Datenpanne: die 72-Stunden-Meldung, was jetzt zu tun ist

Kurz beantwortet: Wird Ihnen eine meldepflichtige Datenpanne bekannt, müssen Sie diese als Verantwortlicher unverzüglich, möglichst binnen 72 Stunden, der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO). Als Auftragsverarbeiter, die typische Rolle eines SaaS-Anbieters, informieren Sie stattdessen unverzüglich Ihren Kunden, damit dieser seine eigene Frist einhalten kann.

Was zählt als meldepflichtige Datenpanne?

Eine Verletzung des Schutzes personenbezogener Daten liegt vor, sobald Vertraulichkeit, Integrität oder Verfügbarkeit dieser Daten verletzt wird: ein gehacktes Konto, ein Fehlversand an den falschen Empfänger, ein verlorenes Gerät ohne Verschlüsselung, ein Systemausfall ohne Backup. Meldepflichtig wird sie, sobald ein Risiko für die Rechte und Freiheiten der Betroffenen möglich erscheint. Die Meldung entfällt nur, wenn dieses Risiko nach Prüfung tatsächlich ausgeschlossen werden kann.

Wie läuft die 72-Stunden-Meldung konkret ab?

Sobald die Verletzung bekannt wird, beginnt die Frist zu laufen. Der folgende Ablauf gilt für Verantwortliche und lässt sich unmittelbar als Checkliste verwenden.

1. Kenntnisnahme dokumentieren. Zeitpunkt, Quelle und ersten Befund schriftlich festhalten, denn ab hier läuft die Frist (Art. 33 Abs. 1 DSGVO).
2. Risiko bewerten. Welche Daten sind betroffen, wie viele Personen, wie hoch ist das Risiko für deren Rechte und Freiheiten? Diese Einordnung entscheidet über die Meldepflicht.
3. Verantwortlichkeit klären. Sind Sie selbst Verantwortlicher, melden Sie direkt. Sind Sie Auftragsverarbeiter, informieren Sie stattdessen unverzüglich Ihren Kunden (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist wahren kann.
4. Meldung an die Aufsichtsbehörde vorbereiten. Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der Personen, Namen und Kontaktdaten der Ansprechperson, wahrscheinliche Folgen, ergriffene und geplante Abhilfemaßnahmen (Art. 33 Abs. 3 DSGVO).
5. Fristgerecht melden oder Verzögerung begründen. Binnen 72 Stunden nach Kenntnisnahme bei der zuständigen Behörde einreichen. Ist das nicht möglich, kann die Meldung stufenweise erfolgen, dann ist die Verzögerung zu begründen.
6. Betroffene prüfen und gegebenenfalls informieren. Bei voraussichtlich hohem Risiko zusätzlich die betroffenen Personen unverzüglich benachrichtigen (Art. 34 DSGVO), siehe unten.
7. Alles dokumentieren. Fakten, Auswirkungen und ergriffene Maßnahmen festhalten, unabhängig davon, ob gemeldet wurde (Art. 33 Abs. 5 DSGVO).

Wann müssen auch die Betroffenen informiert werden?

Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge, müssen Sie zusätzlich die betroffenen Personen unverzüglich benachrichtigen (Art. 34 DSGVO), in klarer, einfacher Sprache. Diese Benachrichtigung ist ausnahmsweise entbehrlich, wenn die Daten etwa durch Verschlüsselung geschützt waren, das hohe Risiko durch nachträgliche Maßnahmen beseitigt wurde oder die Einzelbenachrichtigung unverhältnismäßig wäre, dann genügt eine öffentliche Bekanntmachung.

Was passiert, wenn Sie als SaaS-Anbieter Auftragsverarbeiter sind?

Wird Ihnen als SaaS-Anbieter eine Verletzung bekannt, treffen Sie nicht selbst die Meldepflicht gegenüber der Aufsichtsbehörde. Sie müssen Ihren Kunden, den Verantwortlichen, unverzüglich informieren (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist einhalten kann. Wie diese Pflicht vertraglich in der AVV verankert wird, ordnet der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO ein.

Wie bereiten Sie sich auf den Ernstfall vor?

Der entscheidende Fehler ist, den Prozess erst im Ernstfall zu erfinden. Legen Sie vorab fest: Wer bewertet die Verletzung, wer entscheidet über die Meldung, wer meldet, und wie wird dokumentiert. Ein vorbereiteter Datenpannen-Prozess mit Meldevorlage ist der Unterschied zwischen einer kontrollierten Meldung und drei Tagen Chaos. Welche technischen und organisatorischen Maßnahmen das Risiko einer Datenpanne von vornherein senken, zeigt der Beitrag zu TOMs für Softwareunternehmen.

Häufige Fragen

Ab wann läuft die 72-Stunden-Frist?

Die Frist beginnt zu laufen, sobald Ihnen die Verletzung bekannt wird. Ab diesem Zeitpunkt sollten Sie Kenntnisnahme, Quelle und ersten Befund schriftlich festhalten, denn daran knüpft die Meldung nach Art. 33 Abs. 1 DSGVO an.

Was gehört in die Meldung an die Aufsichtsbehörde?

Die Meldung nach Art. 33 Abs. 3 DSGVO umfasst die Art der Verletzung, die betroffenen Kategorien und die ungefähre Anzahl der Personen, Namen und Kontaktdaten der Ansprechperson, die wahrscheinlichen Folgen sowie die ergriffenen und geplanten Abhilfemaßnahmen. Ist die 72-Stunden-Frist nicht zu halten, kann die Meldung stufenweise erfolgen, dann ist die Verzögerung zu begründen.

Was gilt, wenn Sie als SaaS-Anbieter Auftragsverarbeiter sind?

Als Auftragsverarbeiter trifft Sie nicht selbst die Meldepflicht gegenüber der Aufsichtsbehörde. Sie müssen Ihren Kunden, den Verantwortlichen, unverzüglich informieren (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist einhalten kann.

Wann müssen die betroffenen Personen benachrichtigt werden?

Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge, müssen Sie diese zusätzlich unverzüglich in klarer, einfacher Sprache benachrichtigen (Art. 34 DSGVO). Die Benachrichtigung ist ausnahmsweise entbehrlich, etwa wenn die Daten durch Verschlüsselung geschützt waren oder das hohe Risiko durch nachträgliche Maßnahmen beseitigt wurde.

Sie wollen einen belastbaren Datenpannen-Prozess für Ihr Unternehmen, bevor Sie ihn brauchen? In einem 30-minütigen Erstgespräch setzen wir die Grundlage. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen