Datenpanne: Die 72-Stunden-Meldefrist nach Art. 33 DSGVO

Eine E-Mail mit Kundendaten an den falschen Empfänger, ein Laptop aus dem Auto gestohlen, ein ungepatchter Server: Sobald Sie von so einem Vorfall erfahren, startet eine Uhr, die kürzer läuft als jedes Wochenende. 72 Stunden nach Kenntnis will die Aufsichtsbehörde über die Panne informiert sein, sofern sie meldepflichtig ist. Was dahinter steckt, steht in Art. 33 und 34 DSGVO.

Was zählt als Verletzung des Schutzes personenbezogener Daten?

Art. 4 Nr. 12 DSGVO definiert den Begriff breit: jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten führt, oder zu unbefugter Offenlegung oder unbefugtem Zugang. Es geht also nicht nur um Hackerangriffe. Drei Klassiker aus dem Mittelstand:

• Vertraulichkeit: Die Lohnabrechnung geht an den falschen Verteiler, ein USB-Stick mit Kundendaten verschwindet, ein Ex-Mitarbeiter hat weiter Zugriff.
• Integrität: Daten werden unbefugt verändert, etwa durch Ransomware oder einen Manipulationsfehler im Bestand.
• Verfügbarkeit: Daten sind verloren oder dauerhaft nicht zugänglich: Festplattendefekt ohne Backup, versehentliches Löschen.

Sind gar keine personenbezogenen Daten betroffen, etwa bei einem rein technischen Ausfall ohne Personenbezug, liegt keine DSGVO-Panne vor. Dokumentieren Sie den Vorfall und diese Einschätzung trotzdem kurz; das kostet zwei Minuten und beantwortet spätere Rückfragen.

Wann die 72 Stunden beginnen

Die Frist startet mit der Kenntnis der Verletzung (Art. 33 Abs. 1 DSGVO): dem Moment, in dem Ihr Unternehmen mit hinreichender Sicherheit weiß, dass ein Vorfall mit personenbezogenen Daten passiert ist. Nicht der Montag danach, nicht „nach dem Urlaub der IT-Leitung“. Deshalb gehört zu jedem Panne-Vorgang als Erstes der Zeitstempel: Wann haben wir davon erfahren? Auf diesen „bemerkt am“-Zeitpunkt rechnet die Frist, und im Zweifel auch die Aufsichtsbehörde.

Notieren Sie Datum und Uhrzeit: Bei einer Frist, die nach Stunden bemessen ist, sagt ein Datum allein zu wenig. Die verbleibenden Stunden lesen Sie ohne Anmeldung auf der Seite 72-Stunden-Frist nach einer Datenpanne berechnen ab.

Meldepflicht: die Risiko-Frage entscheidet

Nicht jede Panne muss gemeldet werden. Die Schwelle ist das wahrscheinliche Risiko für die Rechte und Freiheiten der Betroffenen (Art. 33 Abs. 1 DSGVO). Drei Fragen bringen die Ersteinschätzung in eine belastbare Struktur:

Typische Risiko-Treiber: sensible Daten (Gesundheit, Finanzen, Ausweisdaten), viele Betroffene, Daten in fremden Händen ohne Schutz (unverschlüsselt), Identitätsdiebstahl-Potenzial. Umgekehrt spricht für „kein wahrscheinliches Risiko“ etwa: Die Daten waren stark verschlüsselt und der Schlüssel ist nicht betroffen, oder der Irrläufer wurde nachweislich ungelesen gelöscht. Diese Ersteinschätzung ist Ihre Aufgabe als Verantwortlicher. Halten Sie sie mit Gründen fest.

Dieselben Fragen stellt die Seite Meldepflicht prüfen einzeln nacheinander. Wichtig dabei: Eine Frage, die Sie noch nicht beantworten können, bleibt offen und gilt nicht als Nein.

Was in die Behördenmeldung gehört

Die Meldung an die zuständige Aufsichtsbehörde beschreibt nach Art. 33 Abs. 3 DSGVO mindestens:

• die Art der Verletzung, also was passiert ist (z. B. unbefugter Zugriff, Verlust, Fehlversand),
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze,
• den Ansprechpartner, also den Datenschutzbeauftragten oder eine andere Ansprechstelle,
• die wahrscheinlichen Folgen der Verletzung,
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung.

Praktisch wichtig: Die Meldung muss nicht vollständig sein, um fristwahrend zu sein. Liegen Informationen noch nicht vor, melden Sie mit dem, was Sie haben, und reichen den Rest unverzüglich nach (Art. 33 Abs. 4 DSGVO). Die 72 Stunden auf „vollständige Aufklärung“ zu warten, ist der teuerste Irrtum in diesem Prozess. Und wenn die Frist doch einmal gerissen ist: melden Sie trotzdem, und zwar mit einer Erklärung der Gründe für die Verzögerung.

