Wenn eine Verletzung des Datenschutzes erkannt wird, verlangt die DSGVO in jedem Fall, dass der Vorfall dokumentiert und in bestimmten Fällen sogar der Aufsichtsbehörde gemeldet wird. Dies erfordert eine ausführliche Risikobewertung durch den Datenschutzbeauftragten, der über die Meldepflicht entscheidet. Die Geschäftsleitung, der der Vorfall zur Prüfung vorgelegt wird, ist im Sinne der DSGVO für Verletzungen des Datenschutzes verantwortlich, und daher obliegt ihr letztendlich auch die Entscheidung, ob der Vorfall gemeldet wird.
Parallel dazu müssen stets technische und organisatorische Gegenmaßnahmen zur Schadensbegrenzung eingeleitet werden, um solche Vorfälle künftig zu verhindern. Idealerweise kommt es aufgrund bereits installierter technischer und organisatorischer Maßnahmen im Unternehmen nie zu solch einem Vorfall.
