Ein Ransomware-Angriff trifft das Unternehmen am Freitagabend. Am Montagmorgen stellt die IT-Abteilung fest, dass Kundendaten abgeflossen sind. Welche Frist läuft? Wen müssen Sie informieren? Und was kostet ein Versäumnis? Diese Fragen stellen sich Geschäftsführer mittelständischer Unternehmen regelmäßig im schlechtesten Moment – unter Druck, mit unvollständiger Information und ohne fertig etabliertes Krisenprotokoll.
Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche nach Art. 33 DSGVO dazu, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden – sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Die europäischen und deutschen Aufsichtsbehörden sowie die höchstrichterliche Rechtsprechung haben in jüngster Zeit den Tatbestand des „Bekanntwerdens" präzisiert, die Anforderungen an den Meldeinhalt konkretisiert und die Konsequenzen von Meldepflichtverletzungen in Bußgeldentscheidungen festgeschrieben. Dieser Beitrag ordnet den aktuellen Erkenntnisstand ein und leitet daraus Handlungsempfehlungen für Geschäftsführer und Justiziare ab.
Der Beitrag behandelt zunächst den normativen Rahmen von Art. 33 DSGVO, wendet sich dann der gefestigten Behörden- und Rechtsprechungspraxis zum Fristbeginn und zum Meldeinhalt zu, beleuchtet die Bußgeldpraxis bei Meldepflichtverletzungen, zeigt die häufigsten Fehler in der Praxis des Mittelstands auf und schließt mit einem strukturierten Handlungsfahrplan für den Ernstfall.
Was schreibt Art. 33 DSGVO vor – und was bedeutet das konkret?
Art. 33 DSGVO bildet die zentrale Normbasis der datenschutzrechtlichen Meldepflicht. Die Vorschrift verpflichtet jeden Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO, eine Datenschutzverletzung der zuständigen Aufsichtsbehörde zu melden, sobald er von ihr Kenntnis erlangt – und dies innerhalb von 72 Stunden. Die Frist ist keine Richtwertgröße, sondern eine harte Vorgabe des unmittelbar anwendbaren Unionsrechts.
Entscheidend für das Verständnis der Norm ist der Begriff der „Verletzung des Schutzes personenbezogener Daten" in Art. 4 Nr. 12 DSGVO. Er umfasst jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten führt. Das Spektrum reicht damit von der versehentlich an den falschen Empfänger gesendeten E-Mail bis zum vollständigen Ransomware-Angriff.
Die Meldepflicht steht unter einem Risikovorbehalt: Ist es unwahrscheinlich, dass die Verletzung ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, entfällt die Meldepflicht. In der Behördenpraxis wird dieser Ausnahmetatbestand jedoch eng ausgelegt. Nach unserer Erfahrung aus der Mandatspraxis neigen Geschäftsführer dazu, das Risiko zu unterschätzen und auf die Ausnahme zu vertrauen – ein Vorgehen, das Aufsichtsbehörden regelmäßig nicht teilen.
Meldepflichtig ist der Verantwortliche. Soweit ein Auftragsverarbeiter im Sinne des Art. 28 DSGVO betroffen ist, muss dieser die Verletzung dem Verantwortlichen unverzüglich melden, damit dieser seinerseits die 72-Stunden-Frist einhalten kann. Die Weiterleitung durch den Dienstleister ersetzt nicht die eigene Meldepflicht des Verantwortlichen – ein Punkt, der bei Cloud-Dienstleistern und IT-Outsourcing-Strukturen im Mittelstand häufig zu Missverständnissen führt.
Wann beginnt die 72-Stunden-Frist – und was gilt als „Bekanntwerden"?
Der Fristbeginn ist in der Praxis der neuralgische Punkt. Art. 33 Abs. 1 DSGVO knüpft den Fristbeginn an den Zeitpunkt, zu dem der Verantwortliche von der Verletzung „Kenntnis" erlangt. Die Formulierung klingt eindeutig, ist es aber nicht: Wann gilt ein Unternehmen als informiert?
Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien klargestellt, dass Kenntnis dann als erlangt gilt, wenn der Verantwortliche hinreichende Gewissheit darüber hat, dass ein Sicherheitsvorfall eingetreten ist, der möglicherweise personenbezogene Daten berührt. Es ist ausdrücklich nicht erforderlich, dass zum Zeitpunkt der Kenntniserlangung bereits alle Details bekannt sind. Die Behördenpraxis in Deutschland – von den Landesdatenschutzbehörden bis zur Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) – folgt dieser Auslegung.
Für den Mittelstand bedeutet das: Wenn ein Systemadministrator am Freitagabend feststellt, dass Server unberechtigt zugegriffen wurden, beginnt die 72-Stunden-Frist in diesem Moment zu laufen – nicht erst dann, wenn der vollständige forensische Bericht vorliegt. Wer die interne Untersuchung abschließt, bevor er meldet, und dabei die Frist überschreitet, verstößt gegen Art. 33 DSGVO.
Besondere Brisanz entsteht bei mehrstufigen Angriffsketten. In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Produktionsunternehmen aus der Zuliefererindustrie. Ausgangslage: Ein IT-Dienstleister hatte einen Sicherheitsvorfall zunächst intern verarbeitet und erst nach internen Abstimmungsrunden – 96 Stunden nach Erstkenntnisnahme – an das betroffene Unternehmen gemeldet. Das Unternehmen selbst hatte zu diesem Zeitpunkt bereits 24 Stunden verloren, bis es Kenntnis erlangte. Vorgehen: Die Kanzlei erarbeitete mit dem Unternehmen eine strukturierte Nachmeldung mit vollständiger Darlegung des Kommunikationsweges und der internen Erkenntniskette. Ergebnis: Die Aufsichtsbehörde würdigte die Kooperationsbereitschaft und die Qualität der Nachmeldung, ohne ein Bußgeld festzusetzen; eine Verwarnung erging gleichwohl. Dieser Fall illustriert: Transparenz gegenüber der Behörde kann im Einzelfall bußgeldmindernd wirken – ohne dass dies eine Garantie für ein bestimmtes Ergebnis ist.
Praxisfall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Handelsunternehmen mit rund 80 Mitarbeitenden. Ausgangslage: Der Steuerberater des Unternehmens hatte versehentlich eine Excel-Datei mit vollständigen Lohn- und Kontodaten aller Beschäftigten per unverschlüsselter E-Mail an eine falsche Adresse versandt. Der Fehler wurde am nächsten Werktag entdeckt. Vorgehen: Die Kanzlei analysierte die Risikobewertung nach Art. 33 Abs. 1 DSGVO, erstellte innerhalb von 24 Stunden die Meldung an die zuständige Landesdatenschutzbehörde und begleitete die anschließende Betroffenenbenachrichtigung nach Art. 34 DSGVO. Ergebnis: Das Verfahren wurde ohne förmliches Bußgeld abgeschlossen; die Behörde wies auf Optimierungsbedarf beim E-Mail-Prozess hin und erteilte Hinweise zur Verschlüsselung. Qualitativ lässt sich festhalten: Schnelles, strukturiertes Handeln mit anwaltlicher Begleitung wirkte sich auf den Verfahrensausgang aus.
Welchen Inhalt muss die Meldung haben – und was sind häufige Fehler?
Art. 33 Abs. 3 DSGVO legt den Mindestinhalt der Meldung fest. Unvollständige Meldungen begründen eigenständige Pflichtverletzungen – ein Aspekt, der in der Bußgeldpraxis der Behörden zunehmend Bedeutung gewinnt. Die Anforderungen sind:
- Beschreibung der Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen personenbezogenen Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
- Beschreibung der wahrscheinlichen Folgen der Verletzung
- Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Minderung ihrer nachteiligen Auswirkungen
Art. 33 Abs. 4 DSGVO erlaubt die stufenweise Meldung: Soweit nicht alle Informationen gleichzeitig vorgelegt werden können, dürfen sie schrittweise übermittelt werden, ohne unnötige Verzögerung. Die Erstmeldung sollte daher alle bereits bekannten Angaben enthalten und eine klare Aussage dazu machen, welche Informationen noch ermittelt werden und bis wann mit einer Nachlieferung zu rechnen ist.
