Aufgrund von technischen Vorfällen im IT-Bereich, einem Virenbefall auf dem PC, Hackerangriffen oder einem anderen ungewollten Missgeschick kann es ungewollt zu einem Verstoß gegen die Datenschutzgrundverordnung, einer Datenschutzverletzung oder einer Datenschutzpanne kommen.

Personenbezogene Daten gehören im besonderen Maße geschützt, ansonsten können daraus schnell rechtliche Konsequenzen folgen. Schließlich unterliegen Unternehmen der Informationspflicht gegenüber den Datenschutzbehörden, die sich aus Art. 33 sowie Art. 34 DSGVO ergibt. Sehr sensible Daten wie zum Beispiel Informationen über den Gesundheitsstand oder Kontoinformationen stehen unter einem besonderen Schutz.

Ein Verstoß kann zu einem besonders hohen DSGVO Bußgeld oder weiteren DSGVO Strafen führen. Rufschädigungen oder Imageschäden sind eventuelle Folgeschäden, die nach einem Datenschutz-Vorfall in einem Unternehmen durchaus auftreten können und im besonderen Maße zu beachten sind.

Was tut man bei einem Verstoß gegen den Datenschutz?

Eine Meldepflicht bei der Aufsichtsbehörde nach Art. 33 DSGVO ergibt sich aufgrund eines Verstoßes gegen den Datenschutz und ist demnach unerlässlich und immer dann der Fall, wenn die Rechte und Freiheiten Dritter einem Risiko ausgesetzt sind. Keine Meldepflicht besteht nur dann, wenn die Datenpanne nicht zu einem Risiko von Rechten und Freiheiten Dritter führt. Ist im Unternehmen gegen den Datenschutz verstoßen worden, so ist der Verstoß unmittelbar mit dem Datenschutzbeauftragten zu melden.

Bei gravierenden Datenverstößen ohne Meldung können DSGVO Bußgelder sogar in Millionenhöhe liegen. Bei einem Auftragsverarbeiter ist dies ebenso der Fall und ein Verstoß gegen den Datenschutz muss nach der Risikoabwägung gemeldet werden. Schließlich hat ein Auftragsverarbeiter eine Mitwirkungspflicht aus Art. 33 II DSGVO.

Muss ich einen Datenschutzverstoß melden? Wenn ja, wann?

Ein Datenschutzverstoß ist unbedingt innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Im besten Fall so früh wie möglich. Idealerweise informiert das Unternehmen zudem den zuständigen Datenschutzbeauftragten und klärt die alle weiteren Schritte mit zuständigen Ansprechpartnern. Bei einem Unterlassen einer Meldung an die Aufsichtsbehörde können mehrere Millionen Euro Bußgeld (bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes) fällig sein. Fehlende datenschutzrechtliche Maßnahmen können ebenso einen bedeutenden Imageschaden hervorrufen.

Muss ich mit Strafen rechnen, wenn ich den Verstoß nicht melde?

Kommen Unternehmen beziehungsweise die Verantwortlichen der Meldung an die Aufsichtsbehörde nicht nach, kann das Unterlassen nach Art. 83 Abs. 4 lit. a DSGVO geahndet werden und hohe Geldbußen mit sich bringen. Eine fehlerhafte oder wissentlich unvollständige Meldung oder eine fehlende oder unvollständige Dokumentationen kann ebenso zu Sanktionen führen. Ferner kann ein Datenschutzverstoß auch einen immateriellen Schaden hervorrufen. Ein Vertrauensverlust vonseiten der Mitarbeiter, Kunden und weiteren Geschäftspartnern kann durchaus die Folge sein. Daher ist eine unmittelbare Meldung an die zuständige Aufsichtsbehörde ein wichtiger Schritt, um das Risiko so gering wie möglich zu halten.

Wie kann ich eine Rufschädigung nach einem offengelegten Verstoß vermeiden?

Vorsorge ist in diesem Fall der beste Schutz. Das bedeutet, dass das Unternehmen bezüglich des Datenschutzes stets auf dem aktuellen Stand sein sollte, um jegliche Datenpannen und Bußgelder zu vermeiden. Dennoch kann auch bei einem hohen datenschutzkonformen Level durchaus nicht Hackerangriffe auftreten, die zu einem unzulässigen Offenlegen der Daten oder darüber hinaus zu einem Datenverlust führen. Ein interner oder externer Datenschutzbeauftragter ist im Vorfeld stets ein wichtiger Ansprechpartner.

Liegt ein Verstoß gegen den Datenschutz vor, so muss der Informationspflicht nachgegangen werden. Ein kompetenter, professioneller und vertrauenswürdiger Umgang und die Einschaltung von Experten unterstreicht die Interessen von Mitarbeitern, Kunden und weiteren Geschäftspartnern und steht ebenso einer Rufschädigung sowie einer DSGVO Strafe und Bußgeldern entgegen. Die Achtung von persönlichen Daten und die strikte Einhaltung der Datenschutzrichtlinie steht dabei im Fokus.