Meldung an die Aufsichtsbehörde

Eine Meldung an die Aufsichtsbehörde ist die Mitteilung des Verantwortlichen über eine Datenschutzverletzung an die zuständige Datenschutzaufsichtsbehörde. Nach Art. 33 DSGVO ist sie grundsätzlich erforderlich, wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Ist ein solches Risiko unwahrscheinlich, muss keine Meldung erfolgen. Die Meldung ist von der gesonderten Benachrichtigung betroffener Personen nach Art. 34 DSGVO zu unterscheiden.

Die Meldung muss ohne unangemessene Verzögerung und möglichst binnen 72 Stunden erfolgen, nachdem der Verantwortliche von der Datenschutzverletzung Kenntnis erlangt hat. Bei einer späteren Meldung sind die Gründe für die Verzögerung anzugeben. Sie beschreibt unter anderem Art und voraussichtliche Folgen der Verletzung, betroffene Daten- und Personengruppen, eine Kontaktmöglichkeit sowie die bereits gesetzten oder geplanten Abhilfemaßnahmen. Wenn noch nicht alle Informationen vorliegen, darf die Meldung schrittweise ergänzt werden.

Ein Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, sobald er von einer Datenschutzverletzung Kenntnis erlangt. Der Verantwortliche muss die Verletzung außerdem dokumentieren und die Risikobewertung nachvollziehbar festhalten, auch wenn letztlich keine Meldung an die Aufsichtsbehörde erforderlich ist. Die Seite Datenschutzverletzungen und Meldepflichten ordnet den Ablauf ein; im Lexikon finden sich weitere Begriffe des Datenschutzrechts.