In der Mandatspraxis sehen wir wiederkehrende Fehler: Erstens die inhaltlich leere Erstmeldung, die lediglich bestätigt, dass ein Vorfall eingetreten ist, ohne eine Risikobewertung vorzunehmen. Zweitens die Meldung, die zwar formal fristgerecht eingeht, aber den nach Art. 33 Abs. 3 lit. d DSGVO geforderten Maßnahmenkatalog vollständig auslässt. Drittens die Verwechslung von Meldepflicht (gegenüber der Behörde) und Benachrichtigungspflicht (gegenüber den Betroffenen nach Art. 34 DSGVO): Beides sind eigenständige Pflichten mit unterschiedlichen Voraussetzungen.
Welche Aufsichtsbehörde ist zuständig? Für in Deutschland ansässige Verantwortliche richtet sich die Zuständigkeit nach dem Sitzprinzip: Unternehmen melden an die Datenschutzbehörde des Bundeslandes, in dem sie ihren Sitz haben. Bei grenzüberschreitenden Verarbeitungen gilt der One-Stop-Shop-Mechanismus nach Art. 56 DSGVO. Die Behörden halten zumeist Online-Meldeformulare bereit, die Pflichtangaben nach Art. 33 Abs. 3 DSGVO strukturiert abfragen.
Wie gehen Aufsichtsbehörden und Gerichte mit Meldepflichtverstößen um?
Die gefestigte Behördenpraxis zeigt: Meldepflichtverstöße werden nicht als formale Ordnungswidrigkeiten behandelt, sondern als materieller Datenschutzverstoß mit eigenem Unrechtsgehalt. Art. 83 Abs. 4 DSGVO ordnet für Verstöße gegen Art. 33 DSGVO Bußgelder von bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens an – je nachdem, welcher Betrag höher ist. Art. 83 Abs. 5 DSGVO sieht für schwerwiegendere Verstöße, etwa gegen die Grundsätze der Verarbeitung, bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor.
Für den Mittelstand relevant ist dabei, dass die Bußgeldbemessung nach Erwägungsgrund 148 DSGVO und den Leitlinien des EDSA zur Bußgeldbemessung den Umsatz des betroffenen Unternehmens berücksichtigt. Kleine und mittlere Unternehmen sind damit nicht von Bußgeldern ausgenommen – die Beträge skalieren jedoch proportional.
Die europäische Rechtsprechung hat in jüngster Zeit mehrere Grundsätze festgeschrieben. Der Europäische Gerichtshof (EuGH) hat in seiner Rechtsprechung zu Art. 82 DSGVO klargestellt, dass der bloße Verstoß gegen Datenschutzvorschriften nicht automatisch einen Schadensersatzanspruch begründet; es bedarf eines tatsächlichen Schadens. Für die behördliche Bußgeldpraxis im Kontext des Art. 33 DSGVO gilt jedoch ein anderer Maßstab: Hier reicht die objektive Pflichtverletzung. Die höchstrichterliche Rechtsprechung der deutschen Verwaltungsgerichte hat die Verhältnismäßigkeitsgrundsätze bei der Bußgeldbemessung gestärkt und betont, dass die Kooperationsbereitschaft des Verantwortlichen nach Art. 83 Abs. 2 lit. f DSGVO ausdrücklich mildernd zu berücksichtigen ist.
Interessant für die Praxis: Die Aufsichtsbehörden unterscheiden zwischen Unternehmen, die einen Vorfall unverzüglich melden und transparent mit der Behörde kommunizieren, und solchen, bei denen die Meldung erst nach behördlicher Anfrage oder Beschwerdeeingang erfolgt. Letztere Konstellation führt in der Regel zu deutlich schärferen Reaktionen. Konkrete Aktenzeichen dieser Verfahren benennen wir nicht, da die veröffentlichten Entscheidungen einer fallbezogenen anwaltlichen Würdigung bedürfen. Die Senatsrechtsprechung der Oberverwaltungsgerichte ist insoweit noch im Entwicklungsstadium.
Wann muss auch die betroffene Person informiert werden?
Neben der Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO sieht Art. 34 DSGVO die Pflicht zur direkten Benachrichtigung der betroffenen Personen vor – allerdings unter strengeren Voraussetzungen. Die Benachrichtigungspflicht greift nur, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der betroffenen Person zur Folge hat.
