Artikel 33 EU-DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
- Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
- Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.
- Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen:
- eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personen bezogenen Datensätze;
- den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
- eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
- eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
- Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.
- Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation ermöglicht der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels.
Kommentar zu Art. 42 DSGVO
Art. 42 DSGVO befasst sich mit datenschutzspezifischen Zertifizierungsverfahren und daraufhin zu vergebenden Prüfzeichen und Siegeln. Dadurch soll gleich erkennbar sein, ob ein Unternehmen, Produkt oder eine Dienstleistung den datenschutzrechtlichen Standards der DSGVO entspricht.
Wenn Ihre Kunden beispielsweise in Ihrem Onlineshop einkaufen möchten, mit Ihrem Unternehmen einen Dienstleistungsvertrag abschließen wollen oder wenn Sie mit anderen Firmen in Kontakt treten, ist für Ihr Gegenüber oftmals nicht ersichtlich, ob Sie großen Wert auf Einhaltung der Datenschutzregelungen legen. Aus diesem Grund fördert die EU in der DSGVO die Einführung von datenschutzspezifischen Zertifizierungsverfahren sowie die Vergabe von Datenschutzsiegeln und -prüfzeichen durch in Art. 43 DSGVO näher beschriebene, zertifizierte Stellen. Diese Zeichen werden für drei Jahre vergeben und können dann erneuert werden. So ist für jeden nach außen erkennbar, dass Ihr Unternehmen in Übereinstimmung mit der DSGVO bzw. mit anderen nationalen Gesetzen agiert, was zur Gewinnung eines größeren Kundenstamms, einem Wettbewerbsvorteil sowie zu größerem Vertrauen bei Ihren Kunden führen kann.
Zertifizierung – Welche Arten gibt es?
Es existieren weder ein einheitliches Prüfzeichen noch eine zentrale Prüfstelle, die ein Siegel gemäß Art. 42 DSGVO an alle Unternehmen vergibt. Aus diesem Grund ist es etwas kompliziert, den Überblick zu behalten. Eine Übersicht über Siegel, die eine allgemeine datenschutzbezogene Zertifizierung kennzeichnen, erhalten Sie beispielsweise auf der Webseite der „Stiftung Datenschutz“. Gemäß Art. 42 DSGVO sollte auch der Europäische Datenschutzausschuss über eine solche Auflistung verfügen. Derzeit ist ein derartiges Dokument auf der Webseite des Ausschusses jedoch noch nicht vorhanden.
Eine Datenschutzzertifizierung nach Art. 42 DSGVO vergibt beispielsweise der TÜV Rheinland nach einer erfolgreichen Überprüfung der datenschutzrechtlichen Standards in Ihrem Unternehmen (Datenschutzaudit). IT-Produkte und IT-basierte Dienste können zudem mit dem „EuroPriSe“-Siegel ausgezeichnet werden. Für die Überprüfung der Sicherheit von Cloudsystemen eignet sich etwa der „Trusted Cloud“-Standard, welcher vom Bundesministerium für Wirtschaft entwickelt wurde und von der Stiftung Datenschutz verwaltet wird.
Wie kann Ihr Unternehmen ein Datenschutzzertifikat im Sinne von Art. 42 DSGVO erhalten?
Wenn Sie nun darüber nachdenken, dass auch Ihr Unternehmen ein Prüfzeichen gemäß Art. 42 DSGVO erhalten sollte, so stehen wir Ihnen gerne beratend zur Seite. datenschutzexperte.de vergibt im Rahmen der Leistungspakete zudem ebenfalls ein eigenes Datenschutzsiegel, durch welches Sie zeigen, dass Ihr Unternehmen durch uns betreut wird und sich daher professionell und sorgfältig um Datenschutz kümmert. Weitere Informationen finden Sie unter: https://www.datenschutzexperte.de/unsere-leistungen/datenschutzsiegel/.