Ein Mitarbeiter schickt versehentlich eine Kundenliste an den falschen Empfänger. Ein Einbruch in das Firmennetzwerk bleibt drei Tage unentdeckt. Ein Laptop mit unverschlüsselten Personaldaten wird gestohlen. Was zunächst wie ein isoliertes IT-Problem wirkt, löst unter der Datenschutz-Grundverordnung (DSGVO) eine strenge gesetzliche Reaktionskette aus – und stellt Geschäftsführer im Mittelstand vor eine Fristenherausforderung, die bei Versäumnis empfindliche Bußgelder nach sich ziehen kann.
Die Antwort vorab: Art. 33 DSGVO verpflichtet jeden Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde zu melden – sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen nach sich zieht. Unterbleibt die Meldung schuldhaft oder verspätet, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO; bei schwerwiegenderen Verstößen im Zusammenhang mit Art. 5 und 6 DSGVO können es bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes sein.
Dieses FAQ-Dossier beantwortet die zwölf wichtigsten Fragen, die Geschäftsführer und Justiziare mittelständischer Unternehmen nach einer Datenpanne typischerweise stellen. Jede Antwort ist eigenständig lesbar und folgt dem Grundsatz: Norm → Tatbestand → Folge → Empfehlung.
Was ist eine „Datenpanne" im Sinne der DSGVO überhaupt?
Der Begriff „Datenpanne" ist kein gesetzlicher Terminus. Art. 4 Nr. 12 DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten" und definiert sie als eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Entscheidend ist, dass nicht nur der klassische Hackerangriff darunter fällt.
In der Mandatspraxis sehen wir drei Kategorien mit annähernd gleicher Häufigkeit: erstens Vertraulichkeitsverletzungen (unbefugter Zugriff oder Offenlegung), zweitens Verfügbarkeitsverletzungen (Datenverlust durch Ransomware oder versehentliches Löschen) und drittens Integritätsverletzungen (unberechtigte Veränderung von Datensätzen). Jede dieser drei Varianten kann die Meldepflicht auslösen. Bereits ein einziger betroffener Datensatz genügt dem Wortlaut nach – die Meldepflicht kennt keine Bagatellgrenze, sofern ein Risiko besteht.
Für Geschäftsführer im Mittelstand bedeutet das: Auch der verlorene Laptop eines Außendienstmitarbeiters, die falsch adressierte E-Mail mit Kundendaten oder der nicht gesperrte Ex-Mitarbeiter-Account sind potenzielle Meldeereignisse. Die Frage ist nicht, ob es sich „schlimm genug" anfühlt, sondern ob objektiv ein Risiko für Betroffene besteht.
Wann beginnt die 72-Stunden-Frist zu laufen?
Art. 33 Abs. 1 DSGVO stellt auf den Zeitpunkt des Bekanntwerdens ab – nicht auf den Zeitpunkt des Vorfalls selbst. Das ist ein wesentlicher Unterschied, der in der Praxis häufig zu Unsicherheiten führt. Bekanntwerden liegt vor, wenn der Verantwortliche – also das Unternehmen als juristische Person – ausreichend Gewissheit hat, dass ein sicherheitsrelevantes Ereignis eingetreten ist, das den Schutz personenbezogener Daten beeinträchtigt.
Die Aufsichtsbehörden und der Europäische Datenschutzausschuss (EDSA) haben in ihren Leitlinien klargestellt: Eine erste Einschätzung, die auf eine Verletzung hindeutet, genügt. Das Unternehmen muss nicht alle Einzelheiten kennen. Nach unserer Erfahrung neigen Unternehmen dazu, intern noch zu ermitteln und die Frist dadurch unbemerkt verstreichen zu lassen. Das ist risikobehaftet. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich eine gestaffelte Meldung – zunächst mit den verfügbaren Informationen, ergänzt durch Nachlieferungen, sobald weitere Details bekannt sind.
Praktische Konsequenz: Sobald die IT-Abteilung, ein externer Dienstleister oder ein aufmerksamer Mitarbeiter den Vorfall meldet und erste Anhaltspunkte für eine Datenschutzverletzung vorliegen, beginnt die Uhr zu laufen. Interne Eskalationswege, die mehrere Tage dauern, sind mit Art. 33 DSGVO nicht vereinbar.
