Die Uhr startet beim Bekanntwerden
Entscheidend ist nicht das Formular der Aufsichtsbehörde, sondern die interne Meldekette davor. Sie bestimmt, ob die Frist überhaupt eingehalten werden kann.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Vorfall ist am Freitagabend bekannt und die Kette endet in einem Postfach
Datenpannen werden selten von der IT entdeckt. Sie werden bemerkt, weil ein Kunde eine fremde Rechnung im Anhang findet, weil ein Mitarbeiter merkt, dass er den falschen Verteiler erwischt hat, oder weil eine Nachricht eines Dienstleisters eintrifft. Der Zeitpunkt ist selten günstig, und die Frage, an wen man sich in einem solchen Moment wendet, ist in vielen Häusern nicht beantwortet.
Die Frist macht daraus ein organisatorisches Problem. Die 72 Stunden aus Artikel 33 Absatz 1 sind fortlaufende Stunden, keine Arbeitsstunden. Ein Vorfall, der am Freitag um 17 Uhr bekannt wird, ist am Montag um 17 Uhr abgelaufen. Wer die Meldekette nur zu Bürozeiten betreibt, hat in diesem Fall statt drei Tagen wenige Stunden Zeit, und die Bewertung des Risikos fällt dann unter Druck aus.
Der zweite Fehler betrifft die Bewertung selbst. Aus Sorge wird entweder alles gemeldet oder gar nichts. Beide Reflexe sind ungünstig: Eine Meldung ohne Risikobezug bindet Aufmerksamkeit auf beiden Seiten, und eine unterlassene Meldung fällt spätestens auf, wenn sich eine betroffene Person bei der Aufsichtsbehörde beschwert. Verstöße gegen Artikel 33 und 34 liegen nach Artikel 83 Absatz 4 im Rahmen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sieben Schritte innerhalb der Frist
Die Reihenfolge ist auf den Zeitdruck ausgelegt. Die ersten drei Schritte gehören in die ersten Stunden, die Entscheidung über die Meldung spätestens in die erste Hälfte der Frist, damit für die Erstellung noch Zeit bleibt.
- 1
Vorfall aufnehmen und den Zeitpunkt festhalten
Notier, wer wann was bemerkt hat, und trenn zwei Zeitpunkte: wann der Vorfall passiert ist und wann er bekannt wurde. Der zweite startet die Frist. Halt auch fest, was währenddessen unklar war, denn diese Notiz begründet später die Dauer der Prüfung.
Geschafft, wenn: Zwei Zeitpunkte stehen schriftlich fest, und die Frist ist berechnet.
- 2
Den Sachverhalt eingrenzen
Klär, welche Daten betroffen sind, welche Personengruppen, wie viele Sätze ungefähr und ob die Daten abgeflossen, verändert, vernichtet oder nur unzugänglich sind. Genaue Zahlen sind nicht nötig, eine belastbare Größenordnung schon. Sichere parallel die Spuren, also Protokolle und Kopfzeilen, bevor sie im Zyklus überschrieben werden.
Geschafft, wenn: Datenarten, Personengruppen und Größenordnung sind grob bestimmt.
- 3
Das Risiko bewerten
Frag, was den betroffenen Personen aus dem Vorfall entstehen kann. Waren die Daten verschlüsselt und für Unbefugte unzugänglich, sinkt das Risiko erheblich. Betrifft der Vorfall Gesundheitsdaten, Zugangsdaten oder Bankverbindungen, steigt es. Halt die Bewertung mit ihrer Begründung fest, unabhängig vom Ergebnis.
Geschafft, wenn: Es liegt eine begründete Einschätzung vor, kein Bauchgefühl.
- 4
Über die Meldung entscheiden
Ist ein Risiko wahrscheinlich, wird gemeldet. Ist es voraussichtlich ausgeschlossen, entfällt die Meldung, die Dokumentation nach Artikel 33 Absatz 5 bleibt aber Pflicht. Im Zweifel spricht die kurze Frist für die Meldung, weil sich eine Meldung ergänzen lässt und eine unterlassene nicht nachholen.
Geschafft, wenn: Die Entscheidung ist getroffen und mit Begründung notiert.
- 5
Die Meldung absetzen
Nutze das Meldeformular der zuständigen Aufsichtsbehörde. Die Behörden unterscheiden dabei zwischen Neumeldung und Folgemeldung und geben nach dem Absenden eine Kennung aus, die als erster Nachweis der Meldung samt Zeitpunkt dient. Füll die vier Angaben aus Artikel 33 Absatz 3 aus und vermerk ausdrücklich, was noch offen ist.
Geschafft, wenn: Die Meldung ist abgesetzt, die Kennung liegt beim Vorgang.
