Ein Produktionsunternehmen aus dem Mittelstand stellt an einem Montagmorgen fest, dass ein Server unverschlüsselt im Netz erreichbar war – Kundendaten, Lieferantenverträge, interne Gehaltsinformationen: alles exponiert. Wann genau begann die Exposition? Wer ist betroffen? Was muss jetzt geschehen, und vor allem: wann? Diese Fragen stellen sich hunderte Geschäftsführer jedes Jahr, oft unter erheblichem Zeitdruck.
Verantwortliche im Sinne der DSGVO sind verpflichtet, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzbehörde zu melden – soweit das Risiko für betroffene Personen nicht vernachlässigbar ist (Art. 33 DSGVO). Die Frist beginnt nicht erst mit der abgeschlossenen internen Untersuchung, sondern sobald hinreichende Anhaltspunkte für eine meldepflichtige Verletzung vorliegen. Für Geschäftsführer mittelständischer Unternehmen bedeutet das: Sofortmaßnahmen, strukturierte Beweissicherung und eine rechtssichere Meldung müssen parallel anlaufen.
Dieser Beitrag analysiert die Normstruktur des Art. 33 DSGVO, klärt die häufigsten Auslegungs- und Abgrenzungsfragen, beleuchtet die Haftungsrisiken für Geschäftsführer und zeigt, wie ein strukturierter Reaktionsprozess aussieht, der die Anforderungen der Datenschutzbehörden erfüllt.
Warum Art. 33 DSGVO mehr ist als eine Meldeformalität
Art. 33 DSGVO (Datenschutz-Grundverordnung) ist keine bloße Benachrichtigungspflicht – er ist der rechtliche Dreh- und Angelpunkt des gesamten Incident-Response-Prozesses. Die Norm verlangt vom Verantwortlichen eine strukturierte Reaktion, die Dokumentation, interne Eskalation und behördliche Kommunikation gleichzeitig in Gang setzt.
Nach unserer Erfahrung in der Mandatspraxis ist die häufigste Fehlerquelle nicht die Meldung an sich, sondern das Missverständnis, wann die Frist anläuft. Art. 33 Abs. 1 DSGVO stellt ausdrücklich auf das „Bekanntwerden" beim Verantwortlichen ab – nicht auf das Ergebnis einer abgeschlossenen forensischen Analyse. Sobald der Geschäftsführer oder ein Mitarbeiter in einer verantwortlichen Funktion hinreichend konkrete Anhaltspunkte hat, dass eine Schutzverletzung stattgefunden haben könnte, beginnt die Uhr zu laufen.
Was bedeutet das praktisch? Der häufig anzutreffende Ansatz „erst untersuchen, dann melden" ist mit dem Normtext und der Praxis der deutschen Datenschutzbehörden unvereinbar. Die 72-Stunden-Frist des Art. 33 DSGVO läuft ab dem Zeitpunkt, zu dem das Unternehmen erstmals Kenntnis von der Verletzung erlangt. Wer mit der Meldung wartet, bis alle Details feststehen, verletzt die Frist – selbst wenn die Meldung inhaltlich vollständig ist.
Die Norm sieht für diesen Konflikt eine explizite Lösung vor: Art. 33 Abs. 4 DSGVO erlaubt die stufenweise Meldung. Zunächst erfolgt eine Erstmeldung mit den verfügbaren Informationen; weitere Angaben können nachgereicht werden. Dieses Instrument wird in der Praxis zu selten genutzt, obwohl es die Frist entlastet und Bußgeldrisiken erheblich reduziert.
Welche Verletzungen lösen die Meldepflicht aus?
Nicht jede Datenpanne ist meldepflichtig – die Meldepflicht des Art. 33 DSGVO setzt eine Verletzung des Schutzes personenbezogener Daten voraus, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Norm enthält damit eine eingebettete Risikoschwelle, deren Bewertung eine der zentralen Herausforderungen jedes Incident-Response-Prozesses darstellt.