Gilt die Meldepflicht für jede Datenpanne – oder gibt es Ausnahmen?
Nicht jede Datenpanne löst zwingend eine Meldepflicht gegenüber der Aufsichtsbehörde aus. Art. 33 Abs. 1 Satz 1 DSGVO formuliert eine wichtige Ausnahme: Meldepflicht entfällt, wenn die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt". Diese Einschätzung trifft nicht die Aufsichtsbehörde – sie obliegt dem Unternehmen selbst, und zwar dokumentiert und nachvollziehbar.
Als meldefrei gelten nach der Guidance des EDSA beispielsweise verschlüsselt gespeicherte Daten, deren Schlüssel dem Angreifer nicht zugänglich war, oder der versehentliche Versand einer E-Mail ohne personenbezogene Daten an den falschen Empfänger. Meldefrei ist jedoch nicht gleichbedeutend mit dokumentationsfrei: Art. 33 Abs. 5 DSGVO verpflichtet den Verantwortlichen, alle Verletzungen intern zu dokumentieren – auch die, die er als nicht meldepflichtig eingestuft hat, und zwar einschließlich der Begründung für diese Einschätzung.
Handelt es sich hingegen um sensible Datenkategorien nach Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten, politische Überzeugungen), ist die Schwelle für das Vorliegen eines Risikos nach Auffassung der Aufsichtsbehörden deutlich niedriger. Hier empfiehlt sich im Zweifel die Meldung, da eine fehlende Meldung als schwerwiegenderer Verstoß gewertet wird als eine unnötige.
Was muss eine Meldung an die Aufsichtsbehörde enthalten?
Art. 33 Abs. 3 DSGVO legt den Mindestinhalt der Meldung abschließend fest. Eine vollständige Meldung enthält: eine Beschreibung der Art der Verletzung (einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze), die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen der Verletzung sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung.
In der Praxis akzeptieren die deutschen Datenschutzaufsichtsbehörden – also die Landesbehörden wie der Bayerische Landesbeauftragte für den Datenschutz (BayLDA) oder der Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) – Meldungen über standardisierte Online-Meldeformulare. Diese Formulare sind auf die gesetzlichen Mindestanforderungen zugeschnitten. Entscheidend ist, dass die Meldung auch dann abgesetzt werden kann und sollte, wenn noch nicht alle Informationen vollständig vorliegen – Art. 33 Abs. 4 DSGVO erlaubt die Nachlieferung ausdrücklich.
Was Aufsichtsbehörden besonders kritisch bewerten: fehlende oder unvollständige Angaben zu den ergriffenen Gegenmaßnahmen. Unternehmen, die erkennbar strukturiert reagiert haben, werden erfahrungsgemäß milder behandelt als solche, die weder technische noch organisatorische Sofortmaßnahmen vorweisen können.
Muss auch der Betroffene informiert werden?
Neben der Behördenmeldung besteht unter bestimmten Voraussetzungen eine Benachrichtigungspflicht gegenüber den betroffenen Personen. Art. 34 DSGVO regelt diese direkte Kommunikationspflicht, deren Schwelle höher liegt als die der Behördenmeldung: Sie greift nur, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Ein „hohes Risiko" liegt typischerweise vor bei: Offenlegung von Zahlungsdaten oder Bankverbindungen, Zugang zu Gesundheitsinformationen, Verlust von Anmeldedaten, die Identitätsdiebstahl ermöglichen, oder bei einer Datenpanne, die diskriminierende Konsequenzen für die Betroffenen haben könnte. In diesen Fällen muss die Benachrichtigung der betroffenen Personen unverzüglich erfolgen – eine konkrete Stundenzahl nennt Art. 34 DSGVO nicht, jedoch ist nach Auffassung der Aufsichtsbehörden unverzüglich im Sinne von „ohne schuldhaftes Zögern" zu verstehen.
Ausnahmen von der Benachrichtigungspflicht bestehen nach Art. 34 Abs. 3 DSGVO, wenn etwa die betroffenen Daten wirksam verschlüsselt oder anonymisiert waren oder wenn die direkte Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde – letztere Ausnahme setzt allerdings eine öffentliche Bekanntmachung voraus. Für Mittelstandsunternehmen mit überschaubaren Kundendatenbeständen ist die direkte Benachrichtigung in den meisten Fällen der sicherere Weg.