Das bedeutet: Die Schwelle für die Betroffenenbenachrichtigung liegt höher als für die Behördenmeldung. Eine Meldung nach Art. 33 DSGVO kann geboten sein, ohne dass gleichzeitig Art. 34 DSGVO greift. Umgekehrt schließt eine unterbliebene Behördenmeldung (etwa weil ein geringes Risiko bejaht wurde) nicht aus, dass trotzdem eine Benachrichtigungspflicht gegenüber Betroffenen besteht, wenn das Risiko für diese hoch ist.
Art. 34 Abs. 3 DSGVO kennt drei Ausnahmen von der Betroffenenbenachrichtigung: Der Verantwortliche hat geeignete technische und organisatorische Schutzmaßnahmen getroffen (insbesondere Verschlüsselung); er hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko nicht mehr besteht; oder die Benachrichtigung wäre nur mit unverhältnismäßigem Aufwand möglich (dann öffentliche Bekanntmachung). Nach unserer Erfahrung wird die Verschlüsselungsausnahme in der Praxis häufig zu vorschnell als Ausweg genutzt – eine vollständige Entschlüsselung durch den Angreifer ist nur dann wirklich auszuschließen, wenn nachweislich nur verschlüsselte Daten betroffen waren und der Schlüssel nicht kompromittiert wurde.
Welche Pflichten treffen Auftragsverarbeiter – und warum reicht der AVV allein nicht?
Wer personenbezogene Daten nicht als Verantwortlicher, sondern als Auftragsverarbeiter im Sinne des Art. 28 DSGVO verarbeitet, unterliegt einer abgeleiteten, aber eigenständigen Meldepflicht. Art. 33 Abs. 2 DSGVO bestimmt: Der Auftragsverarbeiter meldet eine Verletzung nach Bekanntwerden unverzüglich an den Verantwortlichen – ohne eine gesonderte 72-Stunden-Frist, aber mit dem ausdrücklichen Ziel, diesem die Einhaltung seiner Meldepflicht zu ermöglichen.
Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 lit. f DSGVO muss diese Meldepflicht des Dienstleisters ausdrücklich regeln. Eine bloße Verweisung auf Art. 33 DSGVO genügt in der Behördenpraxis nicht; der AVV sollte konkrete Eskalationswege, Ansprechpartner und Reaktionszeiten festlegen. In der Mandatspraxis sehen wir regelmäßig AVV-Klauseln, die zwar die Meldepflicht nennen, aber keine operativen Fristen und keine Informationspflichten des Dienstleisters gegenüber dem Verantwortlichen bei Vorfällen untergeordneter Subunternehmer festlegen.
Was viele Geschäftsführer übersehen: Der Verantwortliche bleibt gegenüber der Aufsichtsbehörde verpflichtet, auch wenn die Datenpanne beim Auftragsverarbeiter eingetreten ist. Die 72-Stunden-Frist beginnt für den Verantwortlichen mit dem Zeitpunkt, zu dem er durch den Auftragsverarbeiter oder auf anderem Wege Kenntnis erlangt. Eine Verzögerung in der Kommunikationskette zwischen Dienstleister und Auftraggeber kann damit zu einem behördlich sanktionierten Meldepflichtverstoß des Verantwortlichen führen – obwohl dieser selbst nichts von dem Vorfall wusste.
Welche Organisationsmaßnahmen reduzieren das Meldepflicht-Risiko im Mittelstand?
Rechtliche Pflicht und operative Realität klaffen im Mittelstand häufig auseinander. Während Großkonzerne über spezialisierte Incident-Response-Teams und automatisierte SIEM-Systeme (Security Information and Event Management) verfügen, sind Datenschutzverletzungen in inhabergeführten Unternehmen oft auf das Zusammenspiel unstrukturierter Meldewege, fehlender interner Eskalationsprozesse und mangelnder Schulung zurückzuführen.
Aus der Beratungspraxis empfehlen wir folgende Organisationsstruktur als Mindeststandard:
- Interner Meldepfad: Jeder Mitarbeitende, der einen möglichen Vorfall bemerkt, muss wissen, wen er sofort zu informieren hat – nicht erst nach interner Rücksprache, sondern unmittelbar. Der Datenschutzbeauftragte (DSB) und die Geschäftsführung sind parallel zu informieren.
