Die Meldung einer Datenschutzverletzung ist die Pflichtmitteilung des Verantwortlichen an die zuständige Behörde und die betroffenen Personen, wenn personenbezogene Daten unrechtmäßig von Dritten erlangt werden. Artikel 12 Absatz 5 des KVKK verlangt die Meldung 'so schnell wie möglich'; die türkische Datenschutzbehörde hat diese Frist auf 72 Stunden festgelegt. Artikel 33 DSGVO sieht ebenfalls eine Meldung an die Aufsichtsbehörde binnen 72 Stunden vor.
Artikel 12 Absatz 5 des KVKK begründet eine doppelte Pflicht des Verantwortlichen, wenn verarbeitete personenbezogene Daten auf unrechtmäßigem Weg von Dritten erlangt werden: Der Vorfall ist so schnell wie möglich sowohl den Betroffenen als auch der türkischen Datenschutzbehörde zu melden. Die Behörde hat die Formel 'so schnell wie möglich' in ihrer Entscheidungspraxis konkretisiert und für die Meldung an die Behörde eine Frist von 72 Stunden ab Kenntnis angenommen; die Meldung läuft über das Online-Meldeverfahren der Behörde. Artikel 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden nach Kenntnis; sie entfällt, wenn die Datenschutzverletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der Personen mit sich bringt, und Verzögerungen sind zu begründen. Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen.
Das 72-Stunden-Fenster ist für ein unvorbereitetes Team sehr kurz; die eigentliche Arbeit passiert daher vor dem Vorfall. Erstellen Sie einen schriftlichen Notfallplan: Wer erkennt, wer bewertet, wer entscheidet über die Meldung, wer formuliert den Text. Eine gute Meldung beschreibt die Art der Verletzung, die betroffenen Personen- und Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen. Verpflichten Sie Auftragsverarbeiter vertraglich, entdeckte Verletzungen unverzüglich zu melden, und dokumentieren Sie Bewertung und Begründung auch dann, wenn keine Meldung erforderlich ist.
Häufig gestellte Fragen
Innerhalb wie vieler Stunden muss eine Datenschutzverletzung gemeldet werden?
Der Gesetzestext des KVKK sagt 'so schnell wie möglich'; die türkische Datenschutzbehörde hat dies für die Meldung an die Behörde auf 72 Stunden ab Kenntnis konkretisiert. Auch Artikel 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden und erwartet eine Begründung bei Verzögerung. Die Benachrichtigung der Betroffenen kommt in beiden Regimen gesondert hinzu; die Frist hält nur ein, wer einen vorbereiteten Notfallplan hat.
Muss jede Datenschutzverletzung gemeldet werden?
Die beiden Regime funktionieren unterschiedlich. Auslöser nach dem KVKK ist, dass Daten auf unrechtmäßigem Weg von Dritten erlangt werden; tritt dies ein, entsteht die Meldepflicht. Die DSGVO arbeitet mit einer Risikoschwelle: Bringt die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der Personen mit sich, entfällt die Meldung an die Behörde. In beiden Fällen sind Bewertung und Ergebnis mit Begründung zu dokumentieren.
Dieser Inhalt dient nur zur Information und stellt keine Rechtsberatung dar.