Meldung von Datenschutzverletzungen

Eine Meldung von Datenschutzverletzungen ist eine rechtliche Verpflichtung, Aufsichtsbehörden und in einigen Fällen betroffene Personen zu informieren, wenn personenbezogene Daten durch eine Sicherheitsverletzung kompromittiert wurden. Gemäß der DSGVO müssen Verantwortliche ihre Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme einer Verletzung benachrichtigen, die ein Risiko für die Rechte und Freiheiten von Personen darstellt, und betroffene Personen direkt benachrichtigen, wenn die Verletzung ein hohes Risiko darstellt.

Rechtsgrundlage

„Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt."

— Artikel 33 Absatz 1, Verordnung (EU) 2016/679 (DSGVO)

„Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung."

— Artikel 34 Absatz 1, Verordnung (EU) 2016/679 (DSGVO)

Warum es wichtig ist

Meldepflichten bei Datenschutzverletzungen betreffen jede Organisation, die personenbezogene Daten im Zusammenhang mit politischen Werbedienstleistungen verarbeitet. Für Sponsoren, Herausgeber und Anbieter politischer Werbedienstleistungen im Sinne der Verordnung 2024/900 bedeutet dies, dass jeder unbefugte Zugriff auf, Verlust von oder Änderung an personenbezogenen Daten, die für Targeting oder Anzeigenauslieferung verwendet werden, unverzüglich der zuständigen Datenschutzbehörde gemeldet werden muss.

Die 72-Stunden-Meldefrist ist streng und beginnt ab dem Zeitpunkt, zu dem die Organisation Kenntnis von der Verletzung erlangt, nicht wenn sie die Untersuchung abgeschlossen hat. Organisationen müssen über interne Prozesse verfügen, um Verletzungen schnell zu erkennen, zu untersuchen und zu melden. Die Nichtmeldung kann zu Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes gemäß der DSGVO führen.

Speziell für politische Werbung sind Verletzungen, die Targeting-Daten, Wählerprofile oder politische Präferenzen betreffen, besonders sensibel. Diese Verletzungen können Einzelpersonen Manipulation, Diskriminierung oder Vergeltungsschäden aussetzen, wodurch eine rechtzeitige Meldung für den Schutz demokratischer Prozesse und individueller Rechte von entscheidender Bedeutung ist.

Wichtige Punkte

• Verantwortliche müssen ihre Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme einer Verletzung benachrichtigen, es sei denn, die Verletzung birgt voraussichtlich kein Risiko für die Rechte und Freiheiten von Personen
• Wenn die Verletzung ein hohes Risiko für Personen darstellt, müssen diese unverzüglich direkt benachrichtigt werden
• Meldungen müssen die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze sowie die zur Behebung ergriffenen Maßnahmen beschreiben
• Auftragsverarbeiter müssen Verantwortliche unverzüglich nach Entdeckung einer Verletzung benachrichtigen, damit Verantwortliche ihre eigenen Meldefristen einhalten können
• Organisationen sollten eine Dokumentation aller Verletzungen führen, einschließlich nicht gemeldeter Verletzungen, um die Einhaltung nachzuweisen
• Strafen für die Nichtmeldung können 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist

Meldung von Datenschutzverletzungen vs. Transparenzhinweis

Obwohl beide Offenlegungspflichten beinhalten, dienen die Meldung von Datenschutzverletzungen und Transparenzhinweise unterschiedlichen Zwecken. Eine Meldung von Datenschutzverletzungen ist eine reaktive, vorfallgesteuerte Anforderung, die ausgelöst wird, wenn die Sicherheit personenbezogener Daten kompromittiert wurde. Sie muss innerhalb von 72 Stunden an Aufsichtsbehörden und bei hohem Risiko an betroffene Personen übermittelt werden.

Ein Transparenzhinweis (wie die gemäß Artikel 13-14 DSGVO erforderliche Datenschutzerklärung oder der Transparenzhinweis für politische Werbung gemäß Verordnung 2024/900) ist eine proaktive, fortlaufende Verpflichtung, Personen vor oder zum Zeitpunkt der Erhebung darüber zu informieren, wie ihre Daten verarbeitet werden. Transparenzhinweise sind präventiv und informativ; Meldungen von Verletzungen sind abhelfend und dringend.

Verwandte Begriffe

• Personenbezogene Daten
• Datenschutzbehörde
• Verantwortlicher
• Auftragsverarbeiter
• DSGVO-Konformität
• Targeting-Techniken
• Sicherheitsmaßnahmen
• Aufsichtsbehörde
• Datenschutzerklärung
• Rechte betroffener Personen