L 173/2 Amtsblatt der Europäischen Union 26.6.2013 VERORDNUNGEN VERORDNUNG (EU) Nr. 611/2013 DER KOMMISSION vom 24. Juni 2013 über die Maßnahmen für die Benachrichtigung von Verletzungen des Schutzes personenbezogener Europäischen Parlaments und des Rates (Datenschutzrichtlinie für elektronische Kommunikation) Daten gemäß der Richtlinie 2002/58/EG des DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, gestützt auf die Richtlinie 2002/58/EG des Europäischen Par- laments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (!), insbesondere auf Artikel 4 Absatz 5, nach Anhörung der Europäischen Agentur für Netz- und Infor- mationssicherheit (ENISA), nach Anhörung der Arbeitsgruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten, die gemäß Ar- tikel 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (?) eingesetzt wurde („Artikel-29-Da- tenschutzgruppe“), nach Konsultation des Europäischen Datenschutzbeauftragten, in Erwägung nachstehender Gründe: (1I) Die Richtlinie 2002/58/EG sieht die Harmonisierung der Vorschriften der Mitgliedstaaten vor, die erforderlich sind, um einen gleichwertigen Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatsphäre und Vertraulichkeit, in Bezug auf die Verarbeitung per- sonenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Union zu gewährleisten. (2) Gemäß Artikel 4 der Richtlinie 2002/58/EG sind Betrei- ber öffentlich zugänglicher elektronischer Kommunikati- onsdienste verpflichtet, unverzüglich die zuständige na- tionale Behörde und in bestimmten Fällen auch die von Verletzungen des Schutzes personenbezogener Daten be- troffenen Teilnehmer und Personen zu benachrichtigen. Verletzungen des Schutzes personenbezogener Daten werden in Artikel 2 Buchstabe i der Richtlinie 2002/58/EG definiert als Verletzung der Sicherheit, die auf unbeabsichtigte oder unrechtmäßige Weise zur Ver- nichtung, zum Verlust, zur Veränderung und zur unbe- fugten Weitergabe von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt, die übertragen, gespei- (') ABl. L 201 vom 31.7.2002, S. 37. (?) ABl. L 281 vom 23.11.1995, S. 31. chert oder auf andere Weise im Zusammenhang mit der Bereitstellung öffentlich zugänglicher elektronischer Kom- munikationsdienste in der Union verarbeitet werden. Zur Gewährleistung einer einheitlichen Anwendung der in Artikel 4 Absätze 2, 3 und 4 der Richtlinie 2002/58/EG vorgesehenen Maßnahmen wird die Kom- mission durch Artikel 4 Absatz 5 derselben Richtlinie ermächtigt, technische Durchführungsmaßnahmen in Be- zug auf die Umstände, Form und Verfahren der in dem genannten Artikel vorgeschriebenen Informationen und Benachrichtigungen zu erlassen. Unterschiedliche nationale Anforderungen in dieser Hin- sicht können zu rechtlicher Unsicherheit, komplizierteren und umständlicheren Verfahren und erheblichen Verwal- tungskosten für grenzübergreifend tätige Betreiber führen. Die Kommission hält es daher für notwendig, solche technischen Durchführungsmaßnahmen zu erlassen. Diese Verordnung betrifft nur die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten und enthält daher keine technischen Durchführungsmaßnah- men im Hinblick auf Artikel 4 Absatz 2 der Richtlinie 2002/58/EG bezüglich der Aufklärung der Teilnehmer über ein besonderes Risiko der Verletzung der Netzsi- cherheit. Wie sich aus Artikel 4 Absatz 3 erster Unterabsatz der Richtlinie 2002/58/EG ergibt, sollten die Betreiber die zuständige nationale Behörde von allen Verletzungen des Schutzes personenbezogener Daten benachrichtigen. Folglich sollte es nicht im Ermessen des Betreibers liegen, ob er die zuständige nationale Behörde benachrichtigt oder nicht. Dies sollte die betreffende zuständige natio- nale Behörde jedoch nicht daran hindern, der Unter- suchung bestimmter Verletzungen in der Weise, die sie nach geltendem Recht für geeignet hält, Vorrang ein- zuräumen und erforderliche Schritte zu unternehmen, um eine überzogene oder unzureichende Benachrichti- gung von Verletzungen des Schutzes personenbezogener Daten zu verhindern. Es ist angemessen, für die Benachrichtigung der zustän- digen nationalen Behörde ein System vorzusehen, das unter bestimmten Voraussetzungen mehrere Stufen um- fasst, für die jeweils bestimmte Fristen gelten. Dieses Sys- tem soll sicherstellen, dass die zuständige nationale Be- hörde so früh und so vollständig wie möglich informiert wird, ohne den Betreiber bei der Untersuchung der Ver- letzung und der Ergreifung der Maßnahmen zu behin- dern, die zur Eindämmung und Beseitigung der Folgen der Verletzung nötig sind.