Muss diese Datenpanne gemeldet werden?
Drei Fragen entscheiden darüber: Sind personenbezogene Daten verletzt worden (Art. 4 Nr. 12 DSGVO), besteht wahrscheinlich ein Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO), und ist dieses Risiko voraussichtlich hoch (Art. 34 Abs. 1 DSGVO)? Der Melde-Check stellt sie in dieser Reihenfolge und wertet eine offene Frage nicht als Nein.
Drei Fragen, deren Antworten über die Meldung entscheiden. Eine offene Frage bleibt offen und wird nicht als Nein gewertet. Es wird nichts gespeichert.
Art. 4 Nr. 12 DSGVO
Art. 33 Abs. 1 DSGVO
Art. 34 Abs. 1 DSGVO
Ihre Ersteinschätzung erscheint hier.
So geht es
- Die drei Fragen beantwortenJede Frage trägt ihre Fundstelle. Was Sie noch nicht beurteilen können, lassen Sie auf „noch nicht beantwortet“: Der Check leitet daraus kein Ergebnis ab, sondern nennt Ihnen die nächste offene Frage.
- Ergebnis und Begründung lesenSie bekommen eine Ersteinschätzung, die Begründung dazu und den nächsten Schritt. Fällt die Einschätzung gegen eine Meldung aus, steht sie nie allein: Daneben steht die Dokumentationspflicht.
- Frist parallel im Blick behaltenDie 72 Stunden ab Kenntnis laufen, während Sie prüfen (Art. 33 Abs. 1 DSGVO). Die Bewertung gehört in diese Frist hinein; sie ist kein Grund, sie anzuhalten.
- Bewertung dokumentierenFakten, Auswirkungen und ergriffene Abhilfemaßnahmen sind so festzuhalten, dass die Aufsichtsbehörde die Einhaltung überprüfen kann (Art. 33 Abs. 5 DSGVO). Genau das fehlt, wenn die Entscheidung nur in einer Mail steht.
Warum eine Lücke kein Nein ist
Der teuerste Fehler einer Prüfmaske ist ihre Vorauswahl. Steht überall „nein“, meldet sie schon beim ersten Aufruf, es sei nichts zu tun – und das ist die eine Auskunft, die niemand geben darf, bevor eine Frage beantwortet ist. Dieser Check startet deshalb auf „noch nicht beantwortet“ und schickt eine Lücke nicht als Verneinung an den Server.
Auch das Ergebnis ist entsprechend formuliert. Es sagt „nach Ihren Angaben“ und nicht „Sie müssen nicht melden“: Bewertet wurde, was Sie eingetragen haben. Der Check kennt drei Fragen, nicht Ihre Systeme und nicht den Umfang der betroffenen Datensätze.
Zwei Schwellen, nicht eine
Art. 33 Abs. 1 DSGVO knüpft an ein Risiko an, Art. 34 Abs. 1 an ein hohes Risiko. Das sind zwei Prüfungen mit zwei Folgen: die Meldung an die Aufsichtsbehörde hier, die Benachrichtigung der betroffenen Personen dort. Wer beide an denselben Schalter hängt, benachrichtigt entweder zu oft oder zu spät.
Die dritte Frage ist deshalb keine Verschärfung der zweiten, sondern eine eigene. Fällt sie mit Ja aus, nennt das Ergebnis beide Pflichten nebeneinander; fällt sie mit Nein aus, bleibt es bei der Meldung an die Aufsichtsbehörde und der Dokumentation.
Der Bußgeldrahmen, der zu dieser Pflicht gehört
Ein Verstoß gegen die Meldepflicht des Art. 33 DSGVO liegt im Rahmen des Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Mio. € oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Der Buchstabe erfasst die Artikel 25 bis 39.
Die bekanntere Zahl gehört an eine andere Stelle: 20 Mio. € oder 4 % stehen in Art. 83 Abs. 5 DSGVO und gelten unter anderem für die Rechte der betroffenen Personen nach den Artikeln 12 bis 22. Beides sind Obergrenzen und keine Erwartungswerte; zugemessen wird im Einzelfall nach den Kriterien des Art. 83 Abs. 2 DSGVO.
Häufige Fragen
Was, wenn wir das Risiko nicht einschätzen können?
Dann lassen Sie die Frage offen. Der Check nennt Ihnen daraufhin genau diese Frage samt Fundstelle, statt ein Ergebnis zu erfinden. Was er nicht tut, ist die Frist anhalten: Die 72 Stunden laufen ab Kenntnis weiter.
Ist ein Datenverlust ohne fremden Zugriff schon eine Panne?
Die erste Frage stellt auf alle drei Schutzziele ab: Vertraulichkeit, Integrität und Verfügbarkeit (Art. 4 Nr. 12 DSGVO). Auch der Verlust von Daten, die niemand Fremdes gesehen hat, kann deshalb eine Verletzung sein.
Ersetzt die Ersteinschätzung die Meldung?
Nein, sie ordnet nur, was Sie eingetragen haben. Die Meldung selbst geht an die nach Art. 55 DSGVO zuständige Aufsichtsbehörde, und die Entscheidung darüber bleibt bei Ihnen. Wohin sie geht, beantwortet die Übersicht der Aufsichtsbehörden.
Warum steht am Ergebnis kein grünes Häkchen?
Weil ein Häkchen etwas verspricht, das drei Fragen nicht tragen. Statt eines Symbols steht dort eine Begründung, die Sie prüfen, gegebenenfalls korrigieren und im Vorgang festhalten – das ist es, was die Aufsichtsbehörde später sehen will.
Alle Funktionen inklusive. Keine Kreditkarte.
Panne anlegen und Bewertung festhaltenDrei Fragen im Wortlaut der Vorschriften · Offene Frage bleibt offen · Rechnet ohne Anmeldung
Ob eine Verletzung meldepflichtig ist und ob die betroffenen Personen zu benachrichtigen sind, entscheidet der Verantwortliche. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.