DSGVO-Problematik: Meldepflicht versus Bussgeld

Seit Inkrafttreten der DSGVO muss nahezu jede Datenschutzverletzung an die zuständige Aufsichtsbehörde gemeldet werden, und das binnen 72 Stunden. Ausnahme: wenn kein "Risiko für Rechte und Freiheiten" der Betroffenen besteht. Im Rahmen der Risikoanalyse stellen sich Unternehmen daher oft die Frage, ob überhaupt gemeldet werden soll, wobei meist die Angst vor Bussgeldern dahintersteckt. Denn in der Praxis werden häufig Bussgelder verhängt, wenn eine gemeldete Datenpanne durch die Behörde aufgeklärt wird.

Das Bayerische Landesamt für Datenschutzaufsicht (Bay­LDA) hat sich jüngst zu dieser Problematik geäussert. Ausgangspunkt ist § 43 Abs. 4 BDSG, der ausschliesst, dass eine Meldung von Datenpannen an die Aufsichtsbehörde oder an die betroffene Person nach Art. 33, 34 DSGVO zu einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen oder Benachrichtigenden führt. Die Vorschrift dient der Umsetzung des Grundrechts, wonach sich niemand selbst belasten muss, wird aber aus unterschied­lichen Gründen als europarechtswidrig angesehen.