- 6
Betroffene benachrichtigen, wenn das Risiko hoch ist
Bei einem voraussichtlich hohen Risiko verlangt Artikel 34 die unverzügliche Benachrichtigung der betroffenen Personen in klarer und einfacher Sprache. Sie enthält die Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Nenne auch, was die Person selbst tun kann, etwa ein Kennwort ändern oder Kontobewegungen prüfen.
Geschafft, wenn: Die Betroffenen wissen, was passiert ist und was sie tun können.
- 7
Nachmelden und ins Register eintragen
Reich nach, was bei der Erstmeldung offen war, sobald es feststeht. Trag den Vorfall anschließend in das interne Register ein, mit Sachverhalt, Auswirkungen und Abhilfemaßnahmen. Genau diese drei Angaben verlangt Artikel 33 Absatz 5, und das Register ist die Unterlage, nach der bei einer Prüfung als Erstes gefragt wird.
Geschafft, wenn: Der Vorgang ist abgeschlossen und im Register vollständig abgebildet.
Vier Angaben verlangt Artikel 33 Absatz 3
- 01 Erstens die Art der Verletzung, mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze.
- 02 Zweitens Name und Kontaktdaten der Anlaufstelle für weitere Informationen.
- 03 Drittens eine Beschreibung der wahrscheinlichen Folgen der Verletzung.
- 04 Viertens die ergriffenen oder vorgeschlagenen Maßnahmen samt Abmilderung.
- 05 Fehlt etwas davon, wird nach Absatz 4 schrittweise nachgemeldet.
Was du danach in den ersten zwei Stunden nach einem Vorfall tust
Der Ablauf muss ohne Nachdenken funktionieren, weil er unter Zeitdruck abläuft. Nötig sind vier Festlegungen: wer erreichbar ist, wer die Bewertung trifft, was währenddessen dokumentiert wird und wer die Meldung absetzt. Alles andere lässt sich im Moment selbst entscheiden.
Den Startpunkt richtig setzen
Die Frist beginnt mit dem Bekanntwerden, also sobald mit hinreichender Sicherheit feststeht, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Eine kurze Prüfung davor ist zulässig, sie darf aber nicht zur Verzögerungsstrategie werden.
Zwischen melden und dokumentieren unterscheiden
Gemeldet wird, wenn ein Risiko wahrscheinlich ist. Dokumentiert wird nach Artikel 33 Absatz 5 jeder Vorfall, auch der ohne Risiko, samt Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen.
Das Risiko aus Sicht der betroffenen Person bewerten
Maßgeblich sind Art der Daten, Zahl der Betroffenen, Erkennbarkeit der Personen und die Folgen, also etwa Identitätsmissbrauch, finanzieller Schaden oder Diskriminierung. Der Aufwand für dein Unternehmen spielt dabei keine Rolle.
Unvollständig melden statt zu spät
Artikel 33 Absatz 4 erlaubt ausdrücklich, die Angaben schrittweise nachzureichen. Eine Erstmeldung mit dem, was bekannt ist, gefolgt von einer Folgemeldung, ist der vorgesehene Weg und keine Notlösung.
Die Meldekette am Wochenende testen
Weil die Stunden durchlaufen, entscheidet die Erreichbarkeit über die Frist. Eine benannte Rufnummer, eine Vertretung und eine Anweisung für Beschäftigte, wen sie bei einem Verdacht anrufen, sind wirksamer als jedes Konzept.
Die Frist beim Dienstleister vorverlegen
Ein Auftragsverarbeiter meldet nach Artikel 33 Absatz 2 unverzüglich an dich, und praktisch beginnt deine Frist mit dieser Meldung. Deshalb gehört in den Vertrag eine kurze, konkrete Frist statt des Wortes unverzüglich.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wann eine Verletzung vorliegt und ab wann sie bekannt ist
Artikel 4 Nummer 12 fasst den Begriff weiter, als der Alltagsgebrauch vermuten lässt. Eine Verletzung des Schutzes personenbezogener Daten ist jede Verletzung der Sicherheit, die ob unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von Daten oder zum unbefugten Zugang zu ihnen führt. Damit fällt der verschlüsselte Datenbestand, dessen einziger Schlüssel verloren gegangen ist, ebenso darunter wie der Serverausfall ohne funktionierende Sicherung. Es geht nicht nur um Abfluss, sondern auch um Verlust der Verfügbarkeit und um Veränderung.
Der Startpunkt der Frist ist das Bekanntwerden. Gemeint ist der Moment, in dem mit hinreichender Sicherheit feststeht, dass ein Sicherheitsvorfall vorliegt und personenbezogene Daten davon betroffen sind. Eine kurze Prüfung vorab ist zulässig und sinnvoll, denn eine unbestätigte Vermutung ist noch kein Bekanntwerden. Diese Prüfung darf allerdings nicht dazu dienen, den Fristbeginn hinauszuschieben, und ihre Dauer sollte in Stunden gemessen werden, nicht in Tagen.