Welche Rolle spielt der Auftragsverarbeiter – und wer meldet bei ausgelagerter IT?
Outsourcing und Cloud-Lösungen sind im Mittelstand weit verbreitet. Was passiert, wenn nicht das Unternehmen selbst, sondern ein externer IT-Dienstleister, ein Softwareanbieter oder ein Rechenzentrum von einer Datenpanne betroffen ist? Art. 33 Abs. 2 DSGVO gibt eine klare Antwort: Der Auftragsverarbeiter (im Sinne des Art. 28 DSGVO) muss den Verantwortlichen – also das auftraggebende Unternehmen – unverzüglich informieren, nachdem ihm die Verletzung bekannt geworden ist.
Die Meldepflicht gegenüber der Aufsichtsbehörde liegt jedoch allein beim Verantwortlichen. Das outsourcende Mittelstandsunternehmen bleibt meldepflichtig, auch wenn der Dienstleister das Problem verursacht hat. Die 72-Stunden-Frist beginnt für das Unternehmen, sobald es vom Dienstleister informiert worden ist – oder sobald es von dem Vorfall anderweitig Kenntnis erlangt.
Nach unserer Erfahrung in der Mandatspraxis fehlen in vielen Auftragsverarbeitungsverträgen (AVV) verbindliche Regelungen zu Meldewegen und Meldefristen des Dienstleisters gegenüber dem Auftraggeber. Ein AVV ohne solche Klauseln ist ein strukturelles Risiko: Der Dienstleister meldet intern erst nach Tagen; das Unternehmen erfährt es zufällig; die 72-Stunden-Frist ist bereits verstrichen. Die Überprüfung bestehender AVV auf diese Klauseln sollte regelmäßig auf der Agenda stehen.
Was droht bei verspäteter oder fehlender Meldung?
Die Sanktionsarchitektur der DSGVO unterscheidet bei Verstößen gegen Art. 33 und 34 DSGVO nach Schwere und Verschulden. Art. 83 Abs. 4 DSGVO sieht für Verstöße gegen die Meldepflicht Bußgelder von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor – je nachdem, welcher Betrag höher ist. Liegen gleichzeitig Verstöße gegen Grundprinzipien (Art. 5 DSGVO) oder Rechtsgrundlagen (Art. 6 DSGVO) vor, steigt das Bußgelddach auf bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.
Wichtig für die Praxis: Aufsichtsbehörden berücksichtigen nach Art. 83 Abs. 2 DSGVO eine Vielzahl von Faktoren bei der Bußgeldbemessung – unter anderem, ob das Unternehmen kooperiert, ob Sofortmaßnahmen ergriffen wurden, ob ein vorangehender Verstoß vorlag und ob datenschutzrechtliche Mindeststandards eingehalten waren. Unternehmen, die proaktiv melden, strukturierte Gegenmaßnahmen vorweisen und transparent kommunizieren, befinden sich in einer deutlich günstigeren Verhandlungsposition als solche, bei denen die Behörde die Verletzung eigenständig entdeckt.
Neben dem Bußgeld drohen Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO, Reputationsschäden sowie – bei öffentlichem Bekanntwerden – erhebliche Auswirkungen auf Kundenbeziehungen. Für Mittelstandsunternehmen in B2B-Geschäftsbeziehungen kann eine öffentlich bekannt gewordene Datenpanne zudem vertragliche Konsequenzen bei Kunden haben, die vertraglich Datenschutz-Compliance als Leistungsmerkmal vereinbart haben.
Wie sieht ein praxistauglicher Notfallplan für den Mittelstand aus?
Ein strukturierter Incident-Response-Plan ist kein Luxus für Konzerne, sondern ein notwendiges Instrument für jeden Verantwortlichen. Er ist zugleich ein Argument gegenüber der Aufsichtsbehörde, dass das Unternehmen seinen Pflichten aus Art. 25 DSGVO (Datenschutz durch Technikgestaltung) und Art. 32 DSGVO (technisch-organisatorische Maßnahmen) nachgekommen ist.
