Datenpanne: Die 72-Stunden-Meldefrist nach Art. 33 DSGVO

Eine E-Mail mit Kundendaten an den falschen Empfänger, ein Laptop aus dem Auto gestohlen, ein ungepatchter Server: Sobald Sie von so einem Vorfall erfahren, startet eine Uhr, die kürzer läuft als jedes Wochenende. 72 Stunden nach Kenntnis will die Aufsichtsbehörde über die Panne informiert sein — wenn sie meldepflichtig ist. Was dahinter steckt, steht in Art. 33 und 34 DSGVO.

Was zählt als Verletzung des Schutzes personenbezogener Daten?

Art. 4 Nr. 12 DSGVO definiert den Begriff breit: jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten führt — oder zu unbefugter Offenlegung oder unbefugtem Zugang. Es geht also nicht nur um Hackerangriffe. Drei Klassiker aus dem Mittelstand:

• Vertraulichkeit: Die Lohnabrechnung geht an den falschen Verteiler, ein USB-Stick mit Kundendaten verschwindet, ein Ex-Mitarbeiter hat weiter Zugriff.
• Integrität: Daten werden unbefugt verändert — etwa durch Ransomware oder einen Manipulationsfehler im Bestand.
• Verfügbarkeit: Daten sind verloren oder dauerhaft nicht zugänglich — Festplattendefekt ohne Backup, versehentliches Löschen.

Sind gar keine personenbezogenen Daten betroffen — etwa ein rein technischer Ausfall ohne Personenbezug —, liegt keine DSGVO-Panne vor. Dokumentieren Sie den Vorfall und diese Einschätzung trotzdem kurz; das kostet zwei Minuten und beantwortet spätere Rückfragen.

Wann die 72 Stunden beginnen

Die Frist startet mit der Kenntnis der Verletzung (Art. 33 Abs. 1 DSGVO): dem Moment, in dem Ihr Unternehmen mit hinreichender Sicherheit weiß, dass ein Vorfall mit personenbezogenen Daten passiert ist. Nicht der Montag danach, nicht „nach dem Urlaub der IT-Leitung". Deshalb gehört zu jedem Panne-Vorgang als Erstes der Zeitstempel: Wann haben wir davon erfahren? Auf diesen „bemerkt am"-Zeitpunkt rechnet die Frist — und im Zweifel auch die Aufsichtsbehörde.

Meldepflicht: die Risiko-Frage entscheidet

Nicht jede Panne muss gemeldet werden. Die Schwelle ist das wahrscheinliche Risiko für die Rechte und Freiheiten der Betroffenen (Art. 33 Abs. 1 DSGVO). Drei Fragen bringen die Ersteinschätzung in eine belastbare Struktur:

Typische Risiko-Treiber: sensible Daten (Gesundheit, Finanzen, Ausweisdaten), viele Betroffene, Daten in fremden Händen ohne Schutz (unverschlüsselt), Identitätsdiebstahl-Potenzial. Umgekehrt spricht für „kein wahrscheinliches Risiko" etwa: Die Daten waren stark verschlüsselt und der Schlüssel ist nicht betroffen, oder der Irrläufer wurde nachweislich ungelesen gelöscht. Diese Ersteinschätzung ist Ihre Aufgabe als Verantwortlicher — halten Sie sie mit Gründen fest.

Was in die Behördenmeldung gehört

Die Meldung an die zuständige Aufsichtsbehörde beschreibt nach Art. 33 Abs. 3 DSGVO mindestens:

• die Art der Verletzung — was ist passiert (z. B. unbefugter Zugriff, Verlust, Fehlversand),
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze,
• den Ansprechpartner — Datenschutzbeauftragter oder eine andere Ansprechstelle,
• die wahrscheinlichen Folgen der Verletzung,
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung.

Praktisch wichtig: Die Meldung muss nicht vollständig sein, um fristwahrend zu sein. Liegen Informationen noch nicht vor, melden Sie mit dem, was Sie haben, und reichen den Rest unverzüglich nach (Art. 33 Abs. 4 DSGVO). Die 72 Stunden auf „vollständige Aufklärung" zu warten, ist der teuerste Irrtum in diesem Prozess. Und wenn die Frist doch einmal gerissen ist: melden Sie trotzdem — mit einer Erklärung der Gründe für die Verzögerung.

Hohes Risiko: Betroffene informieren (Art. 34)

Ist das Risiko für die Betroffenen voraussichtlich hoch, kommt zur Behördenmeldung die Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO): unverzüglich und „in klarer und einfacher Sprache". Konkret heißt das: Was ist passiert, welche Daten sind betroffen, was kann das für Sie bedeuten, was haben wir unternommen — und was können Sie selbst tun (z. B. Passwort ändern, auf verdächtige Nachrichten achten). Juristendeutsch ist hier fehl am Platz; die Information soll schützen, nicht beeindrucken.

Dokumentationspflicht — auch ohne Meldung

Unabhängig von der Meldefrage gilt: Sie müssen sämtliche Verletzungen dokumentieren — „unter Berücksichtigung der Einzelheiten der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen" (Art. 33 Abs. 5 DSGVO). Diese Dokumentation ist der Nachweis, mit dem die Aufsichtsbehörde die Einhaltung überprüfen kann. Wer nicht meldet, weil kein Risiko bestand, braucht die schriftliche Einschätzung umso dringender: Sie ist der einzige Beleg, dass die Nicht-Meldung eine Entscheidung war und kein Versehen.

Ihre Checkliste für die ersten 72 Stunden

• „Bemerkt am"-Zeitpunkt festhalten — davon rechnet die 72-Stunden-Frist
• Vorfall beschreiben: Was ist passiert, welche Daten, wie viele Betroffene?
• Melde-Check beantworten: Daten verletzt? Risiko wahrscheinlich? Hohes Risiko?
• Bei Risiko: Behördenmeldung binnen 72 Stunden — unvollständig melden, nachreichen (Art. 33 Abs. 4 DSGVO)
• Bei hohem Risiko: Betroffene in klarer, einfacher Sprache informieren (Art. 34 DSGVO)
• Melde- und Informations-Zeitpunkte dokumentieren
• Vorfall, Bewertung und Maßnahmen ablegen — auch ohne Meldung (Art. 33 Abs. 5 DSGVO)

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung von Datenpannen ist eine strukturierte Ersteinschätzung — die endgültige Bewertung und Verantwortung liegt beim Verantwortlichen.