Zwei Konstellationen verschieben den Startpunkt in der Praxis. Wenn eine betroffene Person selbst meldet, etwa weil sie eine fremde Rechnung erhalten hat, ist der Vorfall in dem Moment bekannt, in dem die Nachricht bei euch eintrifft. Und wenn ein Auftragsverarbeiter meldet, beginnt die Frist mit seiner Meldung an dich, denn er selbst meldet nach Artikel 33 Absatz 2 nicht an die Behörde, sondern unverzüglich an dich. Genau deshalb gehört in den Vertrag eine in Stunden bezifferte Frist statt des unbestimmten Worts unverzüglich, und dazu die Angabe, welche Punkte seine Meldung mindestens enthalten muss. Wie kurz die Frist ausfällt, ist Verhandlungssache; entscheidend ist, dass sie deutlich unterhalb deiner eigenen 72 Stunden liegt.
Melden oder nur dokumentieren
Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Das ist eine Prognose, keine Gewissheit, und sie bezieht sich auf die betroffenen Personen, nicht auf dein Unternehmen. Die Frage lautet also nicht, wie teuer der Vorfall wird, sondern was einer betroffenen Person daraus entstehen kann.
In die Bewertung fließen mehrere Größen ein. Die Art der Daten ist die wichtigste: Gesundheitsangaben, Zugangsdaten, Bankverbindungen und Angaben zu Straftaten wiegen deutlich schwerer als eine Geschäftsadresse. Dazu kommen die Zahl der Betroffenen, die Frage, wie leicht sich die Personen identifizieren lassen, und die Frage, wer die Daten erhalten hat. Ein Fehlversand an einen bekannten Empfänger, der die Löschung bestätigt, ist anders zu bewerten als eine offene Ablage im Netz. Ebenfalls maßgeblich ist, ob die Daten durch Verschlüsselung für Unbefugte unzugänglich waren.
Unabhängig vom Ergebnis besteht die Dokumentationspflicht aus Artikel 33 Absatz 5. Sie erfasst alle Verletzungen einschließlich der Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen, und sie dient ausdrücklich dazu, der Aufsichtsbehörde die Überprüfung zu ermöglichen. Ein Register mit den Vorfällen ohne Meldung ist deshalb kein zusätzlicher Aufwand, sondern der Beleg dafür, dass eine Entscheidung getroffen wurde. Wer nichts dokumentiert, kann später nicht zeigen, dass er einen Vorfall bewertet hat, und steht dann vor der Frage, ob er ihn übersehen hat.
Was in die Meldung gehört und was fehlen darf
Artikel 33 Absatz 3 verlangt vier Angaben. Erstens eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze. Zweitens Name und Kontaktdaten der Datenschutzbeauftragten oder einer anderen Anlaufstelle für weitere Informationen. Drittens eine Beschreibung der wahrscheinlichen Folgen. Viertens eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen, gegebenenfalls einschließlich Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen.
Der Halbsatz soweit möglich ist die wichtigste Erleichterung in der ganzen Vorschrift. Er erlaubt Größenordnungen statt exakter Zahlen, und Absatz 4 ergänzt ausdrücklich, dass die Informationen schrittweise ohne unangemessene weitere Verzögerung bereitgestellt werden können. Der vorgesehene Weg ist damit nicht die vollständige Meldung nach drei Tagen, sondern die Erstmeldung mit dem, was bekannt ist, gefolgt von einer Folgemeldung. Die Aufsichtsbehörden bilden das in ihren Formularen ab und unterscheiden zwischen Neumeldung und Folgemeldung.
Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat, bei mehreren Niederlassungen in verschiedenen Mitgliedstaaten die federführende Behörde nach dem Verfahren der Verordnung. Die Meldung läuft in der Regel über ein Online-Formular, und die Behörde gibt nach dem Absenden eine Kennung aus, die den Zeitpunkt der Meldung belegt. Diese Kennung gehört zum Vorgang, denn sie ist der einfachste Nachweis dafür, dass die Frist eingehalten wurde. Wird später als 72 Stunden gemeldet, verlangt Artikel 33 Absatz 1 eine Begründung für die Verzögerung, und diese Begründung fällt leichter, wenn die Zeitpunkte von Anfang an notiert wurden.
