Dsv Meldung Hmbbfdi

Meldung Art. 33 DSGVO an die HmbBfDI

Triage — kläre vor der Bearbeitung

1. Ist die HmbBfDI tatsächlich zuständig (Sitzland, Lead Authority Art. 56 DSGVO)?
2. Liegt ein nicht-öffentlicher oder öffentlicher Verantwortlicher vor?
3. Welcher Eingabeweg ist vorgegeben (Online-Formular versus Post versus E-Mail)?
4. Welche Sonderregelung aus HmbDSG Hamburgisches Datenschutzgesetz ist zu beachten?
5. Ist eine vorläufige Meldung sinnvoll und wann erfolgt die Nachmeldung?

• Was will der Mandant wirklich erreichen? (akzeptierte Erstmeldung in 72 h; keine Rückfragen)

Rechtsgrundlagen

• Art. 33 DSGVO Meldepflicht.
• Art. 55 DSGVO Zuständigkeit der Aufsichtsbehörde.
• HmbDSG Hamburgisches Datenschutzgesetz landesrechtliche Sondervorschriften für öffentliche Stellen.
• Art. 5 Abs. 2 DSGVO Rechenschaftspflicht.

Aktuelle Rechtsprechung

Nicht aus Modellwissen; aktuelle Bußgeldpraxis der HmbBfDI vor Ausgabe verifizieren.

Zentrale Normen

Art. 33; Art. 55; Art. 5 Abs. 2 DSGVO; HmbDSG Hamburgisches Datenschutzgesetz.

Quellenregel

Quellenregel: Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen. Rechtsprechung nicht aus Modellwissen zitieren; vor Ausgabe ueber offizielle oder frei zugaengliche Quelle (eur-lex.europa.eu, edpb.europa.eu, bfdi.bund.de, dejure.org, openjur.de, gesetze-im-internet.de) mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren. BeckRS-Fundstellen nur in Verbindung mit einer primaeren oder offenen Sekundaerquelle.

Behördenstammdaten HmbBfDI

• Name: Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit
• Anschrift: Ludwig-Erhard-Straße 22; 20459 Hamburg
• Kontakt: mailbox@datenschutz.hamburg.de; Telefon 040 428 54-4040
• Online-Meldeformular: datenschutz-hamburg.de — Meldeformular Datenpanne
• Sondernorm: HmbDSG Hamburgisches Datenschutzgesetz
• Bundesland: Hamburg

Hinweis: Adressen und URLs werden vor Versendung über die offizielle Behördenseite verifiziert; sie können sich ändern.

Berliner Struktur als Goldstandard

Die Meldeformular-Vorlage der Berliner Beauftragten fuer Datenschutz und Informationsfreiheit deckt strukturell alle Pflichtangaben nach Art. 33 Abs. 3 DSGVO ab und wird als inhaltliche Pruefliste verwendet. Die Meldung gliedert sich in sechs Bloecke:

I. Wo ist die Datenpanne passiert?

• Verantwortliche Stelle (Unternehmen, Verein, Praxis, Behoerde) — Name, Anschrift, Webseite, Branche.
• Angaben zur meldenden Person — Name, Funktion, dienstliche E-Mail, Telefon.

II. Was ist passiert?

• Art der Datenpanne (Vertraulichkeit, Integritaet, Verfuegbarkeit; konkrete Kategorie).
• Beschreibung — was ist passiert; welche Fehler oder Sicherheitsluecken; welche technischen Systeme und Dienste.
• Auftragsverarbeiter beteiligt — falls ja Name und Anschrift.
• Beginn und Dauer der Datenpanne; ggf. fruehestmoeglichen Zeitpunkt.
• Datum der Kenntnisnahme (loest 72-Stunden-Frist aus).
• Betroffene Datenarten — Namen; Adressen; E-Mail-Adressen; Standort; Geburtsdatum; Passwoerter; Personalausweisnummer; Pass; Steuernummer; Bankdaten; wirtschaftliche Verhaeltnisse; Straftaten; politische Meinungen; religioese Ueberzeugungen; Gewerkschaftszugehoerigkeit; Gesundheit; Sexualitaet; ethnische Herkunft; Biometrie; Identifikationsnummern; Fotos/Videos; unbekannt.
• Art. 9 DSGVO-Daten ja/nein/nicht bekannt.
• Kategorien betroffener Personen — Mitarbeitende; Nutzer; Kunden; Patienten; Politiker; Kinder/Minderjaehrige; Personen oeffentlichen Lebens; andere.
• Anzahl betroffener Personen (Obergrenze).
• Anzahl betroffener Datensaetze.
• Wahrscheinliche Folgen fuer Betroffene — Geheimnisoffenbarung; wirtschaftliche Nachteile; finanzieller Schaden; Bloss­stellung; Rufschaedigung; Verlust des Arbeitsplatzes; Existenzgefaehrdung; Lebensgefaehrdung; Diskriminierung; gesellschaftliche Nachteile; Identitaetsdiebstahl; Aufhebung Pseudonymisierung; andere.

III. Welche Gegenmassnahmen wurden ergriffen oder werden vorgeschlagen?

• Bereits eingeleitete und geplante Gegenmassnahmen zur Schadensminderung und zur kuenftigen Verhinderung.
• Vorbestehende technische und organisatorische Massnahmen sowie Begruendung, weswegen sie nicht ausgereicht haben.
• Information der Betroffenen ja/nein; wie und wann; welche Empfehlungen; bei nein Begruendung zu Art. 34 DSGVO.

IV. Sonstige Mitteilungen an die Aufsichtsbehoerde

• Andere Behoerden eingeschaltet (mit Aktenzeichen).
• Strafanzeige (Dienststelle, Aktenzeichen).
• Sonstige Hinweise.

V. Dokumente

• Forensischer Untersuchungsbericht.
• Auflistung der technischen und organisatorischen Massnahmen.
• Muster Benachrichtigungsschreiben Art. 34 DSGVO.
• Schluesselmaterial (PGP).

VI. Abschluss

• Vorlaeufige Meldung ja/nein; bei vorlaeufiger Meldung Ergaenzung binnen 14 Tagen.

Diese sechs Bloecke werden in jeder Behoerden-spezifischen Meldung adressiert; die Reihenfolge kann je nach Formular variieren.

Praxisformulierung — Einreichungsablauf

1. Erstmeldung über das Online-Formular oder per E-Mail an die unten genannte Adresse.
2. Pflichtangaben in der Reihenfolge der Berliner Goldstandard-Struktur (Block I bis VI).
3. Anlagen als PDF (forensischer Bericht; TOM-Liste; Muster Benachrichtigung).
4. Bei Bedarf vorläufige Meldung mit Hinweis auf Nachreichung binnen 14 Tagen.
5. Eingangsbestätigung archivieren; Aktenzeichen in das interne Vorfallregister übernehmen.

Abgrenzung zu anderen Skills

• dsv-aufnahme-statusinformation bildet die strukturierte Erstaufnahme; dieser Skill setzt darauf auf.

• dsv-meldung-art-33-pflichtangaben deckt die Behördenmeldung ab; bei Bedarf zusätzlich ziehen.

• dsv-benachrichtigung-art-34-betroffene deckt die Benachrichtigung Betroffener ab.

• dsv-bussgeldverteidigung-art-83 und dsv-schadensersatz-art-82 decken die anwaltliche Nachbearbeitung ab.

• dsv-meldung-art-33-pflichtangaben liefert die generische Pflichtinhalte-Vorlage.

• dsv-nachmeldung-aktualisierung-art-33-abs-4 deckt die Nachmeldung ab.