Gemäß Art. 33 DSGVO soll im Falle einer Verletzung des Schutzes personenbezogener Daten diese der zuständigen Aufsichtsbehörde gemeldet werden. Eine Meldung kann unterbleiben, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die Unternehmen tun sich schwer mit dem Melden, wahrscheinlich weil sie damit Schwachstellen in ihrem Unternehmen offenbaren. Zudem erwarten sie hohe Strafen durch die Aufsichtsbehörden. Dann lieber frei nach dem Prinzip, „was keiner weiß, macht die Behörde nicht heiß“.
Nach einem inoffiziellen Statement einer Datenschutzbehörde sollten eigentlich bis zu 1000 Meldungen im Monat erfolgen, reintrudeln höchstens 10. Aber die Aufsichtsbehörden bestrafen hier nicht, dies ist eine Fehlinformation. Im Gegenteil zeigen Meldungen von Datenschutzpannen, dass das Thema Datenschutz ernsthaft und bewusst betrieben wird und vor allem dass die Prozesse passen, nämlich dass ein Vorfall intern bis zur/zum Datenschutzbeauftragten herangetragen wird.
Das Melden ist formal sehr einfach, da alle Aufsichtsbehörden auf ihrer Internetseite, entsprechende Meldemöglichkeiten zur Verfügung stellen, hier stellvertretend das Formular des Hamburgischen Datenschutzbeauftragten:
https://datenschutz-hamburg.de/service-information/datenpanne-melden
Natürlich kann man als Unternehmen rechtlich argumentieren, dass für eine Datenschutzpanne das Risiko für Freiheiten und Datenschutzrechte der Betroffenen nicht gegeben sei und deswegen eine Meldung nicht erfolgen müsse. Dies ist richtig, aber hier sollte man nicht die Unternehmenssicht annehmen, sondern die Sicht der Betroffenen. Beides ist auf jeden Fall unterschiedlich. Auch die quantitative Betracht hilft nicht wirklich weiter. Was für 1 Person ganz schlimm sein mag, mag bei 100 gar nicht der Fall sein.
Zu melden hilft m.E. auch den Datenschutzbehörden, den aktuellen Datenschutz bei Unternehmen besser einzuschätzen, was wiederum den Unternehmen hilft.
Also, lieber einmal zuviel melden, als einmal zu wenig.
