Zum Inhalt springen
Anrufen, 0511 – 47 55 58 11
info@lexict.legal

Datenpanne: was in den ersten 72 Stunden zu tun ist

Die Meldefrist nach Art. 33 DSGVO beträgt 72 Stunden ab Kenntnis der verantwortlichen Stelle. Sie läuft auch am Wochenende und beginnt nicht erst, wenn der Vorfall aufgeklärt ist.

Frist für die Meldung, gerechnet ab Kenntnis
72 h
Pflichtangaben in der Meldung nach Art. 33 Abs. 3 DSGVO
4
Ausnahmen von der Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO
0
des Jahresumsatzes oder 10 Millionen Euro als Bußgeldrahmen
2 %

Die ersten Schritte

  1. Schritt 1: Zeitpunkt der Kenntnis festhalten

    Datum, Uhrzeit und wer davon wusste. Ab hier läuft die Frist. Danach fragt die Behörde zuerst.

  2. Schritt 2: Weitere Verletzung stoppen

    Zugänge sperren, Systeme trennen, offene Wege schließen. Dabei Beweise sichern, denn wer zuerst aufräumt, kann später oft nichts mehr belegen.

  3. Schritt 3: Risiko bewerten und dokumentieren

    Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen? Die Abwägung ist in jedem Fall zu dokumentieren.

  4. Schritt 4: Melden

    Bei einem Risiko an die zuständige Aufsichtsbehörde. Fehlen noch Angaben, wird nach Art. 33 Abs. 4 DSGVO in Schritten gemeldet.

  5. Schritt 5: Betroffene benachrichtigen

    Bei voraussichtlich hohem Risiko zusätzlich nach Art. 34 DSGVO, in klarer und einfacher Sprache.

Wo die Grenze verläuft

An die Behörde zu melden

  • Wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen wahrscheinlich ist
  • Innerhalb von 72 Stunden ab Kenntnis, verspätet nur mit Begründung
  • Auch dann, wenn der Sachverhalt noch nicht vollständig aufgeklärt ist

Zusätzlich an die Betroffenen

  • Nur bei voraussichtlich hohem Risiko, also einer höheren Schwelle
  • Unverzüglich und in klarer, einfacher Sprache
  • Ausnahmen etwa bei wirksamer Verschlüsselung oder nachträglicher Entschärfung

Nicht zu melden

  • Wenn ein Risiko voraussichtlich nicht besteht
  • Die Abwägung selbst entfällt trotzdem nie
  • Und sie ist zu dokumentieren, gerade wenn sie gegen eine Meldung ausfällt

Diese Dokumentation ist in der Praxis wichtiger, als sie klingt. Wenn eine Behörde Jahre später fragt, warum ein Vorfall nicht gemeldet wurde, entscheidet sie anhand dessen, was damals festgehalten wurde. Fehlt die Dokumentation, steht statt einer vertretbaren Abwägung der Vorwurf im Raum, gar keine getroffen zu haben.

Was in die Meldung gehört

Wie wir unterstützen

Wir bewerten mit Ihnen das Risiko, formulieren die Meldung, führen die Korrespondenz mit der Aufsichtsbehörde und bereiten die Benachrichtigung der betroffenen Personen vor. Parallel klären wir die Ansprüche gegen beteiligte Dienstleister und die Frage, was der Versicherung wann zu melden ist.

Die Frist läuft bereits?

Melden Sie sich, bevor die 72 Stunden ablaufen. Wir sind kurzfristig erreichbar.

Sofort Kontakt aufnehmen

Häufige Fragen

Wir wissen noch nicht, ob überhaupt Daten abgeflossen sind. Müssen wir trotzdem melden?

Die Frist beginnt mit der Kenntnis der Verletzung, nicht mit der abgeschlossenen Aufklärung. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich eine Meldung in Schritten, wenn nicht alle Informationen gleichzeitig vorliegen. Der richtige Weg ist deshalb regelmäßig, fristgerecht mit dem bekannten Stand zu melden und nachzureichen, nicht abzuwarten.

Die 72 Stunden sind bereits abgelaufen. Sollen wir jetzt noch melden?

Ja. Eine verspätete Meldung ist besser als keine. Sie ist nach Art. 33 Abs. 1 Satz 2 DSGVO mit einer Begründung für die Verzögerung zu versehen. Die Behörde bewertet die Verspätung, das Unterlassen bewertet sie strenger.

Müssen wir auch die betroffenen Personen benachrichtigen?

Nur bei einem voraussichtlich hohen Risiko für deren Rechte und Freiheiten, Art. 34 Abs. 1 DSGVO. Diese Schwelle liegt höher als die der Meldung an die Behörde. Art. 34 Abs. 3 DSGVO nennt Ausnahmen, etwa wenn die Daten wirksam verschlüsselt waren oder nachträglich Maßnahmen ergriffen wurden, die das hohe Risiko beseitigen.

Passt dazu