Ein Mitarbeiter klickt auf einen Phishing-Link. Eine falsch konfigurierte Cloud-Ablage gibt Kundendaten frei. Der Laptop des Außendienstes wird gestohlen. Was folgt, ist keine abstrakte Compliance-Frage, sondern ein konkretes operatives Problem mit harter Frist: Ab dem Moment, in dem ein Unternehmen von einer Datenpanne Kenntnis erlangt, laufen 72 Stunden, bevor die zuständige Datenschutzaufsichtsbehörde unterrichtet werden muss.
Art. 33 der Datenschutz-Grundverordnung (DSGVO) verpflichtet jeden Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden bei der zuständigen Aufsichtsbehörde zu melden — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Versäumnis oder Verspätung können Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen; bei schwerwiegenden Verstößen steigt die Obergrenze auf 20 Millionen Euro oder 4 % des Jahresumsatzes.
Dieser Beitrag analysiert den Pflichtenrahmen des Art. 33 DSGVO, die häufigsten Fehlerquellen im Mittelstand und die praktischen Schritte, die ein Geschäftsführer von der Entdeckung bis zur vollständigen Dokumentation beachten muss.
Was ist eine meldepflichtige Datenpanne im Sinne der DSGVO?
Der Begriff der Datenpanne ist im deutschen Sprachgebrauch weiter als der Normtatbestand. Art. 4 Nr. 12 DSGVO definiert die „Verletzung des Schutzes personenbezogener Daten" als eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von — beziehungsweise zum unbefugten Zugang zu — personenbezogenen Daten führt. Entscheidend ist, dass nicht jede technische Störung automatisch eine Meldepflicht auslöst.
Die Datenschutzaufsichtsbehörden unterscheiden drei Grundkonstellationen: Vertraulichkeitsverletzung (unbefugter Zugang), Integritätsverletzung (unberechtigte Veränderung) und Verfügbarkeitsverletzung (Verlust oder Vernichtung). In der Mandatspraxis sehen wir, dass gerade Verfügbarkeitsverletzungen — etwa der temporäre Ausfall eines Backup-Systems — von Unternehmen regelmäßig unterschätzt werden, weil keine Daten nach außen geflossen sind.
Der Risikomaßstab ist zweistufig: Besteht voraussichtlich kein Risiko für betroffene Personen, entfällt die Meldepflicht. Besteht ein Risiko, greift die 72-Stunden-Pflicht gegenüber der Behörde. Bei einem hohen Risiko kommt zusätzlich die Benachrichtigungspflicht gegenüber den Betroffenen nach Art. 34 DSGVO hinzu. Diese Abstufung ist kein akademisches Detail — sie bestimmt den gesamten Reaktionspfad und damit die Haftungsexposition des Geschäftsführers.
Praktische Faustregel für die erste Einschätzung: Betreffen die Daten besondere Kategorien nach Art. 9 DSGVO (Gesundheits-, Religions-, politische Daten), sind Zugangsdaten oder Zahlungsinformationen kompromittiert oder ist die Zahl betroffener Personen erheblich, sprechen diese Umstände regelmäßig für ein Risiko, das die Meldepflicht auslöst.
Wie beginnt die 72-Stunden-Frist zu laufen — und wer muss Kenntnis haben?
Der Fristbeginn ist der neuralgische Punkt und führt in der Aufsichtspraxis immer wieder zu Auseinandersetzungen. Die 72 Stunden beginnen nicht erst mit der Gewissheit über den Vorfall, sondern nach dem Wortlaut des Art. 33 Abs. 1 DSGVO mit dem „Bekanntwerden" — also dem Zeitpunkt, in dem der Verantwortliche hinreichenden Grund zu der Annahme hat, dass eine Verletzung eingetreten sein könnte.
Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) präzisieren: „Bekanntwerden" setzt ein vernünftiges Maß an Gewissheit voraus, dass ein Sicherheitsvorfall stattgefunden hat. Noch laufende Untersuchungen zur genauen Schadensqualifikation stehen dem Fristbeginn jedoch nicht entgegen. Sobald ein Mitarbeiter der IT-Abteilung, ein externer Dienstleister oder der Datenschutzbeauftragte von einem verdächtigen Ereignis erfährt und dies — ausdrücklich oder konkludent — an das Unternehmen meldet, beginnt nach der Behördenpraxis regelmäßig die Frist.