Art. 4 Nr. 12 DSGVO definiert die Schutzverletzung weit: unbefugter Zugang, Verlust, Veränderung, unbefugte Offenlegung oder Vernichtung personenbezogener Daten. Der Begriff ist dreiteilig: Vertraulichkeitsverletzung (unbefugter Zugang/Offenlegung), Integritätsverletzung (unerlaubte Veränderung) und Verfügbarkeitsverletzung (Zerstörung/Verlust). Ein Ransomware-Angriff, der Daten verschlüsselt ohne bekannten Datenabfluss, kann daher bereits allein als Verfügbarkeitsverletzung die Meldepflicht auslösen – ein in der Praxis unterschätzter Sachverhalt.
Die Risikobewertung ist zweistufig. Für die Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO genügt ein bloßes – nicht unerhebliches – Risiko. Für die zusätzliche Benachrichtigungspflicht gegenüber den betroffenen Personen nach Art. 34 DSGVO ist hingegen ein „hohes Risiko" erforderlich. Diese Unterscheidung ist in der Praxis erheblich, da Art. 34 DSGVO mit Reputationsrisiken und direkten Ansprüchen Betroffener verbunden ist.
Faktoren für die Risikobewertung umfassen: Art und Sensitivität der betroffenen Daten (Gesundheitsdaten, Bankverbindungen, besondere Kategorien nach Art. 9 DSGVO), Umfang der betroffenen Personen, Identifizierbarkeit der Betroffenen, wahrscheinliche Folgen (Identitätsdiebstahl, Diskriminierung, finanzieller Schaden), Maßnahmen zur Risikominderung (z. B. Verschlüsselung). Wir beraten regelmäßig Unternehmen, die bei dieser Risikobewertung unter Zeitdruck stehen – und die dabei unterschätzen, dass eine fehlerhafte Einschätzung nicht nur Bußgeldrisiken, sondern auch zivilrechtliche Haftungsansprüche Betroffener auslösen kann.
Wann beginnt die 72-Stunden-Frist – und wie ist sie zu berechnen?
Die Fristberechnung ist eine der praktisch bedeutsamsten und gleichzeitig missverständlichsten Fragen des Datenschutzrechts. Art. 33 Abs. 1 DSGVO bestimmt: die Meldung hat „unverzüglich und möglichst binnen 72 Stunden, nachdem dem Verantwortlichen die Verletzung bekannt wurde", zu erfolgen.
Das Bekanntwerden setzt einen hinreichenden Verdacht voraus – keine Gewissheit. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien klargestellt, dass ein Verantwortlicher als „Kenntnis habend" gilt, sobald er über ausreichende Sicherheit verfügt, dass ein Sicherheitsereignis eingetreten ist, das den Schutz personenbezogener Daten verletzt. Konkret: Wenn ein IT-Administrator am Dienstagmorgen um 08:00 Uhr feststellt, dass ein Produktivsystem seit dem Wochenende kompromittiert sein könnte, beginnt die Frist spätestens mit dieser Feststellung – nicht erst wenn die forensische Analyse Freitagabend abgeschlossen ist.
Die 72 Stunden laufen kalendarisch – Wochenenden und Feiertage unterbrechen die Frist nicht. Dieser Punkt ist im deutschen Mittelstand besonders relevant, da viele Datenpannen erst am Wochenende oder nach Betriebsschluss entdeckt werden. Eine am Freitag um 18:00 Uhr entdeckte Datenpanne muss bis Montag 18:00 Uhr gemeldet sein. Behörden bieten zwar teils Erreichbarkeit außerhalb der Bürozeiten, doch verlässt man sich besser nicht darauf.
Welche Folgen hat eine Fristüberschreitung? Die Datenschutzbehörden werten die Überschreitung als eigenständigen Verstoß – unabhängig davon, ob die zugrundeliegende Schutzverletzung selbst schwerwiegend war. In der Entscheidungspraxis der deutschen Aufsichtsbehörden führt eine unbegründete Fristverspätung regelmäßig zu Bußgeldverfahren. DSGVO-Bußgelder können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes erreichen (Art. 83 DSGVO), wobei die Behörden bei bloßer Fristverspätung ohne weitere Schwere des Falles in der Praxis deutlich geringere Beträge verhängen – jedoch immer noch in einem für den Mittelstand erheblichen Bereich.
