend organisiert ist, beispielsweise weil eine Niederlassung in einem anderen Land bei der Entscheidung über den Umgang mit den Daten mitbeteiligt ist. Ein Webshop, der von den Niederlanden aus an Kunden in Deutschland verkauft, ohne eine deutsche Niederlassung zu haben, fällt normalerweise nicht darunter.
Das One-Stop-Shop-Prinzip in der Praxis
Die Idee hinter dem One-Stop-Shop-Prinzip besteht darin, dass ein Unternehmen mit Niederlassungen in mehreren Mitgliedstaaten nicht mit jeder nationalen Aufsichtsbehörde separat verhandeln muss. Die federführende Aufsichtsbehörde übernimmt die Führung, koordiniert mit den Aufsichtsbehörden der anderen beteiligten Länder und sorgt für eine Entscheidung statt mehrerer, möglicherweise widersprüchlicher Entscheidungen. Für Sie als Unternehmen bedeutet dies vor allem, dass Sie wissen, an wen Sie sich wenden müssen: an die Aufsichtsbehörde Ihrer Hauptniederlassung, nicht an die des Landes, in dem eine betroffene Person lebt.
Der EDPB hat Leitlinien darüber veröffentlicht, wie eine Hauptniederlassung ermittelt wird und wie Aufsichtsbehörden untereinander zusammenarbeiten. Diese Leitlinien sind relevant, sobald Ihr Unternehmen tatsächlich in mehreren Ländern mit eigenen Niederlassungen tätig ist, nicht sobald Sie einfach internationale Kunden haben.
Was bleibt gleich, wo liegt der Unterschied
Der Kern der Meldepflicht — wann ein Leck meldepflichtig ist, die Frist von 72 Stunden und die Frage, ob betroffene Personen selbst informiert werden müssen — ist in der DSGVO festgelegt und gilt in jedem Mitgliedstaat auf die gleiche Weise. Was sich unterscheiden kann, ist praktischer Natur: das Meldungsportal jeder nationalen Aufsichtsbehörde funktioniert etwas anders, einige Länder verwenden eine eigene Sprache für die Meldung, und die Bestimmung einer federführenden Aufsichtsbehörde erfordert manchmal weitere Untersuchungen, wenn nicht sofort klar ist, welche Niederlassung die Hauptniederlassung ist. Letzteres ist einer der Punkte, bei denen sich EU-Mitgliedstaaten in der Ausführungspraxis unterscheiden können, obwohl die zugrunde liegende Norm dieselbe ist.
Für ein mittelständisches Unternehmen ohne ausländische Niederlassung
Die meisten KMU und Einzelunternehmer haben keine eigene Betriebsstätte im Ausland, auch nicht, wenn sie Kunden oder Lieferanten über die Grenze hinweg haben. In diesem Fall ändert sich in der Praxis wenig: Sie melden einen Datenschutzverstoß einfach der Datenschutzbehörde, auf die gleiche Weise und innerhalb der gleichen Frist wie bei einem Verstoß, der nur niederländische betroffene Personen betrifft. Falls Sie unsicher sind, ob Ihre Situation dennoch ein grenzüberschreitendes Element hat, zum Beispiel weil Sie eine Tochtergesellschaft in einem anderen EU-Land haben, die über die Verarbeitung mitentscheidet, dann ist dies eine Frage, die Sie am besten mit einem Anwalt oder direkt mit der Datenschutzbehörde besprechen sollten. Mit dem Entscheidungsbaum in wenigen Fragen sehen, ob etwas ein meldepflichtiger Datenschutzverstoß ist erhalten Sie bereits einen ersten Anhaltspunkt, auch wenn Sie noch nicht wissen, ob es einen grenzüberschreitenden Aspekt gibt.
Um zu sehen, wie solch eine Meldung sich zu Ihrem Verarbeitungsverzeichnis und den Vereinbarungen mit Lieferanten verhält, ist es sinnvoll, breiter zu schauen als nur auf die Meldepflicht. Die Wissensdatenbank mit Erklärungen zu jedem Thema bringt die einzelnen Pflichten zusammen, und eine Erläuterung darüber, woher die Informationen stammen zeigt, welche Quellen hinter jeder Antwort liegen, einschließlich der Leitlinien der EDPB.
Haben Sie Fragen zu Ihrer eigenen Situation, zum Beispiel weil Sie unsicher sind, ob Ihre Betriebsstätte im Ausland als Hauptbetriebsstätte zählt? Führen Sie dann den kostenlosen Schnell-Check durch oder blättern Sie durch die häufig gestellte Fragen zu Datenschutzverstößen und Meldepflicht um zu sehen, welche Frage Ihrer Situation am nächsten kommt. Für ein endgültiges Urteil über Ihren Fall bleiben ein Anwalt oder die Datenschutzbehörde der richtige Ansprechpartner.