Nach unserer Erfahrung liegt das größte praktische Risiko im mittleren Management: Ein Systemadministrator bemerkt den Vorfall am Freitagabend und eskaliert ihn erst am Montagmorgen. Aus Behördensicht hat der Verantwortliche spätestens ab Freitagabend Kenntnis — die 72 Stunden laufen über das Wochenende. Klare interne Eskalationswege sind daher nicht nur eine organisatorische Empfehlung, sondern haftungsrelevant.
Für Konzernstrukturen und Auftragsverarbeitungsverhältnisse gilt: Erlangt der Auftragsverarbeiter (Art. 28 DSGVO) Kenntnis von einer Datenpanne, muss er den Verantwortlichen unverzüglich benachrichtigen — und erst ab diesem Zeitpunkt beginnt für den Verantwortlichen die 72-Stunden-Frist zu laufen. Die vertragliche Ausgestaltung des Auftragsverarbeitungsvertrags (AVV) bestimmt damit mittelbar den Fristbeginn.
Welche Pflichtangaben verlangt die Meldung nach Art. 33 DSGVO?
Die Meldung ist kein formloser Hinweis, sondern muss nach Art. 33 Abs. 3 DSGVO konkrete Mindestangaben enthalten. Unvollständige Meldungen können — je nach Behördenpraxis — wie verspätete Meldungen bewertet werden. Vier Inhaltselemente sind Pflicht: Beschreibung der Art der Verletzung einschließlich Kategorien und ungefähre Anzahl betroffener Personen sowie betroffener Datensätze; Name und Kontaktdaten des Datenschutzbeauftragten; Beschreibung der voraussichtlichen Folgen; ergriffene oder geplante Abhilfemaßnahmen.
Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich eine stufenweise Meldung: Stehen nicht alle Informationen innerhalb von 72 Stunden zur Verfügung, kann zunächst eine Erstmeldung erfolgen, die durch Nachmeldungen ergänzt wird. Diese Möglichkeit ist in der Praxis von erheblicher Bedeutung — die Frist für die Erstmeldung beginnt nicht erst, wenn alle Details feststehen.
In Deutschland werden Meldungen über die Online-Portale der jeweiligen Landesdatenschutzbehörde eingereicht. Für Unternehmen mit Hauptniederlassung in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig; für Berlin der Berliner Beauftragte für Datenschutz und Informationsfreiheit. Bei grenzüberschreitenden Verarbeitungstätigkeiten gilt das One-Stop-Shop-Prinzip nach Art. 56 DSGVO, wonach die Behörde am Ort der Hauptniederlassung federführend ist.
Ein formaler Fehler, der in der Mandatspraxis häufig auftritt: Das Unternehmen meldet zwar rechtzeitig, dokumentiert aber die Entscheidungsgrundlage für die Risikoeinschätzung nicht schriftlich. Dabei verlangt Art. 33 Abs. 5 DSGVO explizit die Dokumentation aller Datenpannen — einschließlich derjenigen, für die keine Meldepflicht bestand. Diese Dokumentation dient im Prüfungsfall als Nachweis gegenüber der Aufsichtsbehörde.
Wann entfällt die Meldepflicht — und was ist dabei zu beachten?
Die Ausnahme von der Meldepflicht setzt voraus, dass die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt" (Art. 33 Abs. 1 DSGVO, Halbsatz 2). Diese Einschätzung ist keine Ermessensentscheidung, die ohne Weiteres intern getroffen werden kann — sie muss dokumentiert, nachvollziehbar begründet und revisionssicher abgelegt sein.
