Ein Mitarbeiter meldet, dass sein Notebook im Zug liegen geblieben ist. Oder Sie stellen fest, dass jemand auf eine täuschend echte Rechnungsmail geklickt hat und nun Fremde im Postfach mitlesen. Vielleicht ist auch nur eine E-Mail mit einem Adressverteiler an den falschen Kreis gegangen. In all diesen Fällen kann eine Verletzung des Schutzes personenbezogener Daten vorliegen — und ab dem Moment, in dem Ihnen das bekannt wird, läuft eine kurze, harte Frist: Sie müssen die Panne der Aufsichtsbehörde möglichst binnen 72 Stunden melden. Hier lesen Sie, wann Sie melden müssen, wann Sie zusätzlich die Betroffenen informieren müssen — und wie Sie die ersten Stunden richtig steuern, statt die Frist unbemerkt verstreichen zu lassen.
Ein Gerät mit Kundendaten, Personalunterlagen oder Zugängen ist weg — verloren, liegen geblieben, gestohlen. Ob daraus eine meldepflichtige Panne wird, hängt entscheidend davon ab, ob die Daten geschützt waren: Ein verschlüsseltes, sauber gesperrtes Gerät ist etwas völlig anderes als eine offene Festplatte mit Klartext-Adressen.
Jemand hat auf eine gefälschte Mail geklickt, Fremde lesen im Postfach mit oder Ihre Dateien sind verschlüsselt. Hier stehen fremder Zugriff und möglicher Datenabfluss im Raum — oft mit hohem Risiko für die Betroffenen. Gerade diese Fälle sind meldepflichtig und ziehen häufig auch die Pflicht nach sich, die Betroffenen zu warnen.
Ein offener Verteiler statt Blindkopie, eine Rechnung an den falschen Empfänger, Unterlagen ins falsche Fach. Solche „kleinen" Pannen wirken harmlos, sind aber ebenfalls Verletzungen im Sinne der Verordnung. Ob gemeldet werden muss, entscheidet die Risikobewertung — dokumentiert werden muss der Vorfall in jedem Fall.
Der Begriff ist weiter, als viele denken. Eine Verletzung des Schutzes personenbezogener Daten ist jede Verletzung der Sicherheit, die — ob unbeabsichtigt oder unrechtmäßig — zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden (Art. 4 Nr. 12 DSGVO). Es geht also nicht nur um den spektakulären Hackerangriff. Auch der verlorene USB-Stick, die versehentlich gelöschte einzige Kundendatei, der Brand im Serverraum ohne Backup oder die Mail an den falschen Verteiler fallen darunter.
Wichtig ist die Bandbreite: „Verlust" meint nicht nur den Diebstahl durch Dritte, sondern auch das schlichte Abhandenkommen und sogar die dauerhafte Unverfügbarkeit — wenn etwa eine Verschlüsselung durch Ransomware Ihre eigenen Daten unerreichbar macht. Und „unbefugte Offenlegung" trifft schon zu, wenn eine einzige fremde Person Einblick in Daten erhält, für die sie nicht bestimmt waren. Der erste Schritt in jedem Vorfall ist deshalb die nüchterne Frage: Sind personenbezogene Daten betroffen, und wurden sie verloren, verändert oder für jemanden zugänglich, der sie nicht sehen durfte?
Liegt eine Verletzung vor, greift die zentrale Pflicht: Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche diese der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde (Art. 33 Abs. 1 Satz 1 DSGVO). Zwei Worte tragen hier das ganze Gewicht. „Unverzüglich" heißt ohne schuldhaftes Zögern — die 72 Stunden sind die äußere Grenze, nicht Ihr Zeitbudget. Und die Uhr startet mit dem Bekanntwerden: nicht erst, wenn Sie den Vorfall vollständig aufgeklärt haben, sondern sobald Sie mit hinreichender Sicherheit wissen, dass eine Verletzung eingetreten ist.
Es gibt eine Ausnahme, und sie ist eng: Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 Satz 1 a.E. DSGVO). Das ist eine Prognose, die Sie treffen und begründen müssen — und die Sie im Zweifel zu Ihren Lasten geht, wenn Sie sie nicht sauber dokumentieren. Wer die Frist überschreitet, muss der Meldung zudem eine Begründung für die Verzögerung beifügen (Art. 33 Abs. 1 Satz 2 DSGVO). Es ist also ausdrücklich vorgesehen, dass man auch verspätet noch meldet — verspätet und begründet ist immer besser als gar nicht.
