Datenpanne: Was in den ersten 72 Stunden zu tun ist (Art. 33 und 34 DSGVO)

Ein verlorener Laptop mit Mandantenakten, eine E-Mail an den falschen Empfänger, ein Ransomware-Angriff oder ein kompromittiertes Konto eines Dienstleisters: All das sind Verletzungen des Schutzes personenbezogener Daten, wenn sie die Vertraulichkeit, Integrität oder Verfügbarkeit dieser Daten beeinträchtigen (Art. 4 Nr. 12 DSGVO). Zwischen einem beherrschbaren Vorfall und einer Sanktion entscheidet, wie Sie in den ersten Stunden reagieren.

Die Frist: 72 Stunden ab Kenntnis

Artikel 33 verpflichtet den Verantwortlichen, die Verletzung der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, zu melden. In Spanien ist das die Datenschutzbehörde AEPD, in Deutschland die zuständige Landesdatenschutzbehörde; beide bieten ein elektronisches Meldeformular an. Erfolgt die Meldung später, muss sie eine Begründung für die Verzögerung enthalten.

Die einzige Ausnahme: Die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Diese Einschätzung muss begründet und schriftlich festgehalten werden.

Ein Handlungsplan Stunde für Stunde

1. Vorfall eindämmen. Betroffene Systeme isolieren, kompromittierte Zugangsdaten widerrufen, Zugriffe sperren und Beweise (Protokolle, Systemabbilder) unverändert sichern.
2. Intern alarmieren. Die richtigen Personen einbinden: Geschäftsleitung, IT-Sicherheitsverantwortliche, gegebenenfalls Datenschutzbeauftragte und Rechtsberatung.
3. Fakten sammeln. Was ist passiert, wann wurde es entdeckt, welche Systeme und Datenkategorien sind betroffen und wie viele Personen könnten betroffen sein (anfangs genügt eine grobe Schätzung).
4. Risiko bewerten. Die Schwere möglicher Folgen für die Betroffenen einschätzen: Identitätsdiebstahl, finanzieller oder Reputationsschaden, Offenlegung besonderer Datenkategorien …
5. Entscheiden und dokumentieren. Besteht ein Risiko, melden Sie an die Behörde. Besteht keines, halten Sie die Begründung fest.
6. Betroffene benachrichtigen, wenn erforderlich (siehe unten).
7. Beheben und lernen. Ursache beseitigen, Maßnahmen nach Art. 32 überprüfen und Verzeichnis sowie Verfahren aktualisieren.

Inhalt der Meldung an die Behörde (Art. 33 Abs. 3)

• Die Art der Verletzung, mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze.
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle.
• Die wahrscheinlichen Folgen der Verletzung.
• Die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung der Auswirkungen.

Liegen nicht alle Informationen innerhalb der Frist vor, erlaubt Art. 33 Abs. 4, sie schrittweise zu liefern, ohne unangemessene weitere Verzögerung. Eine unvollständige Erstmeldung ist besser als eine vollständige, die zu spät kommt.

Wann auch die Betroffenen zu informieren sind (Art. 34)

Führt die Verletzung voraussichtlich zu einem hohen Risiko für ihre Rechte und Freiheiten, müssen Sie sie unverzüglich benachrichtigen – in klarer und einfacher Sprache, mit Angaben dazu, was passiert ist, welche Folgen drohen und wie sie sich schützen können. Nicht erforderlich ist dies, wenn:

• die Daten verschlüsselt oder geschützt waren, sodass sie für Unbefugte unzugänglich sind;
• Sie nachträgliche Maßnahmen getroffen haben, die sicherstellen, dass das hohe Risiko nicht mehr besteht; oder
• es mit einem unverhältnismäßigen Aufwand verbunden wäre – dann tritt eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme an die Stelle.

Wenn Sie Auftragsverarbeiter sind

Der Auftragsverarbeiter muss dem Verantwortlichen eine Verletzung unverzüglich melden, sobald sie ihm bekannt wird (Art. 33 Abs. 2). Prüfen Sie, ob Ihre Verträge nach Art. 28 konkrete Fristen und Kanäle festlegen: Die 72 Stunden des Verantwortlichen laufen ab dessen Kenntnis, und jede Stunde, die der Dienstleister bis zur Meldung braucht, geht verloren.

Jede Verletzung dokumentieren – auch kleine

Art. 33 Abs. 5 verlangt, jede Verletzung zu dokumentieren: Tatsachen, Auswirkungen und ergriffene Abhilfemaßnahmen, damit die Behörde dies überprüfen kann. Ein sauber geführtes Vorfallsregister ist einer der stärksten Sorgfaltsnachweise.

Vorbereitung, bevor etwas passiert

• Erstellen Sie ein Reaktionsprotokoll mit Verantwortlichen, Kontakten und Meldevorlagen.
• Legen Sie fest, wie ein Vorfall erkannt und eskaliert wird: Jede Mitarbeiterin und jeder Mitarbeiter muss wissen, wen sie oder er wie schnell informiert.
• Führen Sie mindestens einmal jährlich einfache Übungen durch.
• Halten Sie isolierte Backups, Zugriffskontrolle und Verschlüsselung der Laptops vor.
• Halten Sie Ihre Rechts- und Kontaktdokumente aktuell. Ein zentrales Verwaltungssystem wie LegalCloud sorgt dafür, dass Datenschutzerklärung und Texte stets das geltende Verfahren abbilden.

Die Artikel 33 und 34 finden Sie auf EUR-Lex, die Leitlinien des Europäischen Datenschutzausschusses zur Meldung von Verletzungen unter edpb.europa.eu und praktische Hinweise bei der AEPD. Dieser Inhalt dient nur der Information und ist keine Rechtsberatung.