Wann betroffene Personen benachrichtigt werden müssen
Die Schwelle in Artikel 34 liegt höher als die für die Meldung an die Behörde. Erforderlich ist ein voraussichtlich hohes Risiko für die persönlichen Rechte und Freiheiten. Die Benachrichtigung erfolgt dann unverzüglich und in klarer und einfacher Sprache, inhaltlich mit den Angaben aus Artikel 33 Absatz 3 Buchstaben b bis d, also Anlaufstelle, wahrscheinliche Folgen und ergriffene Maßnahmen. Die Beschreibung der Art der Verletzung ist nicht vorgeschrieben, gehört in der Praxis aber dazu, weil die Nachricht sonst unverständlich bleibt.
Absatz 3 nennt drei Fälle, in denen die Benachrichtigung entfällt. Erstens, wenn geeignete technische und organisatorische Schutzmaßnahmen angewendet wurden und diese Maßnahmen auf die betroffenen Daten angewandt wurden, insbesondere solche, die die Daten für Unbefugte unzugänglich machen, wobei die Verordnung die Verschlüsselung ausdrücklich nennt. Zweitens, wenn durch nachfolgende Maßnahmen sichergestellt wurde, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht. Drittens, wenn die Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden wäre, dann tritt an ihre Stelle eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme, durch die die Betroffenen vergleichbar wirksam informiert werden.
Die erste Ausnahme ist der Grund, warum die Beschreibung der Verschlüsselung in der Maßnahmendokumentation praktische Folgen hat. Der Nachweis, dass die betroffenen Daten verschlüsselt und die Schlüssel nicht mitbetroffen waren, entscheidet im Ernstfall darüber, ob mehrere tausend Menschen benachrichtigt werden müssen. Wer an dieser Stelle nur den Eintrag Verschlüsselung in einer Liste hat, kann den Nachweis nicht führen. Nach Absatz 4 kann die Aufsichtsbehörde die Benachrichtigung ohnehin anordnen, wenn sie das Risiko anders einschätzt.
Die Meldekette, die auch am Freitagabend funktioniert
Die Frist wird selten an der Bewertung verpasst, fast immer am Weg dorthin. Der übliche Verlauf: Jemand bemerkt den Fehler, ist sich unsicher, schreibt eine E-Mail an eine allgemeine Adresse und geht ins Wochenende. Die Nachricht wird am Montag gelesen, die Prüfung beginnt am Dienstag, und die Frist ist abgelaufen, bevor die erste Frage beantwortet ist. Verhindern lässt sich das nicht durch ein Konzept, sondern durch drei Angaben, die jeder kennt: wen man anruft, wer vertritt und was man in der Zwischenzeit nicht tut.
Der letzte Punkt wird unterschätzt. Der Reflex nach einem Fehlversand ist der Rückruf der Nachricht, das Löschen des Postfachs oder das Zurücksetzen eines Zugangs. Damit verschwinden regelmäßig die Spuren, die für die Bewertung nötig sind, also Protokolle, Kopfzeilen und Empfängerlisten. Eine kurze Anweisung, zuerst zu sichern und dann zu bereinigen, spart im Ernstfall mehr Zeit als jede Vorlage.
Für Beschäftigte hilft eine Formulierung, die keine juristische Einordnung verlangt. Wer bei jedem Verdacht anruft und dabei sagt, was passiert ist und was er selbst schon getan hat, hat seine Aufgabe erfüllt. Die Einordnung ist Sache der Stelle, die den Anruf entgegennimmt. Wenn die Belegschaft dagegen erst prüfen soll, ob ein meldepflichtiger Vorfall vorliegt, wird nicht gemeldet, weil niemand diese Prüfung im Zweifel treffen möchte.
Dazu passende Kurse
Weil die Entscheidung unter Zeitdruck fällt, hilft es, sie einmal ohne Zeitdruck geübt zu haben, etwa indem du den Umgang mit Datenpannen im Kurs üben .
Weil die meisten Vorfälle technische Ursachen haben, gehören daneben Kurse zur Absicherung von Systemen und Netzen in die Vorbereitung.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Häufige Fragen
Laufen die 72 Stunden auch über das Wochenende?
Was tun wir, wenn nach drei Tagen noch nicht alles geklärt ist?
Müssen wir auch Vorfälle melden, bei denen nichts abgeflossen ist?
Der Dienstleister hat den Vorfall verursacht. Wer meldet?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Vorbereitet sein, bevor die Uhr das erste Mal läuft
Wie eine Meldekette aussieht, die auch außerhalb der Bürozeit trägt, und wie du das Risiko in kurzer Zeit begründet einschätzt, gehst du bei cmt an echten Fallbeispielen durch.
Passt dazu
- E-Mail an den falschen Empfänger: Was jetzt zu tun ist und wann es meldepflichtig wird
- Technische und organisatorische Maßnahmen: Was Artikel 32 verlangt und was eine kopierte Liste nicht leistet
- DSGVO, NIS2 und ISO 27001: Was jedes Regelwerk verlangt und wo sie sich überschneiden