Inhalt der Meldung: Was Aufsichtsbehörden erwarten
Art. 33 Abs. 3 DSGVO legt den Mindestinhalt der Meldung fest. Diese Anforderungen sind nicht nur formal – sie geben der Behörde die Grundlage, um die Schwere des Vorfalls und die Angemessenheit der Reaktion zu beurteilen. Eine inhaltlich unvollständige Meldung kann trotz fristgerechter Einreichung zu Nachfragen, verlängerter Behördenprüfung und letztlich Bußgeldern führen.
Der Mindestinhalt umfasst: (1) eine Beschreibung der Art der Schutzverletzung, einschließlich der betroffenen Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; (2) Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle; (3) eine Beschreibung der wahrscheinlichen Folgen; (4) eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
Entscheidend ist die Formulierung der Abhilfemaßnahmen. Aufsichtsbehörden erwarten keine Perfektion – sie erwarten Verhältnismäßigkeit und Nachvollziehbarkeit. Ein Verantwortlicher, der bei der Erstmeldung darlegen kann, dass er den betroffenen Server isoliert, betroffene Nutzer intern informiert und eine externe forensische Analyse in Auftrag gegeben hat, demonstriert die von Art. 5 Abs. 2 DSGVO geforderte Rechenschaftspflicht.
Für die Meldung an die zuständige Aufsichtsbehörde stehen in Deutschland die Meldeportale der jeweiligen Landesbehörden oder der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zur Verfügung – je nach Zuständigkeit nach Art. 55 DSGVO. Bei länderübergreifenden oder europäischen Sachverhalten gilt das One-Stop-Shop-Verfahren gemäß Art. 56 DSGVO.
Nach unserer Erfahrung unterschätzen viele Unternehmen den Aufwand für eine qualifizierte Erstmeldung. Wer keine vorbereiteten Meldvorlagen und keine geklärten internen Eskalationswege hat, verliert wertvolle Stunden – oft mehr als die Frist zulässt.
Haftungsrisiken für Geschäftsführer: Welche persönlichen Konsequenzen drohen?
Die Frage, die Geschäftsführer mittelständischer Unternehmen am stärksten bewegt, ist nicht die abstrakte Bußgeldhöhe, sondern die persönliche Haftung. Hier divergieren gesellschaftsrechtliche und datenschutzrechtliche Haftungslogiken auf eine Weise, die in der Beratungspraxis häufig nicht ausreichend differenziert wird.
Auf der Ebene des Datenschutzrechts richtet sich die Bußgeldhaftung nach Art. 83 DSGVO gegen den Verantwortlichen als Organisation. In Deutschland ist die Haftungszurechnung an juristische Personen nach den Grundsätzen des OWiG geregelt – für GmbH und AG trifft das Bußgeld das Unternehmen. Der Geschäftsführer persönlich haftet nach Art. 83 DSGVO nicht unmittelbar als natürliche Person, soweit er in seiner Funktion als Organ des Unternehmens handelte.
Jedoch eröffnen sich gesellschaftsrechtliche Haftungswege: Ergreift der Geschäftsführer die gebotenen Maßnahmen zur Prävention und Reaktion nicht, kann er der Gesellschaft gegenüber nach § 43 GmbHG persönlich schadensersatzpflichtig werden. Dies umfasst sowohl die unterlassene Einrichtung eines Datenschutzmanagementsystems als auch die verspätete oder fehlerhafte Meldung einer Datenpanne. In Insolvenzszenarien kann zudem die strafrechtliche Dimension relevant werden.
Daneben bestehen Ansprüche betroffener Personen nach Art. 82 DSGVO auf Schadensersatz – materieller und immaterieller Art. Der EuGH hat in mehreren Entscheidungen klargestellt, dass auch immaterielle Schäden durch bloße Beeinträchtigung der Kontrolle über eigene Daten entschädigungspflichtig sein können. Für mittelständische Unternehmen mit Kundendaten in großem Umfang kann die Summe dieser Ansprüche erheblich sein.
Ist Ihr Unternehmen durch eine Cyberversicherung abgedeckt? Die meisten Cyberversicherungsverträge enthalten Obliegenheiten, die eine fristgerechte Meldung gegenüber der Aufsichtsbehörde und dem Versicherer vorschreiben. Wer die 72-Stunden-Frist verstreichen lässt, riskiert unter Umständen den Versicherungsschutz – ein in der Praxis gravierendes Zusatzrisiko, das selten explizit kommuniziert wird.
