Datenpanne melden: die 72 Stunden laufen ab dem Bemerken

Bei einer Datenpanne beginnt die bekannte 72-Stunden-Frist nicht mit dem Vorfall, sondern mit dem Zeitpunkt, an dem er bemerkt wurde. Das ist der Punkt, an dem die meisten Rechnungen schiefgehen — und der einzige, der sich hinterher nur schwer rekonstruieren lässt.

Dieser Text erklärt die Systematik. Ob ein konkreter Vorfall meldepflichtig ist, ist eine Einzelfallfrage — im Zweifel gehört sie zu jemandem mit Zulassung.

Die drei Pflichten, die auseinandergehalten gehören#

Die Datenschutz-Grundverordnung kennt bei einer Verletzung des Schutzes personenbezogener Daten drei verschiedene Pflichten. Sie hängen zusammen, treten aber nicht gemeinsam ein:

Melden an die Aufsichtsbehörde (Art. 33). Unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Wird die Frist überschritten, muss die Verzögerung begründet werden.

Benachrichtigen der Betroffenen (Art. 34). Nur bei hohem Risiko, dann aber ohne schuldhaftes Zögern und in klarer, einfacher Sprache. Diese Schwelle liegt höher als die für die Meldung.

Dokumentieren (Art. 33 Abs. 5). Für jede Verletzung, auch für die nicht meldepflichtige. Das ist die Pflicht, die am häufigsten übersehen wird — und die einzige, deren Erfüllung man später vorzeigen können muss.

Warum die Dokumentationspflicht die praktisch wichtigste ist#

Die Meldung betrifft den Ausnahmefall. Das Verzeichnis betrifft jeden Fall — auch die verlorene, aber verschlüsselte Festplatte, auch die E-Mail an den falschen Empfänger, auch den Zwischenfall, bei dem am Ende nichts passiert ist.

Der Grund ist die Beweislage. Wer entscheidet, dass ein Vorfall kein Risiko darstellt, trifft eine Bewertung — und muss sie belegen können. Ohne Eintrag steht später die Aussage gegen die Frage, warum nicht gemeldet wurde.

In das Verzeichnis gehören mindestens: was passiert ist, wann es bemerkt wurde, welche Daten und wie viele Betroffene, welche Folgen zu erwarten sind, was unternommen wurde — und die Begründung der Entscheidung.

Ab wann gilt etwas als bemerkt#

„Bekanntwerden" meint einen hinreichenden Grad an Gewissheit, dass ein Sicherheitsvorfall zu einer Verletzung geführt hat — nicht den ersten vagen Verdacht, aber auch nicht erst das Ergebnis der vollständigen Untersuchung.

Praktisch heißt das: Eine kurze Prüfung, ob überhaupt etwas vorliegt, ist zulässig; das Verschieben der Bewertung ist es nicht. Und: Die Frist ist nicht das Ziel. „Unverzüglich" steht vor den 72 Stunden, nicht danach.

Eine unvollständige Meldung ist ausdrücklich vorgesehen — fehlende Angaben dürfen nachgereicht werden. Es ist also nicht nötig, den Sachverhalt vollständig aufgeklärt zu haben, bevor gemeldet wird.

Was vor dem Ernstfall geklärt sein sollte#

• Wer entscheidet? Im Ernstfall ist keine Zeit, das zu klären
• Wohin geht die Meldung? Zuständig ist in der Regel die Aufsichtsbehörde des Bundeslandes, in dem die Niederlassung sitzt; die meisten haben ein Online-Formular
• Wer meldet bei einem Dienstleister? Verarbeitet ein Auftragsverarbeiter für dich, muss er dich unverzüglich informieren — melden musst du. Diese Pflicht gehört in den Vertrag, siehe Auftragsverarbeitungsvertrag
• Wo liegt das Verzeichnis? Eine Datei genügt, solange sie auffindbar ist und geführt wird

Häufige Fragen#

Muss ich jede verlorene E-Mail melden?#

Nein. Meldepflichtig ist, was voraussichtlich zu einem Risiko für die Betroffenen führt. Eine falsch adressierte E-Mail ohne sensible Inhalte fällt oft nicht darunter — dokumentiert gehört sie trotzdem, samt der Begründung, warum nicht gemeldet wurde.

Was passiert, wenn die 72 Stunden schon vorbei sind?#

Dann wird trotzdem gemeldet, mit einer Begründung der Verzögerung. Eine verspätete Meldung ist deutlich besser als keine — die unterlassene Meldung ist der eigene Verstoß.

Zählen Wochenenden mit?#

Ja. Es sind 72 Stunden, keine drei Arbeitstage. Das ist der Grund, warum die Zuständigkeit vorher geklärt sein sollte und nicht am Montagmorgen.