| Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende Überarbeitung |
| meldung_eines_datenschutzverstosses [2018/11/20 11:11] – Martin Neldner | meldung_eines_datenschutzverstosses [2019/01/31 19:25] (aktuell) – Martin Neldner |
|---|
| Die **Meldung eines Datenschutzverstoßes** muss gemäß [[https://dejure.org/gesetze/DSGVO/33.html|Art. 33 Abs. 1]] [[DSGVO]] erfolgen, wenn der Schutz personenbezogener Daten verletzt wird, also faktisch bei jeder nicht ordnungsgemäßen Beachtung des [[Datenschutz|Datenschutzes]]. Eine Ausnahme besteht dann, wenn der [[Verantwortlicher|Verantwortliche]] eine Prognoseentscheidung treffen kann, dass der Datenschutzverstoß "voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt". Diese Prognose ist durch den [[Landesdatenschutzbeauftragter|Landesdatenschutzbeauftragten]] und gerichtlich voll überprüfbar. Fehler können zu [[Ordnungswidrigkeiten]] und damit Bußgeldern führen. | ====== Meldung eines Datenschutzverstoßes ====== |
| |
| Die Meldung muss innerhalb von **72 Stunden** nach Bekanntwerden des Datenschutzverstoßes erfolgen. Die Zeit ist außerordentlich knapp, vor allem, da Abhilfemaßnahmen möglichst schon ganz oder teilweise umgesetzt und in der Meldung dokumentiert sein sollten. Allein das Entfernen von Inhalten im [[Cache]] von [[Google]] kann schon Stunden in Anspruch nehmen. | Die **Meldung eines Datenschutzverstoßes** muss gemäß [[https://dejure.org/gesetze/DSGVO/33.html|Art. 33 Abs. 1]] [[DSGVO]] erfolgen, wenn der [[Datenschutzverstoß|Schutz personenbezogener Daten verletzt]] wird, also faktisch bei jeder nicht ordnungsgemäßen Beachtung des [[Datenschutz|Datenschutzes]]. Eine Ausnahme besteht dann, wenn der [[Verantwortlicher|Verantwortliche]] eine Prognoseentscheidung treffen kann, dass der Datenschutzverstoß "voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt". Diese Prognose ist durch den [[Landesdatenschutzbeauftragter|Landesdatenschutzbeauftragten]] und gerichtlich voll überprüfbar. Fehler können zu [[Ordnungswidrigkeiten]] und damit Bußgeldern führen. |
| | |
| | Die Meldung muss innerhalb von **72 Stunden** nach Bekanntwerden des Datenschutzverstoßes erfolgen. Die Zeit ist außerordentlich knapp, vor allem, da Abhilfemaßnahmen möglichst schon ganz oder teilweise umgesetzt und in der Meldung dokumentiert sein sollten. Allein das Entfernen von Inhalten im [[Cache]] von [[Google]] kann schon Stunden in Anspruch nehmen. Zuständig für die Abgabe der Meldungen ist der [[Verantwortlicher|Verantwortliche]] bzw. bei juristischen Personen der gesetzliche Vertreter, also z.B. der Vorstand einer Aktiengesellschaft oder bei Thüringer Hochschulen gemäß [[http://landesrecht.thueringen.de/jportal/?quelle=jlink&query=HSchulG+TH+%C2%A7+30&psml=bsthueprod.psml&max=true|§ 30 Abs. 1]] [[ThürHG]] der Präsident bzw. Rektor. Der gesetzliche Vertreter kann die Befugnis zur Abgabe von Meldungen delegieren. Wenn das geschieht, sollte das ausdrücklich, möglichst schriftlich, erfolgen. |
| | |
| | Bei der Meldung eines Datenschutzverstoßes ist die Verwendung eines Formular nicht vorgeschrieben. Es kann sich aber anbieten, vom Landesdatenschutzbeauftragten vorgeschlagene Formulare zu nutzen, z.B. vom [[TLfDI]] {{formular_meldung_datenpanne.docx|dieses Formular}}((Quelle: [[https://www.tlfdi.de/tlfdi/wir/infomaterial-mustervordrucke/mustervordrucke/| Mustervordrucke des]] [[TLfDI]].)) um Risiken durch unvollständige Information zu vermeiden und andererseits auch nicht unnötig viel zu melden. |
| | |
| | ====== Praktisches Vorgehen ====== |
| | |
| | Beschäftigte, die einen Datenschutzverstoß feststellen, informieren in der Regel den betrieblichen [[Datenschutzbeauftragter|Datenschutzbeauftragten]] **direkt und sofort**. Soweit das ohne Zeitverzug möglich und zweckmäßig ist, werden dazu geeignete Formulare genutzt. Bei Bedarf kann aber auch jeder andere Kommunikationsweg genutzt werden. Der Datenschutzbeauftragte wird dann alles weitere veranlassen. |
| | |
| | ====== Weblinks ====== |
| | |
| | * [[https://beck-online.beck.de/Dokument?vpath=bibdata%2Fkomm%2Fpaalpaulykodsgvo_2%2Fewg_dsgvo%2Fcont%2Fpaalpaulykodsgvo.ewg_dsgvo.a33.htm&pos=1|Paal/Pauly/Martini, 2. Aufl. 2018, DS-GVO Art. 33 Rn. 1-64]] |
| | * [[https://beck-online.beck.de/?vpath=bibdata%2Fkomm%2FPaalPaulyKoDSGVO_2%2FEWG_DSGVO%2Fcont%2FPaalPaulyKoDSGVO%2EEWG_DSGVO%2Ea4%2EglB%2EglXII%2Ehtm|Paal/Pauly/Ernst, 2. Aufl. 2018, DS-GVO Art. 4 Rn. 92-95]] |
| | * [[https://beck-online.beck.de/?vpath=bibdata%2fkomm%2fBeckOKDatenS_25%2fEWG_DSGVO%2fcont%2fBECKOKDATENS%2eEWG_DSGVO%2eA4%2eglB%2eglXII%2ehtm|BeckOK DatenschutzR/Schild, 25. Ed. 1.2.2018, DS-GVO Art. 4 Rn. 133-135]] |
| |
| {{tag>Artikel}} | {{tag>Artikel}} |