Die Rolle des Auftragsverarbeiters: Wer meldet bei wem?
In modernen Unternehmensstrukturen werden personenbezogene Daten häufig nicht vom Verantwortlichen selbst, sondern durch beauftragte Dienstleister – Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO – verarbeitet. Cloud-Anbieter, IT-Dienstleister, Lohnbuchhaltungssoftware, CRM-Systeme: die Verarbeitungskette ist in der Praxis vielschichtig.
Art. 33 Abs. 2 DSGVO regelt die Meldepflicht des Auftragsverarbeiters klar: Er hat eine Datenpanne unverzüglich dem Verantwortlichen zu melden – nicht der Aufsichtsbehörde. Die behördliche Meldepflicht trifft ausschließlich den Verantwortlichen. Diese Weichenstellung hat erhebliche praktische Konsequenzen: Der Verantwortliche beginnt, sobald sein Auftragsverarbeiter ihn informiert, mit dem Lauf der 72-Stunden-Frist. Ist die Meldung des Auftragsverarbeiters lückenhaft oder verspätet, geht das Fristrisiko gleichwohl zu Lasten des Verantwortlichen.
Ein rechtskonformer Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO muss daher ausdrückliche Regelungen zur Meldepflicht des Auftragsverarbeiters, zur Informationspflicht und zu Reaktionszeiten enthalten. Wer dies nicht vertraglich fixiert hat, sitzt im Fristfall auf einem Informationsdefizit – ohne rechtliche Handhabe gegen den Dienstleister.
Wie sieht das in der Praxis aus? Wir sehen in Mandaten regelmäßig, dass AVVs zwar formal abgeschlossen wurden, aber keine operativen Regelungen zur Incident Response enthalten. Der Auftragsverarbeiter meldet nach 24 Stunden, der Verantwortliche erhält lückenhafte Informationen, und die behördliche Meldung muss auf Basis unvollständiger Daten erfolgen. Diese Konstellation lässt sich durch sorgfältig gestaltete Vertragsklauseln und interne Eskalationsprozesse vermeiden.
Dokumentationspflicht und Rechenschaftsprinzip: Die andere Seite der Meldepflicht
Art. 33 Abs. 5 DSGVO enthält eine Anforderung, die häufig übersehen wird: Der Verantwortliche hat sämtliche Verletzungen des Schutzes personenbezogener Daten zu dokumentieren – auch solche, bei denen er zu dem Ergebnis kommt, dass keine Meldepflicht besteht. Diese Pflicht ist die operative Basis des Rechenschaftsprinzips nach Art. 5 Abs. 2 DSGVO.
Die Dokumentation muss den Sachverhalt, die Folgenabschätzung, die Entscheidung über die Meldepflicht und die ergriffenen Maßnahmen enthalten. Sie ist dauerhaft zu führen – als Datenschutzvorfall-Register – und muss im Fall einer Behördenprüfung vollständig vorgelegt werden können. Unvollständige oder nicht geführte Vorfallregister sind für sich genommen bußgeldbewehrt.
Für Geschäftsführer bedeutet das: Nicht nur die gemeldeten Datenpannen sind zu dokumentieren, sondern auch die internen Prüfungsprozesse für Vorfälle, die letztlich als nicht meldepflichtig eingestuft wurden. Diese Dokumentation schützt das Unternehmen im Nachhinein – wenn die Aufsichtsbehörde Jahre später einen Vorfall prüft, der seinerzeit als intern eingestuft wurde.
Wie lange ist die Dokumentation aufzubewahren? Die DSGVO selbst nennt keine Aufbewahrungsfrist für das Datenpannen-Register. Die Empfehlung der Aufsichtsbehörden und der Literatur lautet, die Dokumentation mindestens für die Dauer der regulären Verjährungsfrist aufzubewahren. Da Bußgeldverfahren in bestimmten Konstellationen noch Jahre nach dem Vorfall eingeleitet werden können, empfiehlt sich eine Aufbewahrung von mindestens drei bis fünf Jahren.
