Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Vorschrift der DSGVO, die den Verantwortlichen verpflichtet, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden. Ausnahme: die Verletzung führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen.
Art. 4 Nr. 12 definiert sie als Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt. Betroffen sein können also Vertraulichkeit, Integrität und Verfügbarkeit. Auch ein verschlüsselungstrojanerbedingter Ausfall ohne Datenabfluss ist eine Verletzung.
Die 72 Stunden laufen ab Kenntnis, nicht ab Eintritt. Ist die Meldung später, ist die Verzögerung zu begründen. Eine unvollständige Erstmeldung ist zulässig, fehlende Angaben werden nachgereicht.
Art. 33 regelt die Meldung an die Aufsichtsbehörde. Besteht ein hohes Risiko für die betroffenen Personen, kommt nach Art. 34 zusätzlich deren Benachrichtigung hinzu. Auftragsverarbeiter melden nicht selbst an die Behörde, sondern unverzüglich an den Verantwortlichen.
Ab Kenntnis der Verletzung, nicht ab ihrem Eintritt. Eine spätere Meldung ist zu begründen.
Nein. Er meldet unverzüglich an den Verantwortlichen, dieser meldet an die Aufsichtsbehörde.
Er kann es sein. Auch der Verlust der Verfügbarkeit ist eine Verletzung im Sinne von Art. 4 Nr. 12.
.svg){kind=icon}