Die DSGVO schreibt vor, dass ein Datenschutzverstoß, der ein Risiko für betroffene Personen darstellen kann, der Aufsichtsbehörde gemeldet werden muss, sobald Sie davon Kenntnis erhalten haben. Die Frist dafür ist kurz: 72 Stunden. Wenn Sie nicht melden oder zu spät melden, erfüllen Sie damit eine Verpflichtung aus der DSGVO nicht. Was das konkret bedeutet, hängt von der Situation ab, und genau dazu treffen wir als Redaktion keine Aussage: das entscheiden Sie selbst, Ihr Jurist oder die Aufsichtsbehörde.
Was sich jedoch beschreiben lässt: Die DSGVO gibt der Aufsichtsbehörde die Befugnis, einen Datenschutzverstoß zu untersuchen, der nicht oder zu spät gemeldet wurde, und darauf zu reagieren. Welche Reaktion das ist und ob sie erfolgt, ist nicht festgelegt und nicht vorherzusagen. Für Sie als Unternehmer ist also nicht so sehr die Frage "was ist die Strafe", sondern "was muss ich regeln, damit ich rechtzeitig beurteilen kann, ob eine Meldung erforderlich ist".
Was die Meldepflicht genau verlangt
Die DSGVO unterscheidet zwischen einer Meldung an die Aufsichtsbehörde und einer Meldung an die betroffenen Personen selbst. Die erste gilt bei einem Verstoß, der ein Risiko darstellen kann; die zweite, schwerwiegendere Variante gilt bei einem hohen Risiko. Beide Bewertungen müssen schnell erfolgen, und die 72-Stunden-Frist für die Aufsichtsbehörde läuft vom Zeitpunkt der Entdeckung des Verstoßes, nicht vom Zeitpunkt seines Entstehens. Wer diesen Unterschied noch nicht klar unterscheidet, kann ihn in ein paar Fragen durchgehen: in fünf Fragen sehen, wo Sie stehen gibt direkt einen Hinweis darauf, ob eine Meldung erforderlich ist.
Der Kern des Problems bei einer zu späten Meldung liegt meist nicht an fehlender Absicht, sondern an Zeit, die durch Unklarheiten verloren geht: Wer kümmert sich darum, handelt es sich überhaupt um einen Datenschutzverstoß im Sinne der DSGVO, und haben wir überhaupt eine Übersicht über die Systeme, die personenbezogene Daten enthalten. Genau hier zeigt ein Verarbeitungsverzeichnis seinen Wert: Ohne Übersicht über Ihre Verarbeitungstätigkeiten kostet die Ermittlung des Umfangs eines Verstoßes unnötig viel von den 72 Stunden, die Ihnen zur Verfügung stehen.
Auch Nichtmelden müssen Sie begründen können
Ein weniger bekannter Punkt ist, dass die DSGVO auch verlangt, dass Sie dokumentieren, wenn Sie sich entscheiden, einen Datenpanne nicht zu melden, und warum. Die Rechenschaftspflicht gilt nämlich für die Abwägung selbst, nicht nur für die Meldung, falls diese erfolgt. Eine Datenpanne, die Sie als "kein Risiko für betroffene Personen" bewerten und deren Abwägung Sie nirgendwo dokumentieren, ist nachträglich schwer zu begründen, sollte dies gefragt werden. Die Richtlinien des EDPB gehen hier ausführlich darauf ein; die Quellenangabe und die Erklärung dazu finden Sie in der Wissensdatenbank nach Thema.
Auswirkungen, die über die Aufsichtsbehörde hinausgehen
Außerhalb der Beziehung zur Autoriteit Persoonsgegevens gibt es noch zwei Stellen, an denen eine versäumte Meldung zum Problem werden kann. Die erste ist die Auftragsverarbeitungsvereinbarung: Wenn Sie für einen Kunden personenbezogene Daten verarbeiten, enthält sie oft eine eigene Meldungsfrist, manchmal kürzer als die gesetzliche Frist von 72 Stunden, und diese Frist gilt dann zusätzlich zur DSGVO. Die zweite ist die betroffene Person selbst: Jemand, dessen Daten offengelegt wurden und der dies selbst bemerkt, ohne dass Sie gemeldet haben, kann dieses Vertrauen nicht wiederherstellen, unabhängig von einer rechtlichen Bewertung.
Auch eine Versicherungsgesellschaft oder ein öffentlicher Auftraggeber, der im Nachhinein fragt, wie ein Datenleck behandelt wurde, schaut darauf, ob rechtzeitig bewertet und, falls erforderlich, gemeldet wurde. Das ist etwas anderes als eine Geldbuße, aber es berührt das, was oft der Anlass ist, um den Datenschutz in Ordnung zu bringen: nachweisen zu können, dass ein Prozess vorhanden ist, nicht nur dass nichts schiefgegangen ist.
Warum die Frist oft der Engpass ist
In der Praxis fehlt es selten am Willen zur Meldung, sondern an der Geschwindigkeit, mit der eine Organisation feststellen kann, was geschehen ist, welche Daten betroffen sind und wer beteiligt ist. Ein System, das die 72-Stunden-Frist ab dem Zeitpunkt laufen lässt, in dem eine mögliche Verletzung registriert wird, verhindert, dass diese Zeit in internen Diskussionen verstreicht. Wie ein solches System aufgebaut ist und worauf die Informationen basieren, wird auf der Seite über beschrieben woher die Informationen kommen.
Ob ein konkreter Vorfall bei Ihnen meldepflichtig ist, welche Frist genau in Ihrem Fall gilt und welche Folgen entstehen, wenn eine Meldung versäumt wurde, lässt sich nicht allgemein beantworten. Für diese Bewertung ist ein Jurist oder die Behörde für Datenschutz selbst der richtige Ansprechpartner.
Möchten Sie zunächst selbst einen Überblick über Ihre Situation erhalten, ohne Verpflichtungen? Der kostenlose Quick-Check und die Wissensdatenbank geben einen ersten Überblick pro Thema, einschließlich der Fundstelle im offiziellen Text.