Beispiele für Konstellationen, in denen die Aufsichtsbehörden die Meldepflicht regelmäßig verneinen: verschlüsselte Datenträger, bei denen der Schlüssel sicher und unbeschädigt ist; versehentlich versandte E-Mails mit nicht-sensiblem Inhalt an wenige Personen im gleichen Unternehmen; versehentliche Übermittlung von Daten, die keine Rückschlüsse auf die betroffene Person ermöglichen.
Gleichwohl gilt: Im Zweifelsfall — und der Zweifel überwiegt in der Praxis nahezu immer — empfiehlt die Kanzlei die Meldung. Eine ungerechtfertigte Meldung ist bußgeldfrei. Eine unterlassene Meldung, die im Nachhinein als erforderlich eingestuft wird, kann Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 4 DSGVO). Das Risiko-Kosten-Verhältnis spricht eindeutig für eine Kultur des frühzeitigen Meldens.
Ein weiterer Aspekt, der in der Praxis unterschätzt wird: Die Entscheidung gegen eine Meldung muss intern dokumentiert und begründet sein. Wer im Ernstfall der Aufsichtsbehörde nicht nachweisen kann, warum er auf eine Meldung verzichtet hat, steht de facto so da, als hätte er die Pflicht schlicht übersehen.
Haftung des Geschäftsführers: Persönliches Risiko und organisatorische Pflichten
Die DSGVO richtet sich formal an den Verantwortlichen als Organisation — doch die persönliche Haftungsexposition des Geschäftsführers ist substanziell. Zwei Ebenen sind zu unterscheiden: die bußgeldrechtliche Haftung der juristischen Person und die zivilrechtliche Innenhaftung des Geschäftsführers gegenüber der Gesellschaft.
Die bußgeldrechtliche Haftung richtet sich nach Art. 83 DSGVO. Bei schuldhaft verspäteter oder unterlassener Meldung nach Art. 33 DSGVO sieht Art. 83 Abs. 4 DSGVO Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor. Bei gleichzeitigen Verstößen gegen Grundpflichten — etwa unzureichende technische und organisatorische Maßnahmen nach Art. 32 DSGVO — kumulieren die Bußgeldrahmen, da die Aufsichtsbehörden jeden Verstoß gesondert bewertet. In der geltenden Behördenpraxis werden Bußgelder gegen mittelständische Unternehmen im fünf- bis siebenstelligen Bereich verhängt, wenn die Meldung erkennbar verzögert oder die Dokumentation lückenhaft war.
Die zivilrechtliche Ebene ergibt sich aus § 43 GmbHG (bei der GmbH) beziehungsweise § 93 AktG (bei der AG): Der Geschäftsführer hat die Sorgfalt eines ordentlichen Kaufmanns anzuwenden. Unterlässt er die Einrichtung eines funktionierenden Datenpannen-Managements, kann er im Innenverhältnis für Bußgelder und Schadensersatzansprüche Dritter haftbar gemacht werden. Die Gesellschaft kann Regress nehmen — insbesondere wenn Gesellschafter oder ein Insolvenzverwalter involviert sind.
Nach unserer Beratungserfahrung im Mittelstand sind es häufig inhabergeführte Unternehmen ohne dedizierten Datenschutzbeauftragten, in denen diese doppelte Haftungsexposition am schärfsten wirkt. Der Gesellschafter-Geschäftsführer trägt das bußgeldrechtliche Risiko der Gesellschaft und das Innenhaftungsrisiko in Personalunion. Organisatorische Sorgfalt — von der Benennung eines Datenschutzbeauftragten bis zur Einrichtung klarer Eskalationsprozesse — ist damit unmittelbares Eigeninteresse.
Aus der Mandatspraxis (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Logistikunternehmen mit rund 120 Mitarbeitern und bundesweitem Kundenstamm. Ausgangslage: Eine Ransomware-Attacke hatte die zentralen Transportmanagementsysteme verschlüsselt; in den betroffenen Systemen befanden sich Lieferadressen, Kontaktdaten und in einem Teilsystem Bankverbindungen von Gewerbekunden. Vorgehen: Sofortige Bewertung der betroffenen Datenkategorien und des Risikoprofils; Erstmeldung an die zuständige Landesdatenschutzbehörde innerhalb von 52 Stunden nach interner Eskalation; koordinierte Nachmeldung nach vollständiger forensischer Auswertung. Ergebnis: Die Behörde nahm die fristgerechte, vollständige Erstmeldung positiv zur Kenntnis; der Dialog konzentrierte sich auf technische Abhilfemaßnahmen. Eine Benachrichtigungspflicht gegenüber Betroffenen nach Art. 34 DSGVO wurde aufgrund der Risikoeinschätzung im Ergebnis nicht ausgelöst. Das Unternehmen dokumentierte den gesamten Prozess lückenlos.