Ein praxistauglicher Plan umfasst mindestens fünf Elemente: erstens eine klare interne Eskalationskette mit benannten Verantwortlichen (IT-Sicherheit, Datenschutzbeauftragter, Geschäftsführung), zweitens ein Sofortprotokoll zur Schadensbegrenzung (Zugang sperren, betroffene Systeme isolieren), drittens eine Risikobewertungsmatrix, die vorgibt, wann eine Meldung an die Aufsichtsbehörde erforderlich ist, viertens Meldevorlagen für die Aufsichtsbehörde und für Betroffene sowie fünftens eine Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO, die auch nicht gemeldete Vorfälle erfasst.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Logistikunternehmen aus der Transportbranche, bei dem ein Ransomware-Angriff die Kundendatenbank verschlüsselt hatte.
Mikro-Fall: Ausgangslage: Ein Ransomware-Angriff hatte die Kundendatenbank eines Spediteurs mit rund 80 Mitarbeitern verschlüsselt; Kundendaten waren nach erster Einschätzung möglicherweise exfiltriert worden. Ein Incident-Response-Plan existierte nicht. Vorgehen: Die Kanzlei unterstützte die unmittelbare Einschätzung der Meldepflicht, begleitete die gestaffelte Meldung an die zuständige Aufsichtsbehörde innerhalb der 72-Stunden-Frist und koordinierte die Kommunikation mit dem IT-Forensikdienstleister zur Schadensermittlung. Ergebnis: Die Aufsichtsbehörde bestätigte die fristgerechte Meldung; das Unternehmen erarbeitete im Anschluss erstmals einen verbindlichen Datenschutz-Notfallplan.
Welche besonderen Pflichten gelten, wenn ein Datenschutzbeauftragter bestellt ist?
Die DSGVO schreibt in Art. 37 die Benennung eines Datenschutzbeauftragten (DSB) unter bestimmten Voraussetzungen vor. Das Bundesdatenschutzgesetz (BDSG) erweitert diese Pflicht: In Deutschland ist ein DSB zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).
Ist ein DSB vorhanden, ist er gemäß Art. 33 Abs. 3 lit. b DSGVO als Anlaufstelle in der Meldung gegenüber der Aufsichtsbehörde zu benennen. Wichtiger noch: Der DSB muss nach Art. 38 Abs. 1 DSGVO ordnungsgemäß und frühzeitig in alle Fragen eingebunden werden, die den Schutz personenbezogener Daten betreffen – also auch in die Erstbewertung eines Sicherheitsvorfalls. Unternehmen, die ihren DSB erst nach Absenden der Meldung einbinden, verletzen diese Einbindungspflicht.
Für Mittelstandsunternehmen ohne interne DSB-Kapazitäten bietet sich die Bestellung eines externen Datenschutzbeauftragten an. Ein externer DSB, der bei einem Vorfall innerhalb von Stunden erreichbar ist, kann die Risikobewertung und Meldeentscheidung deutlich beschleunigen.
Wie verhält sich die DSGVO-Meldepflicht zu sektorspezifischen Meldepflichten?
Die DSGVO-Meldepflicht tritt neben branchenspezifische Meldepflichten, ersetzt sie aber nicht. Unternehmen in regulierten Sektoren müssen mehrere Melderegimes parallel einhalten. Das Telekommunikationsgesetz (TKG) kennt eigene Meldepflichten für Sicherheitsvorfälle bei Anbietern öffentlicher Telekommunikationsnetze. Das BSI-Gesetz (BSIG) verpflichtet Betreiber kritischer Infrastrukturen (KRITIS) zu Meldungen an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Mit NIS2 – der Umsetzung der EU-Richtlinie 2022/2555, die in Deutschland im BSIG-Reformrahmen umgesetzt wird – erweitert sich der Kreis der betroffenen Unternehmen erheblich, und zwar mit deutlich gestaffelten Fristen (Frühwarnung binnen 24 Stunden, detaillierte Meldung binnen 72 Stunden, Abschlussbericht binnen 30 Tagen).
Für mittelständische Unternehmen in den Sektoren Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur und verarbeitendes Gewerbe (ab bestimmten Schwellenwerten) empfiehlt sich daher eine Prüfung, ob sie unter das NIS2-Regime fallen. Wer mehreren Meldepflichten unterliegt, sollte sicherstellen, dass der interne Notfallplan alle Regimes abdeckt und die jeweils kürzeste Frist als maßgeblich behandelt.
Kann die Meldung einer Datenpanne die Situation für das Unternehmen verschlimmern?
