Eine Datenschutzverletzung liegt vor, wenn die Sicherheit durch einen Vorfall gefährdet ist, der zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Nicht jeder Vorfall muss gemeldet werden, aber Sie müssen nachweisen können, wie Sie zu dieser Schlussfolgerung gelangt sind.
Rechtliche Grundlage
Die Definition findet sich in Artikel 4 Absatz 12 DSGVO. Artikel 33 verpflichtet den Verantwortlichen, die niederländische Datenschutzbehörde unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung der Datenschutzverletzung, zu benachrichtigen, es sei denn, es ist unwahrscheinlich, dass dadurch ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht. Artikel 34 ergänzt die Pflicht, die betroffenen Personen selbst zu informieren, wenn ein hohes Risiko besteht. Auftragsverarbeiter benachrichtigen nicht die Aufsichtsbehörde, sondern den Verantwortlichen, und zwar unverzüglich. Artikel 33 Absatz 5 schreibt die Führung eines Verzeichnisses aller Datenschutzverletzungen vor, einschließlich derjenigen, die nicht gemeldet wurden.
Wie es in der Praxis funktioniert
Die 72-Stunden-Frist beginnt, sobald hinreichende Gewissheit besteht, dass ein Sicherheitsvorfall mit personenbezogenen Daten stattgefunden hat, nicht erst mit Abschluss der Untersuchung. Die Benachrichtigung kann daher stufenweise erfolgen: zuerst über die bekannten Informationen, dann über die zusätzlichen. Die Beurteilung hängt von den Folgen für die betroffene Person ab: Handelt es sich um besondere Kategorien personenbezogener Daten, Kombinationen, die Identitätsbetrug ermöglichen, eine große Anzahl betroffener Personen oder um Personen in einer besonders schutzbedürftigen Lage? Ein verlorener Laptop mit verschlüsselter Festplatte ist in der Regel nicht meldepflichtig; eine falsch adressierte Sendung mit Gesundheitsdaten hingegen fast immer.
Wo es schiefgeht
Die meisten Maßnahmen zur Durchsetzung von Vorschriften beziehen sich eher auf die Folgen als auf den Verstoß selbst. Organisationen melden Verstöße oft erst spät, weil sie zunächst intern klären wollen, wer die Schuld trägt, oder weil sie aus Angst vor Reputationsschäden die Betroffenen nicht informieren, obwohl das Risiko hoch genug war. Eine weitere Schwierigkeit ist das fehlende interne Register: Ohne dieses lässt sich nicht begründen, warum ein Vorfall nicht gemeldet wurde, und die Bewertung ist schlichtweg ungültig.
Verwandte Begriffe
Ein Verstoß steht in direktem Zusammenhang mit der Datenverarbeitungsvereinbarung , in der die Meldefrist Ihres Lieferanten festgelegt sein sollte, und mit dem niederländischen Cybersicherheitsgesetz , das für bestimmte Sektoren eine kürzere Frist vorsieht.
Sie sind sich nicht sicher, ob ein Vorfall gemeldet werden muss? Unsere IT-Rechtsexperten prüfen dies mit Ihnen, auch innerhalb der 72-Stunden-Frist.