- Vorläufige Risikobewertung binnen 24 Stunden: Innerhalb von 24 Stunden nach Erstkenntnis sollte eine erste Einschätzung vorliegen, ob ein meldepflichtiges Risiko besteht. Diese Einschätzung dokumentiert die Entscheidungsgrundlage, auch wenn die Meldung anschließend unterbleibt.
- Meldetemplate vorhalten: Ein vorbereitetes Meldeformular (angelehnt an das Onlineformular der zuständigen Behörde) reduziert die Zeit für die Erstellung der Erstmeldung erheblich und verhindert, dass Pflichtangaben nach Art. 33 Abs. 3 DSGVO vergessen werden.
- AVV-Audit: Sämtliche Auftragsverarbeitungsverträge sollten auf operative Meldepflichten der Dienstleister geprüft werden. Fehlen konkrete Eskalationsfristen und Ansprechpartner, ist der Vertrag nachzuverhandeln.
- Schulung und Tabletop-Übung: Einmal jährlich sollte die Geschäftsführung gemeinsam mit dem DSB und der IT-Leitung ein simuliertes Incident-Response-Szenario durchspielen. Was klingt nach großer IT-Sicherheitsabteilung, lässt sich in anderthalb Stunden realisieren.
Wir beraten regelmäßig Unternehmen, die erst nach einem ersten Bußgeldbescheid einer Aufsichtsbehörde beginnen, diese Strukturen aufzubauen. Der Unterschied zu Unternehmen, die vorsorglich handeln: erstere zahlen für dasselbe System doppelt – einmal als Bußgeld, einmal als Beratungshonorar.
Die vorstehende Darstellung betrifft die Regelfälle nach Art. 33 und 34 DSGVO. Ihr konkreter Vorfall erfordert die Prüfung des Zeitpunkts der Kenntniserlangung, der betroffenen Datenkategorien, der einschlägigen Risikoeinstufung und der jeweils zuständigen Aufsichtsbehörde. Für eine erste fachliche Einschätzung Ihrer Situation wenden Sie sich an info@brandtfalk.com.
Entscheidungsrahmen: Meldepflicht – ja oder nein?
Die Entscheidung über die Meldepflicht lässt sich entlang von drei Konstellationen strukturieren, die in der Praxis wiederkehrend auftreten:
Konstellation A – Geringes Risiko (Meldung entbehrlich): Verlorenes verschlüsseltes USB-Laufwerk, kein Schlüsselkompromiss nachweisbar, keine besonderen Kategorien nach Art. 9 DSGVO betroffen → kein wahrscheinliches Risiko für Betroffene → keine Meldepflicht nach Art. 33 DSGVO, aber dokumentationspflichtig nach Art. 33 Abs. 5 DSGVO. Frist für Dokumentation: unverzüglich und fortlaufend.
Konstellation B – Mittleres Risiko (Behördenmeldung geboten): Phishing-Angriff, Zugriff auf Kundenstammdaten (Name, E-Mail, Adresse), keine Finanzdaten, keine besonderen Kategorien → wahrscheinliches Risiko, hohes Risiko nicht feststellbar → Meldung an Aufsichtsbehörde binnen 72 Stunden, keine Betroffenenbenachrichtigung nach Art. 34 DSGVO (sofern hohes Risiko verneint werden kann).
Konstellation C – Hohes Risiko (Behördenmeldung und Betroffenenbenachrichtigung): Ransomware-Angriff mit Datenabfluss von Gesundheitsdaten, Kontodaten oder Ausweiskopien → hohes Risiko für Betroffene → Meldung an Aufsichtsbehörde binnen 72 Stunden nach Art. 33 DSGVO und unverzügliche Benachrichtigung der Betroffenen nach Art. 34 DSGVO, ggf. koordiniert mit der Aufsichtsbehörde.
Diese Dreigliederung ersetzt keine anwaltliche Einzelfallprüfung. Sie dient der ersten Orientierung in den ersten Stunden nach Bekanntwerden eines Vorfalls, wenn Entscheidungen unter Zeitdruck getroffen werden müssen.