Was in die Meldung gehört, gibt das Gesetz vor. Sie enthält zumindest eine Beschreibung der Art der Verletzung — soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze —, den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung (Art. 33 Abs. 3 DSGVO). Und weil in den ersten Stunden oft nicht alles feststeht: Sie dürfen die Informationen, wenn sie nicht gleichzeitig bereitstehen, ohne unangemessene weitere Verzögerung schrittweise nachliefern (Art. 33 Abs. 4 DSGVO). Das nimmt den Druck, alles auf einmal wissen zu müssen — es entbindet aber nicht davon, fristgerecht zu beginnen.
Praxis Die teuerste Falle ist, die 72 Stunden verstreichen zu lassen — sei es aus Angst vor der Meldung, sei es, weil man erst „ganz sicher" sein will, ob es wirklich schlimm genug ist. Genau das kehrt das Gesetz um: Es will die frühe, notfalls unvollständige Meldung mit Nachlieferung, nicht die späte perfekte. Notieren Sie den Zeitpunkt, zu dem Ihnen der Vorfall bekannt wurde, sofort — ab dieser Uhrzeit läuft die Frist, und dieser eine Zeitstempel entscheidet später über pünktlich oder verspätet.
Die Meldung an die Behörde und die Information der betroffenen Menschen sind zwei verschiedene Pflichten mit verschiedenen Schwellen. Die Behörde melden Sie schon, wenn ein Risiko nicht auszuschließen ist. Die Betroffenen selbst müssen Sie erst benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat — dann allerdings ebenfalls unverzüglich (Art. 34 Abs. 1 DSGVO). Diese Benachrichtigung muss in klarer und einfacher Sprache erfolgen und dieselben Kernangaben enthalten wie die Behördenmeldung: Anlaufstelle, wahrscheinliche Folgen, ergriffene Maßnahmen (Art. 34 Abs. 2 DSGVO).
Es gibt Ausnahmen von dieser Benachrichtigung, und die praktisch wichtigste belohnt Vorsorge: Sie müssen die Betroffenen nicht informieren, wenn Sie geeignete technische und organisatorische Schutzvorkehrungen getroffen hatten, die die Daten für Unbefugte unzugänglich machen — insbesondere Verschlüsselung (Art. 34 Abs. 3 lit. a DSGVO). Wer den verlorenen Laptop verschlüsselt hatte, steht also anders da als der, dessen Klartext-Daten offenliegen. Ebenso entfällt die Pflicht, wenn Sie durch nachträgliche Maßnahmen sichergestellt haben, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b), oder wenn die Einzelbenachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre — dann tritt eine öffentliche Bekanntmachung an ihre Stelle (lit. c).
Praktisch bedeutet das eine zweistufige Risikobewertung, die Sie ohnehin für die Meldung anstellen: Besteht überhaupt ein Risiko? Dann Meldung an die Behörde. Ist das Risiko sogar hoch? Dann zusätzlich die Betroffenen warnen — es sei denn, eine der Ausnahmen greift. Diese Bewertung schriftlich festzuhalten ist kein Selbstzweck, sondern der Beleg dafür, dass Sie richtig entschieden haben.
Es gibt eine Pflicht, die unabhängig von jeder Meldung immer gilt und dennoch am häufigsten übersehen wird: Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen — und zwar so, dass die Aufsichtsbehörde die Einhaltung der Vorschrift überprüfen kann (Art. 33 Abs. 5 DSGVO). Diese Pflicht kennt keine Bagatellgrenze. Auch die Panne, die Sie nach sorgfältiger Prüfung nicht melden mussten, weil sie voraussichtlich kein Risiko barg, muss in Ihre interne Dokumentation — samt der Begründung, warum Sie auf die Meldung verzichtet haben.
Praxis Führen Sie ein einfaches Panne-Register: Was ist passiert, wann wurde es bekannt, welche Daten und wie viele Personen sind betroffen, welche Sofortmaßnahmen wurden getroffen, wie fiel die Risikobewertung aus, und wurde gemeldet oder benachrichtigt — mit Begründung, wenn nicht. Genau das ist die Falle, die viele erst im Nachhinein bemerken: Wer die kleinen, nicht gemeldeten Pannen nirgends festhält, kann der Aufsicht später nicht zeigen, dass er sie überhaupt bewertet hat — und steht so schlechter da als jemand, der offen dokumentiert und begründet nicht gemeldet hat.
