Soforthilfe · Art. 33 DSGVO
Datenpanne melden – die 72-Stunden-Frist
Die Frist läuft ab Kenntnis des Vorfalls, nicht ab dem Zeitpunkt, an dem die Ursache geklärt ist. Wir bewerten mit Ihnen die Meldepflicht und übernehmen die Kommunikation mit der Aufsichtsbehörde.
Die Frist läuft bereits
Nach Art. 33 Abs. 1 DSGVO ist unverzüglich und möglichst binnen 72 Stunden zu melden – gerechnet ab dem Moment, in dem Ihnen der Vorfall bekannt wurde. Auch wenn am Ende keine Meldung nötig ist, verlangt Art. 33 Abs. 5 DSGVO eine Dokumentation des Vorfalls.
Ablauf
Die ersten Schritte
Die Reihenfolge entscheidet: Wer zuerst dokumentiert und dann meldet, steht in der Prüfung deutlich besser da.
Sofort
Vorfall eingrenzen
Betroffene Systeme vom Netz nehmen, Zugänge sperren, weitere Abflüsse stoppen.
Innerhalb 1 Stunde
Beweise sichern
Nichts löschen. Logdateien und Datenträger sichern – sie sind später die Grundlage für die Bewertung und Ihre Entlastung.
Innerhalb 24 Stunden
Sachverhalt dokumentieren
Zeitpunkt der Kenntnisnahme, betroffene Datenarten sowie ungefähre Zahl der Betroffenen und Datensätze festhalten.
Binnen 72 Stunden
Meldung an die LfD Niedersachsen
Bewertung der Meldepflicht, Formulierung der Meldung und Kommunikation mit der Aufsichtsbehörde in Hannover.
Bei hohem Risiko
Betroffene benachrichtigen
Zusätzliche Pflicht nach Art. 34 DSGVO, wenn ein hohes Risiko für die Rechte und Freiheiten der Betroffenen besteht.
Danach
Meldepflicht prüfen
Die Meldepflicht entfällt, wenn kein Risiko besteht – etwa bei wirksam verschlüsselten Daten. Diese Einschätzung müssen Sie begründen können.
Aus der Praxis
Typische Fälle
Offener E-Mail-Verteiler
Rundmail an Kunden ohne BCC – der mit Abstand häufigste meldepflichtige Vorfall im Mittelstand.
Verlorenes Gerät
Notebook, Smartphone oder USB-Stick ohne wirksame Verschlüsselung.
Fehlversand
Rechnungen, Befunde oder Personalunterlagen an den falschen Empfänger.
Ransomware
Verschlüsselung von Kundendaten – meldepflichtig auch ohne Abfluss, weil die Verfügbarkeit betroffen ist.
Offener Cloud-Speicher
Fehlkonfigurierte Freigabe oder öffentlich erreichbares Backup.
Ex-Mitarbeitende
Zugänge, die nach dem Austritt nicht gesperrt wurden.
Soforthilfe bei Datenpannen
Wir bewerten mit Ihnen die Meldepflicht, formulieren die Meldung und begleiten die Kommunikation mit der Landesbeauftragten für den Datenschutz Niedersachsen.