Datenschutzverletzung – Wer muss informiert werden?
Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten
verloren gehen, gestohlen, unbefugt offengelegt oder verändert werden.
Die DSGVO regelt, wer in einem solchen Fall informiert werden muss.
1. Datenschutzaufsichtsbehörde informieren
Die zuständige Datenschutzaufsichtsbehörde muss informiert werden,
wenn die Datenschutzverletzung voraussichtlich ein Risiko für die
Rechte und Freiheiten der betroffenen Personen darstellt.
- Rechtsgrundlage: Art. 33 DSGVO
- Meldung innerhalb von 72 Stunden
- Verantwortlich ist das betroffene Unternehmen bzw. die Organisation
Beispiel:
Ein Firmenlaptop mit Kundendaten wird gestohlen.
2. Betroffene Personen informieren
Die betroffenen Personen müssen informiert werden,
wenn die Datenschutzverletzung voraussichtlich ein
hohes Risiko für ihre Rechte und Freiheiten darstellt.
- Rechtsgrundlage: Art. 34 DSGVO
- Information ohne unnötige Verzögerung
- Betroffene sollen Schutzmaßnahmen ergreifen können
Beispiel:
Zugangsdaten, Gesundheitsdaten oder Bankdaten wurden veröffentlicht.
Entscheidungsschema
Datenschutzverletzung
↓
Risiko vorhanden?
↓
Ja → Aufsichtsbehörde informieren
↓
Hohes Risiko?
↓
Ja → Zusätzlich Betroffene informieren
Übersicht
| Situation |
Aufsichtsbehörde |
Betroffene Personen |
| Kein Risiko |
❌ Nein |
❌ Nein |
| Risiko |
✅ Ja |
❌ Nicht zwingend |
| Hohes Risiko |
✅ Ja |
✅ Ja |
Wichtige Frist
Die Meldung an die Datenschutzaufsichtsbehörde muss
grundsätzlich innerhalb von 72 Stunden
nach Bekanntwerden der Datenschutzverletzung erfolgen.
Merksatz für die FISI-Prüfung:
Risiko → Aufsichtsbehörde informieren
Hohes Risiko → Aufsichtsbehörde + Betroffene informieren
Frist → 72 Stunden
Typische Prüfungsfrage
Wer muss bei einer Datenschutzverletzung informiert werden?
Musterantwort:
Bei einer Datenschutzverletzung muss die zuständige
Datenschutzaufsichtsbehörde informiert werden,
wenn ein Risiko für die Rechte und Freiheiten der betroffenen
Personen besteht. Liegt ein hohes Risiko vor,
müssen zusätzlich die betroffenen Personen informiert werden.
Die Meldung an die Aufsichtsbehörde muss innerhalb von
72 Stunden erfolgen.
```
### FISI-Kurzantwort 📝
**Frage:** Wer muss bei einer Datenschutzverletzung informiert werden?
**Antwort:**
> Bei einer Datenschutzverletzung muss die Datenschutzaufsichtsbehörde informiert werden, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Bei einem hohen Risiko müssen zusätzlich die betroffenen Personen informiert werden. Die Meldung an die Aufsichtsbehörde muss innerhalb von 72 Stunden erfolgen.
### Prüfungsformel
**Risiko → Aufsichtsbehörde**
**Hohes Risiko → Aufsichtsbehörde + Betroffene**
**72 Stunden → Meldefrist** 🚀