Diese Frage stellen Geschäftsführer verständlicherweise häufig. Die Antwort lautet: Im Regelfall nicht – und eine unterbliebene Meldung ist fast immer die schlechtere Strategie. Die Aufsichtsbehörden bewerten nach Art. 83 Abs. 2 lit. f DSGVO ausdrücklich Kooperationsbereitschaft als bußgeldmindernden Faktor. Wer meldet, kooperiert und Maßnahmen vorweist, zeigt, dass er als Verantwortlicher ernstgenommen wird.
Die Praxis zeigt: Behörden, die einen Vorfall eigenständig entdecken – etwa durch Hinweise Dritter, Medienberichte oder Beschwerden Betroffener – verhängen tendenziell höhere Sanktionen, weil die unterbliebene Meldung dann nicht nur einen formalen Verstoß, sondern ein Zeichen mangelnder Compliance-Reife darstellt. Hinzu kommt: Wer nach außen erkennbar strukturiert reagiert, kann gegenüber Geschäftspartnern und Kunden glaubhaft darlegen, dass der Vorfall beherrschbar war.
Risiken gibt es freilich: Eine Meldung, die einen bisher unbekannten Vorfall enthüllt, kann Schadensersatzansprüche Betroffener nach Art. 82 DSGVO auslösen. Diese Konsequenz ist jedoch nicht von der Meldepflicht abhängig – das Haftungsrisiko besteht unabhängig davon, ob gemeldet wird oder nicht. Der rechtliche Rat lautet daher regelmäßig: melden, aber gut vorbereitet und mit anwaltlicher Begleitung.
Welche ersten Schritte sollte ein Geschäftsführer unmittelbar nach Bekanntwerden einer Datenpanne einleiten?
Unmittelbar nach Bekanntwerden eines Sicherheitsvorfalls zählt jede Stunde. Die nachfolgende Handlungsfolge hat sich in der Mandatspraxis als tragfähig erwiesen:
- Sofort-Eindämmung: Betroffene Systeme isolieren, Zugänge sperren, IT-Forensiker einbinden – alles ohne Beweisvernichtung (keine Löschung von Logs).
- Erstbewertung und Dokumentation: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl betroffener Personen, Zeitraum des Vorfalls – schriftlich festhalten.
- Risikoeinschätzung: Besteht ein voraussichtliches Risiko für Rechte und Freiheiten betroffener Personen? Wenn ja: Behördenmeldung vorbereiten.
- Datenschutzbeauftragten einbinden: Soweit vorhanden, unverzüglich informieren und in die Risikobewertung einbeziehen.
- Meldung absetzen (Art. 33 DSGVO, binnen 72 Stunden): Auch eine vorläufige Meldung mit Nachliefervorbehalt ist besser als eine verspätete vollständige Meldung.
- Prüfung der Benachrichtigungspflicht (Art. 34 DSGVO): Hohes Risiko für Betroffene? Dann unverzüglich direkt informieren.
- Dokumentation abschließen (Art. 33 Abs. 5 DSGVO): Alle Maßnahmen, Entscheidungen und deren Begründungen festhalten.
Welche Schritte in welcher Reihenfolge zwingend sind und welche variieren können – das hängt vom konkreten Sachverhalt, der betroffenen Datenkategorie und der Unternehmensstruktur ab. Eine pauschale Standardlösung gibt es nicht. Entscheidend ist das schnelle Ineinandergreifen von technischer und rechtlicher Reaktion.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Vorfall erfordert die unmittelbare Prüfung des Sachverhalts, der betroffenen Daten und der einschlägigen behördlichen Vorgaben. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen (FAQ)
Wann genau beginnt die 72-Stunden-Frist des Art. 33 DSGVO?
Die Frist beginnt in dem Moment, in dem dem Verantwortlichen bekannt wird, dass eine Verletzung des Schutzes personenbezogener Daten vorliegt oder mit hinreichender Wahrscheinlichkeit vorliegt. Vollständige Kenntnis des Schadensumfangs ist nicht erforderlich. Sobald erste belastbare Anhaltspunkte für einen Sicherheitsvorfall bestehen, läuft die Frist. Interne Ermittlungen unterbrechen sie nicht.
Was passiert, wenn die 72 Stunden nicht eingehalten werden können?
