Datenpannen bewältigen: So gehen Sie bei Schutzverletzun ... / 5 Meldung an die Aufsichtsbehörde und Nachricht an die Betroffenen

Im Hinblick auf die Vorgaben der Verordnung muss zukünftig genau geprüft werden, wer in welchen Fällen zu benachrichtigen ist. Es sind nicht mehr Aufsichtsbehörde und Betroffene stets gleichermaßen zu benachrichtigen. Die DSGVO enthält eine abgestufte Melde- und Benachrichtigungspflicht. Dieses ist umfangreicher als das im BDSG.

Meldepflicht gegenüber Aufsichtsbehörde (Art. 33 DSGVO)

• Der Verantwortliche muss jede Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

• Bei Auftragsverarbeitung muss der Auftragsverarbeiter den Verantwortlichen unverzüglich über eine Datenschutzverletzung informieren

Benachrichtigungspflicht gegenüber Betroffenen (Art. 34 DSGVO)

• Zusätzlich zur Meldepflicht muss der Verantwortliche die von einer Datenschutzverletzung betroffenen Personen unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat (siehe 3.5)

• Eine Ausnahme von der Benachrichtigungspflicht besteht, wenn der Verantwortliche geeignete technische und organisatorische Sicherheitsmaßnahmen getroffen oder nachträglich Maßnahmen ergriffen hat, die das hohe Risiko für die Rechte und Freiheiten betroffener Personen ausschließen

Die abgestufte Melde- und Benachrichtigungspflicht dient dazu, Aufsichtsbehörden und Betroffene über Datenschutzverletzungen zu informieren und Risiken für Persönlichkeitsrechte zu minimieren. Um die Meldepflicht gegenüber der Aufsichtsbehörde auszulösen, reicht ein "normales" Risiko, das keiner besonderen Qualifizierung bedarf. Ein geringes Risiko ist hingegen auch hierfür nicht ausreichend.

Im Zweifelsfall gilt: Bei der Entscheidung, ob die Behörden oder auch die betroffenen Personen informiert werden müssen, ist auch stets die Prognosesicherheit im Einzelfall zu beachten. Das bedeutet: Je unsicherer die Risikoprognose – etwa mangels konkret bezifferbarem Ausmaß der Schutzverletzung – war, desto eher sollte – aus Gründen des Haftungsrisikos – von einer Melde- und Benachrichtigungspflicht ausgegangen werden.

Diesbezüglich bietet sich auch gerade eine enge Abstimmung mit der Aufsichtsbehörde an, die die Schutzverletzung auch gemeinsam mit dem Verantwortlichen eruiert und rechtlich bewertet. Sie wird demnach eine Einschätzung darüber abgeben, ob sie das Risiko für so hoch hält, dass auch eine Benachrichtigung der Betroffenen angezeigt ist.

5.1 Meldung an die Aufsichtsbehörde

[1] Art. 33 DSGVO.

5.1.1 Inhalt der Meldung

Hat die Risikoprognose ergeben, dass ein Risiko besteht, stellt sich die Frage nach Inhalt und Form der Meldung und Benachrichtigung. Die Meldung gegenüber der Aufsichtsbehörde muss dabei die folgenden Punkte umfassen:

• Beschreibung der Art der Verletzung (z. B. Datenverlust)
• Kategorien von Betroffenen (z. B. Mitarbeiter, Kunden, Lieferanten)
• (Ungefähre) Anzahl der Betroffenen, Kategorien von Datensätzen und ungefähre Anzahl der betroffenen Datensätze (z. B. Datensätze von 351 Kunden und 26 Mitarbeitern betroffen, darunter Anzahl x besonders schützenswerte Daten)
• Name und Kontaktdaten des Datenschutzbeauftragten (DSB) oder sonstiger Anlaufstelle (z. B. Qualitätsmanager)
• Beschreibung der wahrscheinlichen Folgen der Schutzverletzung (z. B. finanzielle Nachteile durch unbefugte Offenlegung von Bank- und Kreditkartendaten)
• Beschreibung ergriffener und vorgeschlagener Maßnahmen, um die Schutzverletzung zu "beheben" und um mögliche Folgen abzumildern
• Welche Maßnahmen wurden bereits ergriffen zur Reduzierung welchen Risikos und welcher Schutzverletzung? Beispiel: Zur Reduzierung physischer Schäden durch den nicht avisierten Datenverlust der Patientenakten wurde ein Datenwiederherstellungsverfahren angewandt, wodurch die Daten zu X Prozent wiederhergestellt werden konnten.
• Welche Maßnahmen wurden – etwa aus zeitlichen Gründen – noch nicht ergriffen, können aber das Risiko weiter reduzieren?

Es ist jedoch nicht erforderlich, dass alle Informationen, die in der Meldung an die Aufsichtsbehörde enthalten sein müssen, gleich nach Feststellung der Schutzverletzung vorliegen. Die Meldung muss nämlich nicht zwingend als Ganzes in einem Paket erfolgen. Art. 33 Abs. 4 DSGVO gestattet ein stufenweises Vorgehen. Das ist praxisgerecht, da nur in seltenen Fällen gleich zu Beginn alle relevanten Informationen über die Schutzverletzung vorliegen dürften. So kann etwa das Schadensausmaß eines IT-Angriffs häufig erst sukzessive ermittelt werden.

Nach Art einer "Erstmeldung" kann es erforderlich sein, weitere Meldungen an die Aufsichtsbehörde zu schicken. Immer dann, wenn neue Informationen bekannt werden, sind diese in einer Folgemeldung weiterzugeben, die einen Verweis auf vorausgehende Meldungen enthält.

Die kumulative Meldung zieht sozusagen eine "Ermittlungspflicht" des Verantwortlichen nach sich, bis alle Informationen zusammengetragen sind, die die Aufsichtsbehörde benötigt, um den Vorfall zu prüf...