Die Benachrichtigungspflicht gegenüber Betroffenen nach Art. 34 DSGVO
Neben der Meldung an die Aufsichtsbehörde kann eine Datenpanne eine zweite, eigenständige Pflicht auslösen: die direkte Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO. Diese Pflicht setzt einen höheren Schwellenwert voraus — ein hohes Risiko für die Rechte und Freiheiten der Betroffenen.
Das „hohe Risiko" ist nach der Leitliniensystematik des EDSA zu bestimmen: Maßgeblich sind Sensitivität der Datenkategorie, Umfang und Angreifbarkeit der betroffenen Personen sowie Wahrscheinlichkeit und Schwere potenzieller Schäden. Klartext: Werden Zugangsdaten, Gesundheitsdaten oder Finanzdaten kompromittiert, liegt ein hohes Risiko nach Behördenpraxis regelmäßig vor.
Die Benachrichtigung muss gemäß Art. 34 Abs. 2 DSGVO in klarer, verständlicher Sprache erfolgen und mindestens enthalten: Name und Kontaktdaten des Datenschutzbeauftragten, Beschreibung der voraussichtlichen Folgen, ergriffene Maßnahmen sowie Empfehlungen an die betroffene Person. Keine Frist ist in Art. 34 DSGVO explizit normiert, doch die Formulierung „unverzüglich" setzt die Aufsichtsbehörden mit Nachdruck durch. In der Behördenpraxis wird eine Verzögerung von mehr als einigen Tagen nach Feststellung des hohen Risikos als Pflichtverletzung gewertet.
Art. 34 Abs. 3 DSGVO sieht Ausnahmen vor: Wenn technische und organisatorische Schutzmaßnahmen die Daten für Unbefugte unzugänglich gemacht haben (insbesondere starke Verschlüsselung), wenn durch Folgemaßnahmen das hohe Risiko beseitigt wurde, oder wenn eine Einzelbenachrichtigung mit unverhältnismäßig hohem Aufwand verbunden wäre und stattdessen eine öffentliche Bekanntmachung erfolgt. Diese Ausnahmen sind eng auszulegen.
Technische und organisatorische Maßnahmen als Präventionsbasis
Die effektivste Reaktion auf eine Datenpanne ist ihre Verhinderung oder — wo das nicht gelingt — ihre rasche Erkennung. Art. 32 DSGVO verpflichtet den Verantwortlichen zu technischen und organisatorischen Maßnahmen (TOM), die dem Risiko der Verarbeitung angemessen sind. Dieser Pflichtrahmen ist untrennbar mit dem Meldepflichtregime verknüpft: Wer angemessene TOMs vorhält, kann bei einer Panne häufig das Risiko für Betroffene auf ein Maß reduzieren, das die Meldepflicht entfallen lässt oder zumindest die Bußgeldschwere mindert.
Aus der Beratungspraxis für mittelständische Unternehmen empfiehlt die Kanzlei ein strukturiertes Vorgehen in drei Schichten. Erstens: Prävention — Verschlüsselung von Datenträgern und Übertragungswegen, Zugangskontrollen mit Mehrfaktor-Authentifizierung, regelmäßige Mitarbeiterschulungen zu Phishing und Social Engineering. Zweitens: Detektion — Intrusion-Detection-Systeme oder vergleichbare Monitoring-Lösungen, klare interne Meldewege, damit Vorfälle nicht im Tagesgeschäft untergehen. Drittens: Reaktion — schriftlich fixierte Incident-Response-Prozesse, die Eskalationswege, Verantwortlichkeiten und den Meldeweg zur Aufsichtsbehörde verbindlich regeln.
Welche Maßnahmen konkret angemessen sind, hängt vom Verarbeitungsrisiko ab — die genaue Ausgestaltung ist im Einzelfall zu prüfen und sollte regelmäßig auf den Stand der Technik überprüft werden. Ein TOM-Konzept, das vor fünf Jahren state of the art war, kann heute unzureichend sein. Gerade Ransomware-Angriffe auf mittelständische Produktions- und Logistikunternehmen haben in den vergangenen Jahren gezeigt, dass selbst gut gemeinte Maßnahmen ohne regelmäßige Überprüfung und Schulung wirkungslos bleiben.
Der Auftragsverarbeitungsvertrag als Schnittstelle zur Meldepflicht
Viele Datenpannen entstehen nicht im eigenen Rechenzentrum, sondern beim Dienstleister: Cloud-Anbieter, Lohnbuchhaltungs-Software, CRM-System. Hier greift die Auftragsverarbeitungsstruktur des Art. 28 DSGVO — und die Qualität des Auftragsverarbeitungsvertrags (AVV) entscheidet, ob der Verantwortliche die 72-Stunden-Frist einhalten kann.
Art. 28 Abs. 3 lit. f DSGVO schreibt vor, dass der AVV den Auftragsverarbeiter verpflichtet, den Verantwortlichen bei der Einhaltung der Meldepflichten nach Art. 33 und 34 DSGVO zu unterstützen. Konkret bedeutet das: Der AVV muss eine vertragliche Pflicht des Dienstleisters zur unverzüglichen Meldung von Datenpannen an den Verantwortlichen enthalten — und zwar mit einer Frist, die dem Verantwortlichen ausreichend Zeit zur eigenen Bewertung und fristgerechten Behördenmeldung lässt. Marktüblich sind Fristen von 24 bis 36 Stunden im AVV.
Ein strukturell mangelhafter AVV — etwa einer, der die Meldepflicht des Dienstleisters nicht ausdrücklich regelt oder eine zu lange Reaktionszeit vorsieht — kann dazu führen, dass der Verantwortliche die 72-Stunden-Behördenfrist nicht einhalten kann, obwohl der Dienstleister den Vorfall intern bereits früher kannte. In einem solchen Fall ist die Pflichtverletzung aus Behördensicht regelmäßig dem Verantwortlichen zuzurechnen — er hat die vertragliche Absicherung versäumt.
Die Überprüfung und Anpassung bestehender AVVs ist daher ein eigenständiger Handlungsbedarf, der von der laufenden Datenpannen-Prävention nicht getrennt werden sollte. Erfahrungsgemäß enthalten insbesondere ältere AVVs mit etablierten Software-as-a-Service-Anbietern keine zeitlich präzisen Meldepflichten — was bei einem Vorfall teuer werden kann.
Praxisleitfaden: Die ersten 72 Stunden nach Bekanntwerden
Für den Geschäftsführer, der mit einer gemeldeten Datenpanne konfrontiert wird, stellt sich die Frage nicht theoretisch: Was ist jetzt, in den nächsten Stunden, zu tun? Der folgende strukturierte Überblick ersetzt keine anwaltliche Einzelfallberatung, gibt aber einen Orientierungsrahmen für die unmittelbare Reaktionsphase.
Stunde 0–4: Sofortige Schadensaufnahme und Eskalation. Zunächst: Den Vorfall intern sofort eskalieren — IT-Leitung, Datenschutzbeauftragter (sofern bestellt) und Geschäftsführung müssen gleichzeitig informiert werden. Parallele Sicherung von Logs und Beweisen; keine voreiligen Löschaktionen, die die forensische Aufklärung behindern könnten. Erste Kategorisierung: Welche Datenkategorien sind betroffen? Wie viele Personen potenziell? Besteht ein Risiko?
