§ 5 Informations- und Mitteilungspflichten des Verantwor ... / G. Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Art. 33 DSGVO

Rz. 216

Wesentlich weitreichender als die Benachrichtigungspflichten gegenüber der betroffenen Person, sind die Mitteilungspflichten gegenüber der Aufsichtsbehörde im Fall der Verletzung des Schutzes personenbezogener Daten ausgestaltet.

I. Voraussetzung – Voraussichtliches Risiko

Rz. 217

Im Falle einer Verletzung des Schutzes personenbezogener Daten hat der Verantwortliche den Verstoß der gemäß Art. 51 DSGVO für ihn zuständigen Aufsichtsbehörde zu melden, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Rz. 218

Anders als in Art. 34 Abs. 1 DSGVO^[182] besteht die Meldepflicht unabhängig davon, ob das mit der Verletzung eingetretene Risiko hoher, mittlerer oder geringer Natur ist. Eine Meldepflicht ist nur dann nicht gegeben, wenn die Verletzung voraussichtlich gar kein Risiko für die Rechte und Freiheiten natürlicher Personen beinhaltet, was bei einem Datensicherheitsverstoß^[183] in der Regel nur anzunehmen sein dürfte, wenn ausschließlich frei zugängliche Daten^[184] betroffen sind.

[182] Hierzu oben Rdn 131 ff.

[183] Zum Begriffsverständnis Rdn 130.

[184] Vgl. Schutzstufenkonzept des LfD Niedersachsen, 2010, abrufbar unter: http://www.lfd.niedersachsen.de/download/52033/Schutzstufenkonzept_LfD_Niedersachsen_.pdf; hierzu oben Rdn 135.

II. Inhalt der zu übermittelnden Informationen

Rz. 219

Der Inhalt der im Falle einer Verletzung des Schutzes personenbezogener Daten mit einem Risiko für die Rechte und Freiheiten natürlicher Personen vom Verantwortlichen an die zuständige Aufsichtsbehörde mitzuteilenden Informationen bestimmt sich nach Art. 33 Absatz 2 DSGVO.

1. Art der Verletzung

Rz. 220

Die Mitteilung hat eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten zu enthalten (Art. 33 Abs. 2 lit. a) 1. Alt. DSGVO). Dies erfordert eine genaue Information zum Hergang des die Verletzung bedingenden Ereignisses, die auch darüber aufklären muss, ob sich ein "internes Risiko" (bspw. unberechtigter Zugriff auf Daten durch Mitarbeiter des Verantwortlichen) oder ein "externes Risiko" (z.B. ein Hackerangriff, wg. Lücken in der Firewall; ein Verlust von Datenträgern; Angriff über Trojaner, Viren, Key-Logger, Sniffler usw.^[185]) verwirklicht hat. Entscheidend dürfte sein, dass das Verletzungsszenario für die Aufsichtsbehörde in einer Art und Weise nachvollziehbar wird, die es ihr möglich macht, die damit verbundene Risikoeinschätzung selbst vorzunehmen.

[185] Zu den möglichen Angriffsszenarien auch Lenhard, Datensicherheit (2017).

2. Kategorien und ungefähre Zahl von betroffenen Personen

Rz. 221

Weiterhin muss die Mitteilung – soweit möglich – Angaben zu den Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze enthalten (Art. 33 Abs. 2 lit. a) 2. Alt. DSGVO). Die Einschränkung "soweit möglich" ist – vor dem Hintergrund des Schutzzwecks der Norm – restriktiv anzuwenden.

3. Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen

Rz. 222

Zusätzlich sind der Name und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen anzugeben (Art. 33 Abs. 2 lit. b) DSGVO).

4. Beschreibung der wahrscheinlichen Folgen der Verletzung

Rz. 223

Weiterhin hat die Mitteilung eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten zu enthalten. Diese können etwa in der Gefahr eines Identitätsbetrugs oder anderer (genau zu beschreibender) Formen des Datenmissbrauchs liegen. Soweit der Verantwortliche im Rahmen einer Datenschutzfolgenabschätzung^[186] die Folgen möglicher Verletzungen bereits beschrieben hat, kann ergänzend auf diese verwiesen werden.

[186] Hierzu § 7 Rdn 78 ff.

5. Beschreibung der vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung

Rz. 224

Weiterhin ist eine Beschreibung der vom Verantwortlichen ergriffenen oder beabsichtigten Maßnahmen zur Behebung der Risiken an die Aufsichtsbehörde zu übermitteln. Derartige Maßnahmen können etwa im Zurücksetzen von Passwörtern, der Durchführung von Updates, dem Neuaufsetzen der Systeme, der Schließung von Lücken in der Firewall, der Suche nach und dem Entfernen von Schadprogrammen usw. liegen. Soweit der Verantwortliche die Maßnahmen, die zu einer Behebung erforderlich sind, nicht selbst bestimmen und/oder ergreifen kann, ist er gehalten, sich fachkundiger Unterstützung zu bedienen.

III. Form und Frist der Mitteilung

Rz. 225

Die Mitteilung an die Aufsichtsbehörde ist grundsätzlich an keine besondere Form gebunden und kann mündlich, schriftlich oder auch auf elektronischem Wege erfolgen, soweit die Aufsichtsbehörde entsprechende Kommunikationskanäle eröffnet hat. Mit Blick auf die in Art. 33 Abs. 4 DSGVO dem Betroffenen auferlegte Dokumentationspflicht sind die nach Art. 33 Abs. 3 DSGVO an die Aufsichtsbehörde mitzuteilenden Informationen jedenfalls in Textform zu übermitteln. Die Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen des Art. 33 DSGVO ermöglichen, so dass eine für einen außenstehenden Dritten aus sich heraus verständliche Darstellung erforderlich ist. Lediglich intern verwandte Kürzel, Abkürzungen, Begrifflichkeiten usw. reichen nicht aus.

Rz. 226

Die Mitteilung einer eingetretenen Verletzung des Schutzes personenbezogener Daten ist ...