Zurück zu: Datenschutz Grundschulung
Die DSGVO sieht zwei Meldepflichten vor:
Meldung an die Aufsichtsbehörde (Artikel 33 DSGVO):
Wenn eine Datenpanne voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, muss das Unternehmen die zuständige Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren.
Die 72-Stunden-Frist beginnt in dem Moment, in dem das Unternehmen (also z. B. Sie als Mitarbeiter) von der Datenpanne Kenntnis erlangt. Deshalb ist jede Minute wichtig – je später Sie den Vorfall melden, desto weniger Zeit hat Ihr Unternehmen für die Prüfung und die offizielle Meldung.
Nicht jede Datenpanne muss gemeldet werden: Wenn die Panne voraussichtlich kein Risiko für die betroffenen Personen darstellt, kann eine Meldung unterbleiben. Beispiel: Ein verschlüsselter USB-Stick geht verloren – die Daten sind aufgrund der Verschlüsselung für den Finder nicht lesbar. Ob ein Risiko besteht, entscheidet aber nicht der einzelne Mitarbeiter, sondern der Datenschutzbeauftragte oder die Geschäftsführung.
Benachrichtigung der betroffenen Personen (Artikel 34 DSGVO):
Wenn die Datenpanne voraussichtlich ein hohes Risiko für die betroffenen Personen darstellt, müssen diese zusätzlich persönlich informiert werden. Ein hohes Risiko besteht zum Beispiel, wenn Kontodaten, Passwörter oder Gesundheitsdaten offengelegt wurden.