Viele Pannen passieren nicht bei Ihnen selbst, sondern beim IT-Dienstleister, Cloud-Anbieter, Lohnbüro oder Newsletter-Versender — bei Ihrem Auftragsverarbeiter. Für die Fristen ist wichtig, wer welche Rolle hat: Wird dem Auftragsverarbeiter eine Verletzung bekannt, meldet er sie Ihnen als Verantwortlichem unverzüglich (Art. 33 Abs. 2 DSGVO). Die Meldung an die Aufsichtsbehörde und die etwaige Benachrichtigung der Betroffenen bleiben dann Ihre Pflicht — die 72-Stunden-Uhr beginnt für Sie regelmäßig zu laufen, sobald der Dienstleister Sie informiert.
Daraus folgt ein praktischer Punkt, den Sie besser vor der Panne klären: Ihr Auftragsverarbeitungsvertrag sollte festlegen, wie schnell und mit welchen Informationen der Dienstleister Sie im Ernstfall benachrichtigt. Ein Anbieter, der Sie erst nach Tagen und ohne verwertbare Angaben informiert, bringt Ihre eigene Frist in Gefahr, ohne dass Sie es zunächst merken. Die Meldekette gehört deshalb in den Vertrag und in den Notfallplan — nicht in die Improvisation am Tag des Vorfalls.
Die Melde- und Benachrichtigungspflichten sind nicht folgenlos ausgestaltet. Ein Verstoß gegen die Pflichten der Verantwortlichen und Auftragsverarbeiter aus den einschlägigen Artikeln — dazu zählen die Melde- und Benachrichtigungspflichten aus Art. 33 und Art. 34 — kann mit einer Geldbuße von bis zu 10 Millionen Euro oder, im Fall eines Unternehmens, bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 lit. a DSGVO). Für mittelständische Unternehmen ist in aller Regel der feste 10-Millionen-Euro-Rahmen die maßgebliche Obergrenze; der Umsatzmaßstab greift erst bei sehr großen Konzernen, deren 2 Prozent Jahresumsatz darüber liegen.
Hinzu kommt die zivilrechtliche Seite: Wem durch einen Verstoß gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter (Art. 82 Abs. 1 DSGVO). Gerade nach unbehandelten oder verschleppten Pannen können sich hier Ansprüche einzelner Betroffener summieren. Beides — Aufsichts- und Haftungsrisiko — hängt in der Praxis stark davon ab, wie Sie reagiert haben: Eine frühe Meldung, eine ehrliche Risikobewertung und eine saubere Dokumentation wirken sich zu Ihren Gunsten aus; das Verschweigen und Aussitzen wirkt in die andere Richtung.
Sichern Sie zuerst die Lage: Zugänge sperren, kompromittierte Passwörter ändern, betroffene Systeme vom Netz nehmen, das verlorene Gerät aus der Ferne sperren oder löschen. Je schneller Sie den Abfluss stoppen, desto eher lässt sich das Risiko begrenzen — und desto günstiger fällt später die Bewertung aus.
Notieren Sie sofort, wann und wodurch Ihnen der Vorfall bekannt wurde. Ab diesem Moment läuft die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO. Dieser eine Zeitstempel entscheidet später darüber, ob Ihre Meldung fristgerecht war — er lässt sich nicht rückwirkend rekonstruieren.
Prüfen Sie zuerst, ob überhaupt ein Risiko für die Betroffenen besteht (dann Meldung an die Behörde), und dann, ob es sogar hoch ist (dann zusätzlich Benachrichtigung der Betroffenen, Art. 34 DSGVO). Halten Sie fest, welche Daten, wie viele Personen und welche möglichen Folgen betroffen sind — das ist zugleich der Kern Ihrer späteren Meldung.
Steht ein Risiko im Raum, melden Sie unverzüglich und innerhalb der 72 Stunden, notfalls mit vorläufigen Angaben und Nachlieferung (Art. 33 Abs. 4 DSGVO). Können Sie die Frist nicht halten, melden Sie trotzdem — mit einer Begründung für die Verzögerung (Art. 33 Abs. 1 Satz 2 DSGVO).
Halten Sie den Hergang, die Bewertung und die Maßnahmen schriftlich fest, unabhängig davon, ob Sie melden oder benachrichtigen (Art. 33 Abs. 5 DSGVO). Verzichten Sie auf die Meldung, gehört die Begründung dafür in dieselbe Akte. Das ist der Beleg, der Sie gegenüber der Aufsicht trägt.
