Melden muss der Verantwortliche, also das Unternehmen, und das heißt: die Geschäftsführung. Der Datenschutzbeauftragte berät, bewertet und formuliert in der Regel die Meldung, aber er ist nicht der Meldepflichtige. Das ist mehr als eine Formalie: Er kann Ihnen die Entscheidung nicht abnehmen, und er haftet nicht dafür.
Anders liegt es bei Dienstleistern. Stellt ein Auftragsverarbeiter — Ihr IT-Dienstleister, das Lohnbüro, der Hostinganbieter — eine Verletzung fest, meldet er nicht an die Behörde, sondern unverzüglich an Sie (Art. 33 Abs. 2 DSGVO). Erst Sie entscheiden und melden. Prüfen Sie deshalb in Ihren Auftragsverarbeitungsverträgen, ob dort eine konkrete Reaktionszeit steht. „Unverzüglich“ ohne Stundenangabe ist in einer 72-Stunden-Welt zu wenig.
Praktisch brauchen Sie drei Festlegungen, bevor der erste Vorfall kommt: Wer im Haus ist die Meldestelle, auch im Urlaub und am Wochenende. Wer entscheidet über die Meldung — benannt mit Namen, nicht mit Funktion. Und wer darf die Meldung absenden. Ohne diese drei Namen verliert man im Ernstfall einen halben Tag mit der Frage, wer zuständig ist.
Für die Belegschaft ist die Botschaft einfach und sollte genau so in der Unterweisung stehen: Jeder Verdacht geht sofort an die benannte Stelle im Haus. Niemand meldet selbst an eine Behörde, niemand informiert selbst betroffene Kunden, und niemand entscheidet allein, dass es nicht schlimm war.
Fundstelle: Art. 33 Abs. 1, Art. 33 Abs. 2, Art. 39 Abs. 1 DSGVO