Der strukturierte Reaktionsprozess: Sechs operative Schritte nach einer Datenpanne
Theorie und Praxis klaffen im Datenschutz-Incident-Response besonders weit auseinander. Wer einen Vorfall ohne vorbereiteten Reaktionsprozess bewältigen muss, verliert Zeit, macht vermeidbare Fehler und erhöht das Bußgeldrisiko. Der folgende strukturierte Prozess orientiert sich an den Anforderungen der Art. 33, 34 und 82 DSGVO sowie an der veröffentlichten Praxis der deutschen Datenschutzbehörden.
Schritt 1 – Sofortmaßnahmen und Erstbewertung (0–4 Stunden): Unmittelbar nach der Entdeckung ist der betroffene Bereich zu isolieren (Server vom Netz nehmen, Zugänge sperren), ein initialer Berichtspfad zu aktivieren (IT-Sicherheit, Datenschutzbeauftragter, Geschäftsführung) und eine Erstbewertung vorzunehmen: Welche Datenkategorien könnten betroffen sein? Wie viele Personen? Besteht ein Risiko im Sinne der DSGVO?
Schritt 2 – Dokumentation des Vorfalls (parallel zu Schritt 1): Zeitstempel, Entdeckungsweg, erstbewertete Sachverhalte werden sofort im Datenpannen-Register erfasst. Diese Dokumentation darf nicht bis zur abgeschlossenen Untersuchung warten – sie begleitet den gesamten Prozess.
Schritt 3 – Fristmanagement (4–12 Stunden): Das Fristende für die 72-Stunden-Meldung wird verbindlich berechnet und im internen Ablaufplan fixiert. Sofern absehbar ist, dass eine vollständige Meldung nicht möglich sein wird, ist die stufenweise Meldung nach Art. 33 Abs. 4 DSGVO vorzubereiten.
Schritt 4 – Behördliche Erstmeldung (spätestens Stunde 72): Die Meldung erfolgt über das Portal der zuständigen Aufsichtsbehörde. Auch wenn noch nicht alle Informationen vorliegen, sollte die Meldung fristgerecht abgeschickt werden; fehlende Details sind ausdrücklich als „noch nicht bekannt, wird nachgereicht" zu kennzeichnen. Verzögerungen sind aktiv zu begründen.
Schritt 5 – Bewertung der Benachrichtigungspflicht nach Art. 34 DSGVO (Stunde 48–72): Parallel zur Behördenmeldung ist zu prüfen, ob das Risiko für betroffene Personen als „hoch" einzustufen ist. Ist das der Fall, sind die Betroffenen unverzüglich direkt zu informieren.
Schritt 6 – Nachmeldung und Aufarbeitung: Sobald die forensische Analyse vollständig ist, wird die Meldung bei der Aufsichtsbehörde ergänzt. Interne Maßnahmen zur Prävention künftiger Vorfälle werden dokumentiert und umgesetzt.
Mikro-Fall aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Produktionsunternehmen mit rund 200 Mitarbeitern, das nach einem Phishing-Angriff auf ein Mitarbeiterpostfach feststellen musste, dass über mehrere Tage hinweg auf Lieferanten- und Kundendaten zugegriffen worden sein könnte. Ausgangslage: Der Vorfall wurde einem Mitglied der Geschäftsführung an einem Freitagabend mitgeteilt; ein interner Datenschutzbeauftragter war vorhanden, jedoch ohne vorbereitete Incident-Response-Abläufe. Vorgehen: Die Kanzlei begleitete das Unternehmen bei der Erstbewertung, der Fristberechnung und der Vorbereitung einer stufenweisen Erstmeldung, die Montagmorgen fristgerecht eingereicht wurde. Parallel wurden die Anforderungen nach Art. 34 DSGVO bewertet und die Dokumentation im Datenpannen-Register vervollständigt. Ergebnis: Die zuständige Aufsichtsbehörde bestätigte den Eingang und forderte innerhalb von zwei Wochen ergänzende Informationen an, die nachgereicht werden konnten; ein Bußgeldverfahren wurde nicht eingeleitet.
Typische Fehler und wie sie sich vermeiden lassen
Die Datenschutzpraxis zeigt ein wiederkehrendes Muster: Unternehmen, die unter dem Druck einer akuten Datenpanne agieren, machen vorhersehbare Fehler – nicht aus Nachlässigkeit, sondern weil die Strukturen für den Ernstfall nicht vorbereitet wurden. Kennt man diese Fehler im Voraus, lassen sie sich durch einfache organisatorische Maßnahmen eliminieren.