Stunde 4–24: Risikoeinschätzung und Entscheidung über Meldepflicht. Auf Basis der Sofortbewertung ist zu entscheiden, ob ein Risiko für betroffene Personen besteht. Ist die Meldepflicht dem Grunde nach gegeben, sollte spätestens in diesem Zeitfenster anwaltliche Begleitung eingeschaltet werden. Gleichzeitig: Kontaktaufnahme mit dem Auftragsverarbeiter, falls dieser involviert ist; Prüfung der vertraglichen Meldepflichten.
Stunde 24–48: Erstellung und Einreichung der Erstmeldung. Die Erstmeldung über das Meldeportal der zuständigen Aufsichtsbehörde einreichen — auch wenn noch nicht alle Details bekannt sind. Art. 33 Abs. 4 DSGVO erlaubt die stufenweise Nachlieferung. Wichtig: Den genauen Zeitpunkt der Einreichung dokumentieren.
Stunde 48–72 und danach: Nachmeldung und interne Dokumentation. Noch fehlende Informationen beschaffen und der Behörde nachliefern. Prüfung, ob eine Betroffenenbenachrichtigung nach Art. 34 DSGVO erforderlich ist. Lückenlose Dokumentation des gesamten Vorgangs gemäß Art. 33 Abs. 5 DSGVO. Einleitung von Abhilfemaßnahmen.
Klingt das nach einem beherrschbaren Ablauf? In der Realität entscheiden in dieser Phase nicht die rechtlichen Kenntnisse über den Ausgang, sondern die organisatorische Vorbereitung. Unternehmen, die einen Incident-Response-Plan vorhalten und ihre Mitarbeiter regelmäßig schulen, durchlaufen diese 72 Stunden erheblich geordneter als solche, die zum ersten Mal mit der Materie konfrontiert sind.
Bußgeldpraxis und Behördendialog: Was Unternehmen in der Praxis erwartet
Die Vorstellung, eine Datenpannenmeldung löse automatisch ein Bußgeldverfahren aus, ist in der Behördenpraxis nicht zutreffend — aber auch nicht vollständig falsch. Aufsichtsbehörden in Deutschland verfolgen unterschiedliche Ansätze: Einige Behörden nutzen die Meldung primär als Anlass für eine Beratung zu künftigen Schutzmaßnahmen; andere leiten bei erkennbaren strukturellen Mängeln ein förmliches Verfahren ein.
Bußgelder für Verstöße gegen Art. 33 DSGVO bewegen sich nach der bisher veröffentlichten Spruchpraxis der deutschen Aufsichtsbehörden regelmäßig im fünf- bis siebenstelligen Bereich für mittelständische Unternehmen. Der gesetzliche Rahmen reicht bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Bei schwereren Grundpflichtverstößen, die mit der Datenpanne zusammentreffen, kann der Bußgeldrahmen auf 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes steigen (Art. 83 Abs. 5 DSGVO).
Faktoren, die das Bußgeld mildernd beeinflussen: Eigenständige, frühzeitige Meldung; vollständige und kooperative Kommunikation mit der Behörde; nachgewiesene Abhilfemaßnahmen; keine Vorfälle in der Vergangenheit. Faktoren, die erschwerend wirken: Verzögerung oder Unterlassung der Meldung; unvollständige oder widersprüchliche Angaben; strukturelle organisatorische Mängel; Vorsatz oder grobe Fahrlässigkeit.
Der konstruktive Behördendialog beginnt mit der Meldung selbst — nicht erst im Bußgeldverfahren. Unternehmen, die strukturiert, transparent und vollständig melden, signalisieren Verantwortungsbewusstsein. Das ist kein Naivismus, sondern kalkuliertes Compliance-Verhalten: Die Behörde hat in solchen Fällen weniger Anlass, über die Meldung hinaus zu ermitteln.
Die vorstehende Darstellung betrifft die Regelfälle des Art. 33 DSGVO. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Behördenpraxis. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung der Meldepflicht in Ihrer Situation erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen zur Datenpanne und Meldepflicht
Ab wann beginnt die 72-Stunden-Frist für die Meldung einer Datenpanne?
