Datenschutzverstoß melden: Checkliste zur Vorbereitung

Was ist nach einer Datenschutz­verletzung zu tun?

Bei Verstößen gegen datenschutzrechtliche Vorschriften und deren Meldung sind zwei Fälle zu unterscheiden:

• Es bestehen Meldepflichten für Unternehmen. Ihnen kommt unter bestimmten Umständen die ausdrückliche Pflicht zu, einen Verstoß gegen Datenschutzvorgaben zu melden.
• Auf der anderen Seite muss der Verantwortliche die betroffenen Personen nach Art. 34 Abs. 1 DSGVO unverzüglich benachrichtigen, wenn durch die Datenschutzverletzung ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht.

Im Folgenden erfahren Sie, wie die Anzeige abläuft und was Sie dabei unbedingt beachten müssen.

So können Unternehmen einen DSGVO-Verstoß melden

Die Datenschutzgrundverordnung (DSGVO) regelt die Meldepflicht für Unternehmen bei einem Verstoß gegen datenschutzrechtliche Vorschriften. Sie gilt für alle Formen der Datenpannen.

Vielen Unternehmen ist nicht bewusst, dass es sich bei einem bestimmten Vorfall bereits um eine meldepflichtige Datenpanne handelt. Deshalb hat Ihr Datenschutzbeauftragte die Aufgabe, Ihre Mitarbeiter zu sensibilisieren und im Fall einer Datenpanne richtig zu handeln. Wo immer erforderlich, hilft er oder sie Ihnen bei der Prognoseentscheidung und Risikoeinschätzung sowie bei Meldungen oder Benachrichtigungen.

Gut zu wissen: Wollen Sie Ihren Beschäftigten die Möglichkeit geben, einen DSGVO-Verstoß zu melden und anonym bleiben, können Sie dafür ein digitales Hinweisgebersystem einrichten oder Ihr bestehendes System digitalisieren.

Verstoß gegen Datenschutz: Beispiele und Risikoabschätzung

Anhaltspunkte dafür, wann typischerweise eine Datenschutzverletzung vorliegt, liefert unsere kostenlose Checkliste.

Als Verstoß gegen Datenschutz gelten zum Beispiel:

• Fehlversand per E-Mail oder per Post
• unbefugter Zugriff auf Daten
• der Verlust von Datenträgern

Die Checkliste gibt Ihnen einen Überblick über weitere wichtige Datenschutzverstöße und zeigt, wie Sie Ihr Risiko einschätzen.

Checkliste zum Datenschutzverstoß downloaden

So gehen Sie mit Datenschutzverletzungen richtig um:

Muss ich jede Datenschutz­verletzung melden?

Grundsätzlich ist jede Datenschutzpanne zu melden. Eine Ausnahme der Meldepflicht ist nur dann gegeben, wenn der Datenverlust voraussichtlich nicht zu einem Risiko für die betroffene Person führt. Angesichts drohender Bußgelder von bis zu 20 Millionen EUR oder 4 % des Unternehmens-Umsatzes pro Jahr bei einer Verletzung der Meldepflicht wird sich allerdings kaum ein Unternehmen dafür entscheiden, eine entsprechende Ausnahme von sich aus anzunehmen.

Datenschutzverstoß anzeigen: Frist unbedingt einhalten

Geregelt ist die Meldepflicht in Art. 33 DSGVO. Dabei ist unter anderem festgelegt, dass die Meldung eines Verstoßes gegen den Datenschutz innerhalb von 72 Stunden zu erfolgen hat.

Als betroffene Person Verstoß gegen Datenschutz melden

Wer als betroffene Person einen Verstoß gegen den Datenschutz, zum Beispiel einen Cookie-Verstoß, melden möchte, kann sich entweder an den Datenschutzbeauftragten des Unternehmens oder an die zuständige Aufsichtsbehörde wenden, sofern es sich um einen Verantwortlichen aus dem nicht-öffentlichen Bereich handelt.

Bei öffentlichen Stellen auf Bundesebene ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Ansprechpartner.

Schnelle Hilfe bei einer Panne

Panne passiert? Ihr SOS-Team von datenschutzexperte.de hilft

Mit fundierter Praxiserfahrung im Datenschutz helfen mein Team und ich Ihnen dabei, mit DSGVO-Herausforderungen pragmatisch umzugehen und bei einem Datenschutzverstoß hohe Strafen abzuwenden.

Dominik Fünkner

(zertifizierter Datenschutzbeauftragter & Geschäftsführer)

FAQ zum Melden von Datenschutz­pannen

Wo meldet man Datenschutzverstöße?

Ein Verstoß gegen den Datenschutz muss bei der zuständigen Datenschutzbehörde oder einem Landesdatenschutzbeauftragten gemeldet werden. Wer in welchem Fall zuständig ist, weiß Ihr Datenschutzbeauftragter.

Wann muss man eine Datenschutzpanne melden?

In der Regel müssen Unternehmen jeden Datenschutzverstoß bei der zuständigen Datenschutzbehörde melden. Zwar bestehen Ausnahmen, wenn etwa ein geringes Verletzungsrisiko der personenbezogenen Daten vorliegt. Die Einschätzung darüber sollten Sie jedoch stets Experten überlassen, um sich vor hohen Strafen zu schützen.