Die Meldung an die Aufsichtsbehörde erstellen
Gemeldet wird unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde (Art. 33 Abs. 1 DSGVO). Die Uhr läuft kalendarisch weiter, auch über das Wochenende. BetroffenenRecht24 stellt den Countdown ab dem Kenntniszeitpunkt und führt durch die vier Pflichtangaben der Meldung.
Alle Funktionen inklusive. Keine Kreditkarte.
Panne anlegen und Countdown starten72-Stunden-Countdown ab Kenntnis · Pflichtinhalt des Art. 33 Abs. 3 als Checkliste · Server in Deutschland
So geht es
- Kenntnis festhaltenErster Hinweis und festgestellte Kenntnis gehören getrennt erfasst. Die Uhr startet, sobald hinreichende Gewissheit über den Vorfall besteht – so legt es der Europäische Datenschutzausschuss aus; eine kurze Vorprüfung ist zulässig, langes Zögern nicht.
- Melde-Check durchlaufenDie Norm ist als Regel mit Ausnahme gebaut: Gemeldet wird, es sei denn die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Begründungsbedürftig ist damit das Unterlassen, nicht die Meldung.
- Vier Angaben ausfüllenArt der Verletzung, Anlaufstelle für Rückfragen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen (Art. 33 Abs. 3 lit. a bis d). Ungefähre Zahlen genügen; auf genaue Zahlen zu warten ist der teure Fehler.
- Melden und dokumentierenDie Meldung geht an die nach Art. 55 DSGVO zuständige Aufsichtsbehörde. Der Vorgang bleibt als Nachweis stehen, auch wenn Sie sich gegen eine Meldung entscheiden (Art. 33 Abs. 5 DSGVO).
Die vier Pflichtangaben – und das Wort „zumindest“
Art. 33 Abs. 3 DSGVO verlangt „zumindest“ vier Angaben: eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze (lit. a); Namen und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen (lit. b); eine Beschreibung der wahrscheinlichen Folgen (lit. c); eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und gegebenenfalls zur Abmilderung (lit. d).
Drei Feinheiten entscheiden über die Qualität der Meldung. „Zumindest“ heißt, dass die vier ein Mindestinhalt sind und kein Vollständigkeitsnachweis. Das „soweit möglich“ in lit. a betrifft nur die Kategorien und die Zahlen, nicht die Beschreibung selbst. Und lit. b verlangt eine Anlaufstelle auch von dem, der keinen Datenschutzbeauftragten benennen muss – ein leeres Feld ist keine zulässige Antwort. lit. a unterscheidet dabei zwei Zahlen, die gern zusammenfallen: die der betroffenen Personen und die der betroffenen Datensätze.
Wenn die 72 Stunden nicht reichen
Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 Satz 2 DSGVO). Eine verspätete Meldung ist also zulässig und nicht selbst schon der Verstoß – wer nach Ablauf der Frist gar nicht mehr meldet, macht aus einer verspäteten Meldung eine unterlassene. Der Regelweg ist sie deshalb nicht: Der Europäische Datenschutzausschuss hält ausdrücklich fest, dass die verzögerte Meldung keine regelmäßige Vorgehensweise werden darf.
Liegen noch nicht alle Angaben vor, dürfen sie ohne unangemessene weitere Verzögerung schrittweise nachgereicht werden (Art. 33 Abs. 4 DSGVO). Das ist keine Fristverlängerung: Die erste Meldung bleibt binnen 72 Stunden fällig, nur ihr Inhalt darf unvollständig sein. Beides gehört zusammen in denselben Vorgang, weil das Nachreichen die Begründung aus Abs. 1 Satz 2 voraussetzt.
Der Bußgeldrahmen, der hier gilt
Ein Verstoß gegen Art. 33 fällt unter Art. 83 Abs. 4 lit. a DSGVO: Geldbußen von bis zu 10 Mio. € oder im Fall eines Unternehmens von bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Der Buchstabe erfasst die Artikel 25 bis 39, und Art. 33 liegt in dieser Spanne.
Die weit bekannteren 20 Mio. € beziehungsweise 4 % stehen in Art. 83 Abs. 5 DSGVO und gelten dort unter anderem für die Rechte der betroffenen Personen nach den Artikeln 12 bis 22. Beides sind Höchstrahmen und keine Erwartungswerte; die Zumessungskriterien stehen in Art. 83 Abs. 2. Für die Entscheidung, im Zweifel zu melden, spricht daneben eine deutsche Sonderregel: Eine Meldung nach Art. 33 DSGVO darf im Straf- und im Bußgeldverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden (§ 42 Abs. 4 und § 43 Abs. 4 BDSG).
Häufige Fragen
Zählen Wochenenden und Feiertage mit?
Ja. Die 72 Stunden sind nach Stunden bemessen und laufen kalendarisch; die Verschiebung auf den nächsten Arbeitstag gilt für Stundenfristen nicht. Kenntnis am Freitagnachmittag heißt Fristende am Montagnachmittag.
Ab wann läuft die Frist genau?
Ab dem Zeitpunkt, zu dem Sie hinreichende Gewissheit haben, dass ein Sicherheitsvorfall den Schutz personenbezogener Daten beeinträchtigt hat. Eine kurze erste Untersuchung darf vorausgehen, sie muss aber schnellstmöglich beginnen – so die Leitlinien des Europäischen Datenschutzausschusses.
Was gilt, wenn unser Dienstleister die Panne meldet?
Der Auftragsverarbeiter meldet unverzüglich an Sie, nicht an die Aufsichtsbehörde (Art. 33 Abs. 2 DSGVO). Eine Stundenzahl nennt die Verordnung dafür nicht. Ihre eigene Frist beginnt im Grundsatz mit seiner Meldung.
Und wenn wir uns gegen eine Meldung entscheiden?
Dann bleibt die Dokumentationspflicht: Fakten, Auswirkungen und Abhilfemaßnahmen sind so festzuhalten, dass die Aufsichtsbehörde die Einhaltung überprüfen kann (Art. 33 Abs. 5 DSGVO). Gerade die Nichtmeldung braucht ihre Begründung im Nachweis.
Alle Funktionen inklusive. Keine Kreditkarte.
Panne anlegen und Countdown starten72-Stunden-Countdown ab Kenntnis · Pflichtinhalt des Art. 33 Abs. 3 als Checkliste · Server in Deutschland
Ob eine Verletzung meldepflichtig ist, entscheidet der Verantwortliche. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.