Fehler 1 – Fristbeginn falsch bestimmen: Der verbreitete Irrtum, die 72-Stunden-Frist beginne erst mit gesicherter Kenntnis, ist normwidrig. Abhilfe: interne Richtlinie, die den Fristbeginn bei jedem konkreten Verdacht aktiviert.
Fehler 2 – Intern entscheiden statt zu melden: Unternehmen stufen Vorfälle intern als „nicht meldepflichtig" ein, ohne diese Entscheidung zu dokumentieren. Abhilfe: Jede Entscheidung – meldepflichtig oder nicht – im Datenpannen-Register mit Begründung festhalten.
Fehler 3 – AVV-Lücken bei Auftragsverarbeitern: Fehlende oder unklare Regelungen zur Meldepflicht des Dienstleisters lassen das Fristrisiko beim Verantwortlichen. Abhilfe: AVV-Revision mit expliziten Reaktionszeiten und Informationspflichten.
Fehler 4 – Datenschutzbeauftragten zu spät einbinden: Der Datenschutzbeauftragte nach Art. 37 DSGVO ist primäre interne Anlaufstelle. Eine Einbindung nach 48 Stunden ist regelmäßig zu spät für eine qualifizierte Erstmeldung.
Fehler 5 – Kommunikation nach außen ohne Rechtsberatung: Öffentliche Stellungnahmen, Pressemitteilungen oder direkte Kommunikation mit betroffenen Kunden vor Abstimmung mit dem Datenschutzbeauftragten und rechtlicher Begleitung können die Rechtslage verschlechtern. Abhilfe: Kommunikationssperren bis zur Klärung der Meldestrategie.
Welche dieser Fehler sind in Ihrem Unternehmen möglicherweise systemisch angelegt – weil Prozesse fehlen, nicht weil Mitarbeiter nachlässig sind?
Prävention: Welche Maßnahmen die Meldepflicht entschärfen
Die beste Datenpanne ist die, die gar nicht erst zu einer Meldepflicht führt – oder zumindest zu keiner Benachrichtigungspflicht gegenüber den Betroffenen nach Art. 34 DSGVO. Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO sind nicht nur eine Compliance-Pflicht, sondern ein unmittelbares Schutzinstrument.
Verschlüsselung personenbezogener Daten ist die wirkungsvollste Einzelmaßnahme: Art. 34 Abs. 3 lit. a DSGVO stellt klar, dass keine Benachrichtigungspflicht gegenüber Betroffenen besteht, wenn die betroffenen Daten für Unbefugte unverständlich sind – etwa weil sie verschlüsselt vorlagen und der Schlüssel nicht kompromittiert wurde. Vollständige Datenverschlüsselung kann also die Pflicht zur Betroffenenbenachrichtigung vollständig entfallen lassen.
Weitere wirksame Maßnahmen: Zwei-Faktor-Authentifizierung für alle Zugänge zu Systemen mit personenbezogenen Daten, regelmäßige Penetrationstests und Schwachstellenscans, interne Schulungen zur Phishing-Erkennung, segmentierte Netzwerkarchitektur zur Begrenzung der lateralen Ausbreitung eines Angriffs und ein erprobter Incident-Response-Plan.
Die Wirksamkeit dieser Maßnahmen ist gemäß Art. 32 Abs. 1 DSGVO regelmäßig zu überprüfen. Das bedeutet nicht nur Dokumentation, sondern operative Überprüfung: Tabletop-Übungen, regelmäßige Tests des Incident-Response-Prozesses und dokumentierte Ergebnisse.
Die vorstehende Darstellung betrifft die Regelfälle nach Art. 33 DSGVO. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsunterlagen, Ihrer AVV-Struktur, bestehender TOMs und der einschlägigen Aufsichtsbehördenpraxis in Ihrem Bundesland. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur Datenpanne und Meldepflicht binnen 72 Stunden
Was gilt als „Bekanntwerden" im Sinne des Art. 33 DSGVO für den Fristbeginn?