Verwandte Leistungen
Häufige Fragen zur Datenpanne und Meldepflicht binnen 72 Stunden
Ab wann beginnt die 72-Stunden-Frist nach Art. 33 DSGVO zu laufen?
Die Frist beginnt in dem Moment, in dem der Verantwortliche hinreichende Kenntnis davon erlangt, dass ein Sicherheitsvorfall eingetreten ist, der möglicherweise personenbezogene Daten berührt. Es ist nicht erforderlich, dass alle Details bereits bekannt sind. Erlangt ein Mitarbeitender der IT-Abteilung oder der Datenschutzbeauftragte Kenntnis von dem Vorfall, gilt dies als Kenntnis des Unternehmens. Im Zweifel ist unverzüglich zu handeln und die Erstmeldung mit den vorhandenen Informationen zu erstatten; fehlende Details können nachgereicht werden.
Was passiert, wenn die 72-Stunden-Frist versäumt wird?
Ein Verstoß gegen die Meldepflicht nach Art. 33 DSGVO kann nach Art. 83 Abs. 4 DSGVO mit einem Bußgeld von bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes geahndet werden. In der Behördenpraxis wirken Kooperationsbereitschaft, eigeninitiative Meldung – auch wenn verspätet – und ergriffene Abhilfemaßnahmen mildernd. Die genaue Höhe des Bußgeldes ist im Einzelfall anwaltlich zu prüfen.
Muss ich auch die betroffenen Personen informieren?
Die direkte Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO ist nur erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko für deren persönliche Rechte und Freiheiten zur Folge hat. Die Schwelle liegt damit höher als bei der Behördenmeldung. Ob ein hohes Risiko vorliegt, ist anhand der Art der Daten, des Ausmaßes des Vorfalls und der Wahrscheinlichkeit einer missbräuchlichen Verwendung zu bewerten.
Was muss die Meldung an die Aufsichtsbehörde mindestens enthalten?
Art. 33 Abs. 3 DSGVO schreibt vor: Beschreibung der Art der Verletzung (einschließlich Kategorien und ungefähre Zahl betroffener Personen und Datensätze), Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle, Beschreibung der wahrscheinlichen Folgen sowie eine Darstellung der ergriffenen oder geplanten Abhilfemaßnahmen. Sind nicht alle Informationen sofort verfügbar, erlaubt Art. 33 Abs. 4 DSGVO eine stufenweise Meldung.
Haftet der Geschäftsführer persönlich bei einer Meldepflichtverletzung?
Die DSGVO richtet sich primär an das Unternehmen als Verantwortlichen. Eine persönliche Haftung des Geschäftsführers kann sich jedoch aus allgemeinem Deliktsrecht, gesellschaftsrechtlicher Innenhaftung oder spezifischen nationalen Regelungen ergeben, wenn die Meldepflichtverletzung auf eine Organisationspflichtverletzung der Geschäftsführungsebene zurückzuführen ist. Gerade im inhabergeführten Mittelstand sollte dieser Aspekt nicht unterschätzt werden; eine anwaltliche Einschätzung im Einzelfall ist zu empfehlen.
Welche Aufsichtsbehörde ist für mein Unternehmen zuständig?
In Deutschland richtet sich die Zuständigkeit nach dem Sitz des Unternehmens. Für jedes Bundesland gibt es eine Landesdatenschutzbehörde (z. B. das Bayerische Landesamt für Datenschutzaufsicht oder der Berliner Beauftragte für Datenschutz und Informationsfreiheit). Bei grenzüberschreitenden Verarbeitungen gilt der One-Stop-Shop-Mechanismus nach Art. 56 DSGVO, nach dem die Behörde am Ort der Hauptniederlassung des Verantwortlichen federführend ist.
Die vorstehende Darstellung betrifft die Regelfälle und gibt den allgemeinen Erkenntnisstand der Rechtsprechung und Behördenpraxis wieder. Ihr konkreter Fall erfordert die Prüfung aller Unterlagen, die genaue Einordnung des Vorfalls und die Bewertung der einschlägigen Risikoschwelle. Zur Klärung, wie Art. 33 DSGVO auf Ihren Vorfall wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.