Meldepflicht bei Datenpannen
Nach Art. 33 und 34 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten mit voraussichtlichem Risiko für Betroffene binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzbehörde melden, bei hohem Risiko zusätzlich den Betroffenen selbst.
In der Praxis
In der Praxis lohnt es sich, schon vor einem Ernstfall einen einfachen internen Notfallplan festzulegen: Wer wird informiert, wer entscheidet über die Meldung, was wird dokumentiert. Ohne diese Vorbereitung geht in den ersten Stunden einer echten Datenpanne oft wertvolle Zeit verloren, die innerhalb der knappen 72-Stunden-Frist fehlt. Auch nicht meldepflichtige Vorfälle sollten intern dokumentiert werden, das verlangt die DSGVO ausdrücklich.