gesetze/dsgvo/ch04/ch04-art33.md

Artikel 33 - Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
--------------------------------------------------------------------------------------------------

1.  Im Falle einer Verletzung des Schutzes personenbezogener Daten
    meldet der Verantwortliche unverzüglich und möglichst binnen 72
    Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß
    Artikel 51 zuständigen Aufsichtsbehörde, es sei denn, dass die
    Verletzung des Schutzes personenbezogener Daten voraussichtlich
    nicht zu einem Risiko für die Rechte und Freiheiten natürlicher
    Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht
    binnen 72 Stunden, so ist ihr eine Begründung für die
    Verzögerung beizufügen.

2.  Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes
    personenbezogener Daten bekannt wird, meldet er diese dem
    Verantwortlichen unverzüglich.

3.  Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen:

    a.  eine Beschreibung der Art der Verletzung des Schutzes
        personenbezogener Daten, soweit möglich mit Angabe der
        Kategorien und der ungefähren Zahl der betroffenen Personen, der
        betroffenen Kategorien und der ungefähren Zahl der betroffenen
        personenbezogenen Datensätze;

    b.  den Namen und die Kontaktdaten des Datenschutzbeauftragten oder
        einer sonstigen Anlaufstelle für weitere Informationen;

    c.  eine Beschreibung der wahrscheinlichen Folgen der Verletzung des
        Schutzes personenbezogener Daten;

    d.  eine Beschreibung der von dem Verantwortlichen ergriffenen oder
        vorgeschlagenen Maßnahmen zur Behebung der Verletzung des
        Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen
        zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

4.  Wenn und soweit die Informationen nicht zur gleichen Zeit
    bereitgestellt werden können, kann der Verantwortliche diese
    Informationen ohne unangemessene weitere Verzögerung schrittweise
    zur Verfügung stellen.

5.  Der Verantwortliche dokumentiert Verletzungen des Schutzes
    personenbezogener Daten einschließlich aller im Zusammenhang mit der
    Verletzung des Schutzes personenbezogener Daten stehenden Fakten,
    von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese
    Dokumentation muss der Aufsichtsbehörde die Überprüfung der
    Einhaltung der Bestimmungen dieses Artikels ermöglichen.