Artikel 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde

§ 42a BDSG 2003 enthielt bei Datenschutzpannen eine Informationspflicht des Verantwortlichen sowohl an die Aufsichtsbehörde als auch an den Betroffenen. Nun sind sie gesondert geregelt. Nach Art. 33 muss die Aufsichtsbehörde, nach Art. 34 müssen die Betroffenen informiert, nach dem Wortlaut der Vorschriften „gemeldet“ werden. Bei dieser Meldepflicht handelt es sich um eine Prognoseentscheidung (Reif in Gola, DS-GVO, 2. Aufl., 2018, Art. 33 Rdn. 26). Gemäß ErwG 85 Abs. 2 soll der Verantwortliche nachweisen können, dass die Verletzung voraussichtlich nicht zu einem Risiko für die persönlichen Rechte eines Betroffenen führt. Kann der Verantwortliche dies nicht nachweisen, kann er gegebenenfalls den Schadenersatzansprüchen und Sanktionen nach Art. 82 und 83 ausgesetzt sein (Kasner, PinG 2019, 111 ff. (113)).