Serie: Datenschutzgrundverordnung – was ist zu tun? (5-8)

Die Datenschutzgrundverordnung (DSGVO) wurde am 25.05.2016 verabschiedet. Nach einer Übergangsfrist von zwei Jahren trat sie am 25.05.2018 in Kraft. Als Verordnung ist sie in den Mitgliedstaaten unmittelbar anwendbar (vgl. Art. 288 Abs. 2 AEUV); es bedarf insoweit keines Umsetzungsakts wie bei Richtlinien. Zur Ausfüllung von Öffnungsklauseln und zur Anpassung des nationalen Datenschutzrechts an die Vorgaben der DSGVO wurde das deutsche Bundesdatenschutzgesetz (BDSG) – inzwischen bereits zweimal – geändert; die neue Fassung trat ebenfalls am 25.05.2018 in Kraft, die Änderungen durch das Zweite Datenschutz-Anpassungs- und Umsetzungsgesetz sind am 26.11.2019 in Kraft getreten.

Die DSGVO bringt einige Änderungen mit sich; insbesondere wurden die Sanktionen drastisch verschärft. Unternehmen sollten die Vorgaben der DSGVO daher ernst nehmen; Grund zur Panik besteht allerdings nicht. In unserer Artikelserie zeigen wir Ihnen, worauf zu achten ist:

Artikel 1: Rechtsgrundlagen, Anwendungsbereich und Grundprinzipien
Artikel 2: Datenschutzbeauftragter (DSB) 
Artikel 3: Verfahrensverzeichnis, Schutzmaßnahmen und Folgeabschätzung 
Artikel 4: Informationspflichten und Betroffenenrechte 
Artikel 5: Datenpannen: Melde- / Benachrichtigungspflichten (dieser Artikel)
Artikel 6: Auftragsverarbeitung
Artikel 7: Zivilrechtliche Haftungsrisiken und Sanktionen
Artikel 8: Wesentliche Begriffe

Artikel 5: Datenpannen: Melde- / Benachrichtigungspflichten

Wenn Kundendaten unrechtmäßig in die Hände von Dritten geraten, unbeabsichtigt vernichtet oder verändert werden oder verloren gehen, treffen den Verantwortlichen die in Art. 33 und 34 DSGVO genannten Pflichten. Hiernach sind insbesondere die zuständige Aufsichtsbehörde und die Betroffenen zu informieren. Die Meldung hat grundsätzlich innerhalb von 72 Stunden zu erfolgen. Ist die Verletzung allerdings voraussichtlich nicht mit einem Risiko für die persönlichen Rechte und Freiheiten der von der Datenschutzverletzung betroffenen Person verbunden, besteht keine Meldepflicht (vgl. Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO).