In den Artikel 33 und 34 DS-GVO sind die Verpflichtungen der Verantwortlichen zur Meldung von Datenschutzverstößen an die Aufsichtsbehörde (Art. 33 DS-GVO) oder die betroffenen Personen (Art. 34 DS-GVO) geregelt. Bei einer Verletzung des Schutzes personenbezogener Daten muss der Verantwortliche in der Regel unverzüglich, aber zumindest binnen 72 Stunden die Aufsichtsbehörde hiervon informieren. Ist die Verletzung des Schutzes personenbezogener Daten voraussichtlich mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen verbunden, so müssen die betroffenen Personen nach § 34 Abs. 1 DSGVO ebenfalls benachrichtigt werden.
Diese Woche hat die Artikel-29-Datenschutzgruppe ihre vorgeschlagenen Leitlinien für zu diesem Thema veröffentlicht. Interessierte können bis zum 28. November 2017 inhaltliches Feedback zu dem Working Paper 250 geben (über JUST-ARTICLE29WP-SEC@ec.europa.eu und presidenceg29@cnil.fr). Die Leitlinien enthalten detaillierte Erläuterungen zum Mechanismus der Meldung von Verstößen gegen die Datenschutzbestimmungen und einige Erläuterungen zu bestimmten Schlüsselbegriffen, einschließlich der Meldepflichten (sowohl gegenüber den Aufsichtsbehörden als auch gegenüber den betroffenen Personen) und der Risikobewertung.