Hohes Risiko: Betroffene informieren (Art. 34)

Ist das Risiko für die Betroffenen voraussichtlich hoch, kommt zur Behördenmeldung die Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO): unverzüglich und „in klarer und einfacher Sprache“. Konkret heißt das: Was ist passiert, welche Daten sind betroffen, was kann das für Sie bedeuten, was haben wir unternommen, und was können Sie selbst tun (z. B. Passwort ändern, auf verdächtige Nachrichten achten). Juristendeutsch ist hier fehl am Platz; die Information soll schützen, nicht beeindrucken.

Dokumentations­pflicht: auch ohne Meldung

Unabhängig von der Meldefrage gilt: Sie müssen sämtliche Verletzungen dokumentieren, und zwar „unter Berücksichtigung der Einzelheiten der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen“ (Art. 33 Abs. 5 DSGVO). Diese Dokumentation ist der Nachweis, mit dem die Aufsichtsbehörde die Einhaltung überprüfen kann. Wer nicht meldet, weil kein Risiko bestand, braucht die schriftliche Einschätzung umso dringender: Sie ist der einzige Beleg, dass die Nicht-Meldung eine Entscheidung war und kein Versehen.

Ihre Checkliste für die ersten 72 Stunden

• „Bemerkt am“-Zeitpunkt festhalten, denn davon rechnet die 72-Stunden-Frist
• Vorfall beschreiben: Was ist passiert, welche Daten, wie viele Betroffene?
• Melde-Check beantworten: Daten verletzt? Risiko wahrscheinlich? Hohes Risiko?
• Bei Risiko: Behördenmeldung binnen 72 Stunden, notfalls unvollständig melden und nachreichen (Art. 33 Abs. 4 DSGVO)
• Bei hohem Risiko: Betroffene in klarer, einfacher Sprache informieren (Art. 34 DSGVO)
• Melde- und Informations-Zeitpunkte dokumentieren
• Vorfall, Bewertung und Maßnahmen ablegen, auch ohne Meldung (Art. 33 Abs. 5 DSGVO)

Häufige Fragen

Ab wann laufen die 72 Stunden?

Ab der Kenntnis des Verantwortlichen, nicht ab dem Vorfall (Art. 33 Abs. 1 DSGVO). Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses liegt Kenntnis vor, sobald der Verantwortliche mit hinreichender Sicherheit davon ausgehen kann, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat. Eine kurze Prüfphase nach einem ersten Hinweis ist zulässig, sie muss aber sofort beginnen.

Zählen Wochenenden und Feiertage mit?

Ja. Die Leitlinien 9/2022 verweisen für die Berechnung auf die Verordnung (EWG, Euratom) Nr. 1182/71. Nach deren Art. 3 Abs. 3 umfassen Fristen Feiertage, Sonntage und Sonnabende; die Verschiebung auf den nächsten Arbeitstag nach Art. 3 Abs. 4 gilt ausdrücklich nur für Fristen, die nicht nach Stunden bemessen sind.

Muss ich melden, obwohl ich noch nicht alles weiß?

Ja. Liegen die Informationen noch nicht vollständig vor, melden Sie mit dem vorhandenen Stand und reichen den Rest unverzüglich nach (Art. 33 Abs. 4 DSGVO). Ist die Frist bereits überschritten, entfällt die Meldung nicht: Ihr ist dann eine Begründung der Verzögerung beizufügen.

Gilt für die Information der Betroffenen ebenfalls eine 72-Stunden-Frist?

Nein. Die 72 Stunden gehören zur Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO. Art. 34 Abs. 1 DSGVO verlangt die Benachrichtigung der Betroffenen unverzüglich, ohne eine Stundenzahl zu nennen. Erwägungsgrund 86 DSGVO ergänzt, dass Benachrichtigungen stets so rasch wie nach allgemeinem Ermessen möglich und in enger Absprache mit der Aufsichtsbehörde erfolgen sollten.

Wie hoch ist der Bußgeldrahmen bei einer verspäteten Meldung?

Art. 33 und Art. 34 DSGVO gehören zu den Pflichten aus den Artikeln 25 bis 39 und fallen damit unter Art. 83 Abs. 4 Buchstabe a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Die viel zitierten 20 Millionen Euro und 4 Prozent stehen in Art. 83 Abs. 5 DSGVO und gelten für die Betroffenenrechte. Beides sind Obergrenzen, keine Regelbeträge.

Was bleibt zu tun, wenn keine Meldepflicht besteht?

Die Dokumentation. Art. 33 Abs. 5 DSGVO verlangt, jede Verletzung samt der Einzelheiten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen festzuhalten. Erwägungsgrund 85 DSGVO nennt die Bedingung für das Unterbleiben der Meldung: Der Verantwortliche muss im Einklang mit der Rechenschaftspflicht nachweisen können, dass kein Risiko wahrscheinlich ist.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung von Datenpannen ist eine strukturierte Ersteinschätzung. Die endgültige Bewertung und Verantwortung liegt beim Verantwortlichen.