Die Frist beginnt nicht erst mit vollständiger Aufklärung des Vorfalls, sondern mit dem „Bekanntwerden" — dem Zeitpunkt, zu dem der Verantwortliche hinreichenden Grund zur Annahme einer Datenschutzverletzung hat. In der Behördenpraxis gilt: Sobald ein Mitarbeiter oder Dienstleister intern einen verdächtigen Vorfall meldet, beginnt die Frist für die verantwortliche Stelle zu laufen. Klare interne Eskalationswege sind daher haftungsrelevant, nicht nur organisatorisch wünschenswert.
Was passiert, wenn nicht alle Informationen innerhalb von 72 Stunden vorliegen?
Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich die stufenweise Meldung: Eine Erstmeldung mit den verfügbaren Informationen muss fristgerecht eingehen; fehlende Details können durch Nachmeldungen ergänzt werden. Entscheidend ist, dass die Erstmeldung überhaupt innerhalb von 72 Stunden eingereicht wird. Eine verspätete, aber vollständige Meldung ist aus Behördensicht ungünstiger als eine fristgerechte, unvollständige Erstmeldung mit angekündigter Ergänzung.
Muss jede Datenpanne gemeldet werden?
Nein. Die Meldepflicht nach Art. 33 DSGVO entfällt, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen auslöst. Allerdings muss auch die Entscheidung gegen eine Meldung schriftlich dokumentiert und begründet sein. Im Zweifelsfall empfiehlt die Behördenpraxis — und die Kanzlei schließt sich dieser Linie an — die Meldung: Eine ungerechtfertigte Meldung ist bußgeldfrei; eine zu Unrecht unterlassene Meldung kann bußgeldbewehrt sein.
Wann müssen zusätzlich die Betroffenen selbst benachrichtigt werden?
Die Betroffenenbenachrichtigung nach Art. 34 DSGVO setzt einen höheren Schwellenwert voraus: ein hohes Risiko — nicht nur ein Risiko. Bei Kompromittierung von Zugangsdaten, Gesundheits- oder Finanzdaten wird dieser Schwellenwert regelmäßig erreicht. Gesonderte Fristen nennt Art. 34 DSGVO nicht, verlangt aber „unverzügliches" Handeln nach Feststellung des hohen Risikos.
Welche Behörde ist bei einer Datenpanne zuständig?
Zuständig ist grundsätzlich die Datenschutzaufsichtsbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Bei Unternehmen mit mehreren Niederlassungen in verschiedenen Bundesländern oder grenzüberschreitenden Verarbeitungstätigkeiten gilt das One-Stop-Shop-Prinzip: Die Behörde am Ort der Hauptniederlassung ist nach Art. 56 DSGVO federführend zuständig.
Haftet der Geschäftsführer persönlich für eine nicht gemeldete Datenpanne?
Bußgelder nach Art. 83 DSGVO treffen die juristische Person. Der Geschäftsführer kann jedoch im Innenverhältnis nach § 43 GmbHG haftbar gemacht werden, wenn er die organisatorischen Sorgfaltspflichten — insbesondere die Einrichtung funktionierender Meldeprozesse — verletzt hat. Bei inhabergeführten Gesellschaften ohne Fremdgeschäftsführung trägt der Gesellschafter-Geschäftsführer dieses Risiko in Personalunion.
Was muss ein Auftragsverarbeitungsvertrag zur Datenpanne regeln?
Art. 28 Abs. 3 lit. f DSGVO schreibt vor, dass der AVV den Auftragsverarbeiter zur Unterstützung bei der Erfüllung der Meldepflichten verpflichtet. Konkret bedeutet das eine vertragliche Meldepflicht des Dienstleisters gegenüber dem Verantwortlichen, die zeitlich so ausgestaltet sein muss, dass die eigene 72-Stunden-Frist eingehalten werden kann — marktüblich sind 24 bis 36 Stunden im AVV.
Die vorstehende Darstellung betrifft die Regelfälle des Art. 33 DSGVO. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Behördenpraxis in Ihrem Unternehmen. Zur Klärung, wie die datenschutzrechtliche Meldepflicht auf Ihre Strukturen und Verarbeitungstätigkeiten wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.