Gerade weil die Uhr läuft, entscheidet die erste Weichenstellung über Meldung, Benachrichtigung und Haftung. Lassen Sie die Risikobewertung und den Meldeweg prüfen, solange die Frist noch offen ist — nicht erst, wenn die Aufsichtsbehörde nachfragt.
Zwei sehr unterschiedliche Risiken sind auseinanderzuhalten. Das eine ist das Aufsichtsrisiko: Ein Verstoß gegen die Melde- oder Benachrichtigungspflicht kann ein Bußgeld nach sich ziehen, dessen Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes reicht (Art. 83 Abs. 4 DSGVO) — die tatsächliche Höhe hängt von Schwere, Vorsatz, Ihren Schutzmaßnahmen und Ihrer Mitwirkung ab. Das andere ist die zivilrechtliche Inanspruchnahme durch Betroffene, die einen materiellen oder immateriellen Schaden geltend machen (Art. 82 DSGVO). Beide Risiken lassen sich durch eine richtige Reaktion in den ersten Stunden deutlich dämpfen.
Feste Paketpreise nennen wir bewusst nicht: Ob es um die eilige Begleitung einer akuten Panne innerhalb der laufenden Frist geht, um die nachträgliche Aufarbeitung eines Vorfalls oder um die Vorbereitung mit Notfallplan und Dokumentationsvorlagen, macht für Aufwand und Dringlichkeit den ganzen Unterschied. Sie erfahren die Größenordnung, sobald wir wissen, worum es geht — und in aller Regel ist die schnelle, richtige Reaktion deutlich günstiger als die Reparatur einer verschleppten Meldung.
Ab dem Bekanntwerden der Verletzung — also sobald Sie mit hinreichender Sicherheit wissen, dass eine Verletzung des Schutzes personenbezogener Daten eingetreten ist, nicht erst nach vollständiger Aufklärung (Art. 33 Abs. 1 DSGVO). Deshalb ist es so wichtig, den Zeitpunkt des Bekanntwerdens sofort festzuhalten. „Unverzüglich" bedeutet dabei ohne schuldhaftes Zögern; die 72 Stunden sind die äußere Grenze, nicht Ihr Zeitbudget.
Nein. Die Meldung an die Aufsichtsbehörde entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Diese Prognose müssen Sie aber selbst treffen und begründen — und den Vorfall trotzdem intern dokumentieren (Art. 33 Abs. 5 DSGVO). Nicht meldepflichtig heißt also nicht folgenlos: Die Bewertung und ihre Begründung gehören in Ihre Akte.
Wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der Betroffenen zur Folge hat, müssen Sie diese unverzüglich benachrichtigen (Art. 34 Abs. 1 DSGVO). Es gibt Ausnahmen — etwa wenn die Daten wirksam geschützt, insbesondere verschlüsselt waren, oder wenn Sie das hohe Risiko durch nachträgliche Maßnahmen beseitigt haben (Art. 34 Abs. 3 DSGVO). Die Schwelle für die Benachrichtigung der Betroffenen liegt also höher als die für die Meldung an die Behörde.
Melden Sie trotzdem — verspätet und begründet ist besser als gar nicht. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 Satz 2 DSGVO). Eine verschleppte oder unterlassene Meldung kann als Verstoß mit Bußgeld geahndet werden (Art. 83 Abs. 4 DSGVO); Betroffene können zudem Schadenersatz verlangen (Art. 82 DSGVO). Wie sich eine Verspätung auswirkt, hängt stark von Ihrer Begründung und Ihrer sonstigen Reaktion ab.
Ihr Auftragsverarbeiter muss Ihnen die Verletzung unverzüglich melden (Art. 33 Abs. 2 DSGVO); die Meldung an die Aufsichtsbehörde und die etwaige Benachrichtigung der Betroffenen bleiben Ihre Pflicht als Verantwortlicher. Praktisch heißt das: Regeln Sie im Auftragsverarbeitungsvertrag, wie schnell und mit welchen Angaben der Dienstleister Sie informiert — sonst gefährdet dessen Verzögerung Ihre eigene Frist.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn eine Panne frisch ist und die 72-Stunden-Frist läuft, zählt jede Stunde — schildern Sie den Fall lieber sofort, bevor Sie zur Meldung übergehen.
„Bei einer Datenpanne entscheidet nicht die perfekte Meldung, sondern die schnelle — wer den Zeitpunkt des Bekanntwerdens festhält, das Risiko ehrlich bewertet und notfalls schrittweise meldet, nimmt sich das größte Risiko selbst aus der Hand", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern