Geplante Gesetzesänderung zur Fristberechnung nach der Verfahrens-VO zur DSGVO

Jeder Datenschutzvorfall, insbesondere wenn dieser meldepflichtig ist, stellt alle Beteiligten vor eine nicht unerhebliche organisatorische Herausforderung. Die Meldung einer Datenschutzverletzung gem. Art. 33 DSGVO muss innerhalb einer 72-Stunden-Frist an die Datenschutzaufsichtsbehörde erfolgen.

Bisher wurde das Wochenende von der Fristberechnung nicht ausgenommen. Sofern es z.B. an einem Donnerstag zu einer Datenschutzverletzung kommt, dann läuft unumstößlich die Meldefrist am Sonntag ab und muss auch an diesem Tag bei der Aufsichtsbehörde eingehen. Es ist dabei unerheblich, dass den Beteiligten nur ein Arbeitstag zur Verfügung steht um, den Sachverhalt aufzuarbeiten und die Meldung vorzunehmen. Dies ergibt sich aus der EU-Verordnung zur Berechnung von Fristen bei EU-Rechtsakten (VO (EWG, EURATOM) Nr. 1182/71 vom 3. Juni 1971) „zur Festlegung der Regeln für die Fristen, Daten und Termine.

Laut einem neuen Verordnungsvorschlag der EU-Kommission COM (2023) 348 „zur Festlegung von zusätzlichen Verfahrensregeln für die Durchsetzung der Verordnung (EU) 2016/679“ (nachfolgend DSGVO Verfahrens-VO), soll das Wochenende zukünftig bei der Fristberechnung ausgenommen werden. Im Ergebnis stünden den Beteiligten mehr Arbeitstage zur Verfügung, um eine fristgerechte Meldung vorzunehmen, sofern sich der Datenschutzvorfall zum Beispiel an einem Donnerstag oder Freitag ereignet.

In Art. 33 Abs. 1 S. 1 DSGVO steht, dass im Falle einer Verletzung des Schutzes personenbezogener Daten der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde meldet. Nach Art. 29 Abs. 2 DSGVO Verfahrens-VO soll die 72-Stunden-Frist zukünftig erst am nächsten Arbeitstag beginnen. Hervorzuheben ist, dass der Wortlaut vom „Arbeitstag“ (d.h. Montag bis Freitag) spricht und nicht vom nächsten Tag. Nach Art. 3 Abs. 2 lit. a Fristen-VO werden die Wochenenden und Feiertage bei der Fristberechnung nicht ausgenommen. Art. 3 Abs. 3 Fristen-VO benennt jedoch eine Ausnahme für den Fall, das ein Gesetzesakt von dieser Regelfristberechnung abweicht und explizit auf die Berechnung nach „Arbeitstagen“ abstellt. Diese eine Ausnahme ergibt sich aus Art. 29 Abs. 2 DSGVO Verfahrens-VO. Aufgrund dieses Wortlauts werden die Wochenenden und gesetzlichen Feiertage vom Fristablauf ausgenommen. Dabei werden nach Art. 2 Abs. 2 Fristen-VO nicht nur die Sonn- und Feiertage, sondern auch Samstage von den Arbeitstagen ausgenommen. Dies stellt eine Besonderheit dar, da der Samstag im Rahmen des § 573c Abs. 1 S. 1 BGB als Werktag gilt.

Man mag sich fragen, ob diese Ausnahmeregelung, das Erfordernis der „unverzüglichen Meldung“ aushebelt. Dies ist jedoch nicht der Fall.

Der LIBE-Ausschuss des EU-Parlaments hat in seiner Stellungnahme vom 09.11.2023 die Streichung von Art. 29 DSGVO Verfahrens-VO gefordert und es stehen noch Lesungen des EU-Parlaments aus. Ob es zur erhofften Regelung kommt, bleibt daher abzuwarten. Für die Praxis würde die neue Fristenregelung zur Entlastung der Beteiligten führen. Zudem wäre eine solche Anpassung zugunsten der verantwortlichen Unternehmen ein positives Signal im Hinblick auf die Umsetzung der DSGVO.