Datenpanne: Risiko-Check
Vier Fragen zu Deinem Vorfall, eine erste Einschätzung des Bußgeldrisikos und die Pflichten, die jetzt laufen. Besonders die 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde.
Deine Antworten verlassen nie Deinen Browser. Wir übertragen und speichern sie nicht, und auf dieser Seite läuft keine Sitzungsaufzeichnung.
Was ist passiert?
Orientierung, keine Rechtsberatung. Ob und in welcher Höhe ein Bußgeld verhängt wird, entscheidet die Aufsichtsbehörde im Einzelfall.
Die 72-Stunden-Regel
Die Frist ist kurz, und sie läuft oft schon, bevor alle Fakten feststehen.
Wann sie beginnt
Mit dem Zeitpunkt, in dem Dir als Verantwortlichem die Verletzung bekannt wird. Ein Auftragsverarbeiter muss Dir seinerseits unverzüglich Bescheid geben (Art. 33 Abs. 2).
Wie gezählt wird
In Stunden, nicht in Werktagen. Wochenenden und Feiertage halten die Frist nicht an (Art. 3 Abs. 3 der Fristenverordnung (EWG, Euratom) Nr. 1182/71).
Wenn noch nicht alles feststeht
Melde trotzdem fristgerecht. Fehlende Informationen darfst Du ohne unangemessene weitere Verzögerung schrittweise nachreichen (Art. 33 Abs. 4).
Wenn die Frist verstrichen ist
Hol die Meldung sofort nach und begründe die Verzögerung (Art. 33 Abs. 1 Satz 2). Eine späte Meldung ist besser als keine.
Was jetzt gilt
Drei Vorschriften der DSGVO bestimmen, was nach einer Datenpanne zu tun ist und was ein Versäumnis kosten kann.
Meldung an die Aufsichtsbehörde
- Der Verantwortliche meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde.
- Die Meldung entfällt nur, wenn die Verletzung voraussichtlich zu keinem Risiko für die Betroffenen führt.
- Unabhängig davon ist jede Verletzung mit Fakten, Auswirkungen und Abhilfemaßnahmen zu dokumentieren (Abs. 5).
Benachrichtigung der Betroffenen
- Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, sind auch sie unverzüglich zu benachrichtigen.
- Das entfällt etwa, wenn die Daten wirksam verschlüsselt waren oder das hohe Risiko durch Nachsorge aller Wahrscheinlichkeit nach nicht mehr besteht.
Geldbußen
- Verstöße gegen die Melde- und Benachrichtigungspflichten können mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist (Abs. 4).
- Bei der Höhe zählen unter anderem Art, Schwere und Dauer des Verstoßes, die betroffenen Datenkategorien, die Zusammenarbeit mit der Behörde und ob der Vorfall gemeldet wurde (Abs. 2).
Lieber gemeinsam draufschauen?
In einem Erstgespräch ordnen wir Deinen Vorfall ein, prüfen Melde- und Benachrichtigungspflichten und helfen bei der Meldung an die Aufsichtsbehörde. Wenn die Frist läuft, auch kurzfristig.
Dieser Check gibt eine erste Orientierung und ist keine Rechtsberatung. Die Spannen beim Bußgeld sind grobe Erfahrungswerte, keine Prognose für Deinen Fall.