Art. 33 Abs. 1 Satz 2 DSGVO erlaubt eine Meldung nach Ablauf der 72 Stunden, wenn eine Begründung für die Verzögerung mitgeliefert wird. Die Meldung darf also verspätet sein, sofern sie nicht schuldhaft verzögert wurde. Entscheidend ist in diesem Fall die glaubhafte Darlegung, warum eine frühere Meldung nicht möglich war – beispielsweise bei komplexen, über mehrere Systeme verteilten Vorfällen mit zunächst unklarem Ausmaß.
Gilt die Meldepflicht auch für kleine Unternehmen ohne Datenschutzbeauftragten?
Ja. Die Meldepflicht nach Art. 33 DSGVO gilt für jeden Verantwortlichen im Sinne des Art. 4 Nr. 7 DSGVO – unabhängig von Unternehmensgröße oder davon, ob ein Datenschutzbeauftragter bestellt ist. Kleinunternehmen sind von der Meldepflicht nicht ausgenommen. Die Pflicht, einen DSB zu benennen, ist eine separate Frage und berührt die Meldepflicht nicht.
An welche Behörde ist die Meldung zu richten?
Zuständig ist die Aufsichtsbehörde des Mitgliedstaats, in dem das Unternehmen seine Hauptniederlassung oder einzige Niederlassung hat. In Deutschland gibt es 16 Landesdatenschutzbehörden; maßgeblich ist der Sitz der Hauptniederlassung. Bei grenzüberschreitenden Verarbeitungen gilt das One-Stop-Shop-Prinzip: Es ist die federführende Aufsichtsbehörde am Ort der Hauptniederlassung zuständig.
Was bedeutet „gestaffelte Meldung" in der Praxis?
Art. 33 Abs. 4 DSGVO erlaubt es, die Informationen, die zum Meldezeitpunkt noch nicht vollständig vorliegen, in mehreren Schritten nachzureichen. Die Erstmeldung kann also mit dem Vermerk „Informationen werden nachgereicht" abgegeben werden. Wichtig: Die Erstmeldung muss dennoch die bereits bekannten Angaben enthalten – sie darf nicht leer sein. Die Nachlieferung sollte zeitnah und von sich aus erfolgen, ohne dass die Behörde nachfragen muss.
Müssen auch Datenpannen dokumentiert werden, die nicht gemeldet werden?
Ja. Art. 33 Abs. 5 DSGVO verpflichtet den Verantwortlichen, alle Verletzungen des Schutzes personenbezogener Daten zu dokumentieren – einschließlich der Vorfälle, die er als nicht meldepflichtig eingestuft hat. Die Dokumentation muss Umstände, Auswirkungen und ergriffene Abhilfemaßnahmen enthalten sowie die Begründung, warum keine Meldung erfolgte. Diese interne Dokumentation ist im Falle einer Behördenprüfung vorlegepflichtig.
Kann ein externer IT-Dienstleister die DSGVO-Meldung stellvertretend für das Unternehmen abgeben?
Nein. Die Meldepflicht liegt beim Verantwortlichen und ist nicht delegierbar. Ein externer Dienstleister kann die Meldung vorbereiten, Informationen zuliefern und technisch unterstützen – aber die Meldung selbst muss vom Verantwortlichen (also dem Unternehmen) abgesetzt werden. Art. 33 Abs. 2 DSGVO regelt lediglich die Pflicht des Auftragsverarbeiters, den Verantwortlichen zu informieren, nicht die Verlagerung der Meldepflicht.
Wie lange muss die Meldung aufbewahrt werden?
Die DSGVO nennt keine ausdrückliche Aufbewahrungsfrist für Meldungen nach Art. 33 DSGVO. Nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können. Da Aufsichtsbehörden und betroffene Personen Ansprüche geltend machen können, empfiehlt sich eine Aufbewahrung der Meldedokumentation für mindestens drei Jahre, was der regulären zivilrechtlichen Verjährungsfrist nach § 195 BGB entspricht – im Einzelfall kann eine längere Aufbewahrung angezeigt sein.
Die vorstehenden Ausführungen bilden den rechtlichen Rahmen der Meldepflicht ab. Ihr konkreter Sachverhalt – Art der betroffenen Daten, Unternehmensstruktur, einbezogene Dienstleister, Meldezeitpunkt – erfordert eine individuelle Prüfung der Unterlagen und Fristen. Zur Klärung, wie Art. 33 DSGVO auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.