Soforthilfe · Art. 33 DSGVO
Datenpanne melden – die 72-Stunden-Frist
Die Frist läuft ab Kenntnis des Vorfalls, nicht ab dem Zeitpunkt, an dem die Ursache geklärt ist. Wir bewerten mit Ihnen die Meldepflicht und übernehmen die Kommunikation mit der Aufsichtsbehörde. Wir sind in der Stadt und im Landkreis Osnabrück kurzfristig vor Ort, bundesweit unterstützen wir remote.
Die Frist läuft bereits
Nach Art. 33 Abs. 1 DSGVO ist unverzüglich und möglichst binnen 72 Stunden zu melden – gerechnet ab dem Moment, in dem Ihnen der Vorfall bekannt wurde. Auch wenn am Ende keine Meldung nötig ist, verlangt Art. 33 Abs. 5 DSGVO eine Dokumentation des Vorfalls.
Ablauf
Die ersten Schritte
Die Reihenfolge entscheidet: Wer zuerst dokumentiert und dann meldet, steht in der Prüfung deutlich besser da.
Sofort
Vorfall eingrenzen
Betroffene Systeme vom Netz nehmen, Zugänge sperren, weitere Abflüsse stoppen.
Innerhalb 1 Stunde
Beweise sichern
Nichts löschen. Logdateien und Datenträger sichern – sie sind später die Grundlage für die Bewertung und Ihre Entlastung.
Innerhalb 24 Stunden
Sachverhalt dokumentieren
Zeitpunkt der Kenntnisnahme, betroffene Datenarten sowie ungefähre Zahl der Betroffenen und Datensätze festhalten.
Binnen 72 Stunden
Meldung an die Aufsichtsbehörde
Bewertung der Meldepflicht, Formulierung der Meldung und Kommunikation mit der Aufsichtsbehörde in Hannover.
Bei hohem Risiko
Betroffene benachrichtigen
Zusätzliche Pflicht nach Art. 34 DSGVO, wenn ein hohes Risiko für die Rechte und Freiheiten der Betroffenen besteht.
Danach
Meldepflicht prüfen
Die Meldepflicht entfällt, wenn kein Risiko besteht – etwa bei wirksam verschlüsselten Daten. Diese Einschätzung müssen Sie begründen können.
Aus der Praxis
Typische Fälle
Offener E-Mail-Verteiler
Rundmail an Kunden ohne BCC – der mit Abstand häufigste meldepflichtige Vorfall im Mittelstand.
Verlorenes Gerät
Notebook, Smartphone oder USB-Stick ohne wirksame Verschlüsselung.
Fehlversand
Rechnungen, Befunde oder Personalunterlagen an den falschen Empfänger.
Ransomware
Verschlüsselung von Kundendaten – meldepflichtig auch ohne Abfluss, weil die Verfügbarkeit betroffen ist.
Offener Cloud-Speicher
Fehlkonfigurierte Freigabe oder öffentlich erreichbares Backup.
Ex-Mitarbeitende
Zugänge, die nach dem Austritt nicht gesperrt wurden.
Häufige Fragen
Was Unternehmen bei einer Datenpanne wissen müssen
Was genau muss in die Meldung?
Art. 33 Abs. 3 DSGVO nennt vier Pflichtangaben: Art der Verletzung samt Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
Wann beginnt die 72-Stunden-Frist?
Mit der Kenntnis des Verantwortlichen von der Verletzung, nicht mit dem Vorfall selbst (Art. 33 Abs. 1 DSGVO). Wird die Frist überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen.
Muss jede Panne gemeldet werden?
Nein. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Bewertung muss aber nachvollziehbar dokumentiert werden.
Wann müssen Betroffene informiert werden?
Nach Art. 34 Abs. 1 DSGVO bei voraussichtlich hohem Risiko. Art. 34 Abs. 3 kennt Ausnahmen: wirksame Verschlüsselung der Daten, nachträglich ergriffene Schutzmaßnahmen oder unverhältnismäßiger Aufwand – dann tritt eine öffentliche Bekanntmachung an die Stelle der Einzelbenachrichtigung.
Was passiert nach der Meldung?
Die Aufsichtsbehörde kann Rückfragen stellen, Unterlagen anfordern und Maßnahmen nach Art. 58 DSGVO anordnen. Eine Meldung führt nicht automatisch zu einem Bußgeld – das Unterlassen einer gebotenen Meldung dagegen sehr wohl.
Müssen auch nicht gemeldete Pannen dokumentiert werden?
Ja. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation aller Verletzungen einschließlich Folgen und Abhilfemaßnahmen – unabhängig davon, ob gemeldet wurde. Die Dokumentation dient dem Nachweis gegenüber der Aufsichtsbehörde.
Soforthilfe bei Datenpannen
Wir bewerten mit Ihnen die Meldepflicht, formulieren die Meldung und begleiten die Kommunikation mit der für Ihren Unternehmenssitz zuständigen Aufsichtsbehörde – bundesweit. Als bestellter externer Datenschutzbeauftragter übernehmen wir die Meldung und die Kommunikation mit der Behörde. Kontakt aufnehmen. Hintergründe und weitere Beiträge stehen im Ratgeber.