Bekanntwerden setzt keinen abschließend geklärten Sachverhalt voraus. Die Frist beginnt, sobald der Verantwortliche hinreichend konkrete Anhaltspunkte für eine Schutzverletzung hat – also wenn ein Mitarbeiter in verantwortlicher Funktion einen Verdacht mitteilt, der sich auf ein konkretes Ereignis bezieht. Wer intern weiter ermittelt, ohne die Frist zu starten, riskiert eine Fristüberschreitung. Im Zweifel empfiehlt sich die stufenweise Meldung nach Art. 33 Abs. 4 DSGVO, die eine Erstmeldung mit vorläufigen Informationen und spätere Ergänzungen ausdrücklich erlaubt.
Muss jede Datenpanne der Aufsichtsbehörde gemeldet werden?
Nein. Art. 33 Abs. 1 DSGVO sieht eine Ausnahme vor: Ist es unwahrscheinlich, dass die Schutzverletzung ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, entfällt die Meldepflicht gegenüber der Aufsichtsbehörde. Diese Ausnahme ist eng auszulegen und die Entscheidung ist zwingend im Datenpannen-Register zu dokumentieren. Betreffen die Daten besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten, biometrische Daten), ist die Meldepflicht nahezu immer gegeben.
Wer ist in Deutschland zuständige Aufsichtsbehörde für die Meldung?
Die Zuständigkeit richtet sich nach der Niederlassung des Verantwortlichen. Für Unternehmen mit Sitz in einem deutschen Bundesland ist die jeweilige Landesdatenschutzbehörde zuständig (z. B. das Bayerische Landesamt für Datenschutzaufsicht für private Unternehmen in Bayern). Bei länderübergreifenden oder grenzüberschreitenden Verarbeitungen kann das One-Stop-Shop-Prinzip nach Art. 56 DSGVO eingreifen, das die federführende Aufsichtsbehörde am Ort der Hauptniederlassung bestimmt.
Was passiert, wenn die 72-Stunden-Frist nicht eingehalten wird?
Eine Fristüberschreitung stellt einen eigenständigen Verstoß gegen Art. 33 DSGVO dar und kann unabhängig von der Schwere der zugrundeliegenden Datenpanne zu einem Bußgeldverfahren führen. Gemäß Art. 83 Abs. 4 DSGVO können für Verstöße gegen Art. 33 DSGVO Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes verhängt werden. Daneben können gesellschaftsrechtliche Haftungsansprüche gegen die Geschäftsführung entstehen, wenn das Versäumnis auf organisatorische Mängel zurückzuführen ist.
Welche Pflichten hat der Auftragsverarbeiter bei einer Datenpanne?
Der Auftragsverarbeiter ist nach Art. 33 Abs. 2 DSGVO verpflichtet, eine Datenpanne unverzüglich dem Verantwortlichen zu melden. Die behördliche Meldung obliegt ausschließlich dem Verantwortlichen. Im Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO sollten Reaktionszeiten, Informationstiefe und Eskalationswege konkret geregelt sein, damit der Verantwortliche die 72-Stunden-Frist einhalten kann. Verpassen Sie als Verantwortlicher die Frist, weil der Auftragsverarbeiter zu spät oder lückenhaft informiert hat, schützt Sie das ohne vertragliche Rückgriffsoption nicht vor behördlichen Maßnahmen.
Müssen auch betroffene Personen direkt benachrichtigt werden?
Nur bei „hohem Risiko": Art. 34 DSGVO verpflichtet den Verantwortlichen zur direkten Benachrichtigung betroffener Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat. Das ist eine höhere Schwelle als die Meldepflicht nach Art. 33 DSGVO. Ausnahmen bestehen u. a., wenn die Daten wirksam verschlüsselt waren oder der Verantwortliche nachträglich Maßnahmen ergriffen hat, die ein hohes Risiko nicht mehr wahrscheinlich erscheinen lassen.
Die vorstehende rechtliche Würdigung bildet den typischen Rahmen des Art. 33 DSGVO ab. Ihr konkreter Vorfall hängt von den Umständen der Entdeckung, der Datenkategorien und der Struktur Ihrer Auftragsverarbeitung ab. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung der Meldepflicht in Ihrem Fall wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.