Die Meldepflicht bei Datenschutzverletzungen gehört zu den Pflichten der Datenschutz-Grundverordnung, die in der betrieblichen Praxis am häufigsten unterschätzt werden, obwohl sie bei einem Vorfall sofort greift und keinen Aufschub duldet. Sobald personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder unzugänglich gemacht werden, beginnt für Unternehmen eine enge Frist zu laufen, innerhalb derer eine Meldung an die zuständige Aufsichtsbehörde erfolgen muss. Wer diese Frist verstreichen lässt oder den Vorfall falsch einstuft, riskiert Bußgelder, die sich nach Artikel 83 DSGVO an Umsatz und Schwere des Verstoßes orientieren. In der Praxis scheitert die fristgerechte Meldung selten an mangelndem Problembewusstsein, sondern an unklaren internen Zuständigkeiten, fehlender Dokumentation und einer Risikobewertung, die im Ernstfall improvisiert statt vorbereitet erfolgt. Dieser Beitrag ordnet die rechtlichen Grundlagen, beschreibt einen belastbaren internen Meldeprozess und zeigt, an welchen Stellen Unternehmen in der Praxis besonders häufig Fehler machen.
Was gilt als meldepflichtige Datenschutzverletzung?
Artikel 4 Nummer 12 DSGVO definiert die Verletzung des Schutzes personenbezogener Daten als eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Diese Definition ist bewusst weit gefasst und erfasst technische Vorfälle wie Ransomware-Angriffe oder Fehlkonfigurationen von Cloud-Speichern ebenso wie organisatorische Fehler, etwa den Versand einer E-Mail mit offenem Verteiler oder die Fehladressierung eines Briefes mit sensiblen Inhalten. Nicht jede dieser Verletzungen löst automatisch eine Meldepflicht aus. Entscheidend ist, ob ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Erst wenn dieses Risiko bejaht wird, entsteht die Pflicht zur Meldung an die Aufsichtsbehörde nach Artikel 33 DSGVO.
Die 72-Stunden-Frist nach Artikel 33 DSGVO
Der Verantwortliche muss eine meldepflichtige Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt geworden ist, der zuständigen Aufsichtsbehörde melden. Der Fristbeginn ist in der Praxis der häufigste Streitpunkt: Maßgeblich ist nicht der Zeitpunkt des technischen Vorfalls, sondern der Zeitpunkt, zu dem eine mit hinreichender Sicherheit ausgestattete Kenntnis vom Vorfall besteht, üblicherweise also die interne Eskalation an die zuständige Stelle. Wird die Frist überschritten, verlangt Artikel 33 Absatz 1 Satz 2 DSGVO eine Begründung für die Verzögerung. Kann der Sachverhalt innerhalb der 72 Stunden noch nicht vollständig aufgeklärt werden, lässt die Verordnung ausdrücklich eine gestufte Meldung zu: Eine erste Meldung mit den zu diesem Zeitpunkt bekannten Informationen, gefolgt von einer oder mehreren Ergänzungen, sobald weitere Erkenntnisse vorliegen.
Wann müssen betroffene Personen benachrichtigt werden?
Neben der Meldung an die Aufsichtsbehörde regelt Artikel 34 DSGVO eine zweite, strengere Schwelle: die Benachrichtigung der betroffenen Personen. Diese ist erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat, etwa bei offengelegten Gesundheitsdaten, Zugangsdaten oder Finanzinformationen. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen und mindestens die Art der Verletzung, Kontaktdaten einer Ansprechperson, die wahrscheinlichen Folgen sowie die ergriffenen Abhilfemaßnahmen enthalten. Artikel 34 Absatz 3 DSGVO nennt Ausnahmen, etwa wenn die betroffenen Daten durch angemessene technische Maßnahmen wie starke Verschlüsselung unlesbar gemacht wurden oder wenn die Benachrichtigung einen unverhältnismäßigen Aufwand bedeuten würde und stattdessen eine öffentliche Bekanntmachung erfolgt.
Risikobewertung: Wann die Meldepflicht bei Datenschutzverletzungen greift
Die Einstufung des Risikos entscheidet darüber, ob die Meldepflicht bei Datenschutzverletzungen überhaupt ausgelöst wird, und wenn ja, in welchem Umfang. Etablierte Bewertungsraster orientieren sich an Kriterien wie der Art der betroffenen Daten, der Anzahl betroffener Personen, der Reversibilität der Folgen und der Wahrscheinlichkeit eines Missbrauchs. Ein verlorener, vollständig verschlüsselter Firmenlaptop ohne Zugriffsmöglichkeit für Dritte begründet in der Regel kein meldepflichtiges Risiko. Ein unverschlüsselter USB-Stick mit Gehaltsabrechnungen mehrerer hundert Mitarbeitender, der abhandenkommt, begründet dagegen typischerweise sowohl eine Meldepflicht als auch eine Benachrichtigungspflicht. Die europäische Datenschutzbehörde EDSA (vormals Artikel-29-Gruppe) hat hierzu Leitlinien veröffentlicht, die als Orientierung für die interne Risikomatrix dienen können. Unternehmen, die diese Kriterien vorab schriftlich festlegen, treffen die Einstufung im Ernstfall spürbar schneller und nachvollziehbarer, als wenn die Bewertung erstmals unter Zeitdruck erfolgt.
| Kriterium | Meldung an Aufsichtsbehörde (Art. 33) | Benachrichtigung Betroffener (Art. 34) |
|---|---|---|
| Auslöseschwelle | Risiko für Rechte und Freiheiten | Voraussichtlich hohes Risiko |
| Frist | Unverzüglich, möglichst binnen 72 Stunden | Unverzüglich, ohne feste Stundenfrist |
| Adressat | Zuständige Aufsichtsbehörde | Betroffene Personen direkt |
| Form | Meldeformular der Behörde, strukturiert | Klare, einfache Sprache |
| Ausnahme | Keine, außer Begründungspflicht bei Verzug | Bei wirksamer Verschlüsselung oder unverhältnismäßigem Aufwand |
Interner Meldeprozess: Fünf Schritte für den Ernstfall
Ein belastbarer Prozess trennt technische Erstreaktion, rechtliche Bewertung und externe Kommunikation klar voneinander und legt vorab fest, wer welche Entscheidung trifft. Die folgenden fünf Schritte bilden ein Grundgerüst, das an die jeweilige Unternehmensgröße angepasst werden sollte.
- Erkennung und Erstbewertung: IT oder Fachabteilung identifizieren den Vorfall, dokumentieren Zeitpunkt und erste Fakten und leiten sie unverzüglich an die zuständige interne Stelle weiter.
- Eskalation: Der oder die Datenschutzbeauftragte sowie die Geschäftsführung werden informiert; ein festgelegtes Eskalationsteam übernimmt die Koordination.
- Risikobewertung: Anhand einer vorab definierten Matrix wird bewertet, ob eine Meldepflicht nach Artikel 33 und gegebenenfalls eine Benachrichtigungspflicht nach Artikel 34 besteht.
- Meldung und Benachrichtigung: Bei bejahter Meldepflicht erfolgt die Meldung über das Meldeportal der zuständigen Aufsichtsbehörde binnen 72 Stunden, bei hohem Risiko zusätzlich die Benachrichtigung der Betroffenen.
- Dokumentation und Nachbereitung: Der gesamte Vorfall, die getroffenen Entscheidungen und die Begründung werden dokumentiert, ergänzt um Maßnahmen zur Vermeidung vergleichbarer Vorfälle.
Dokumentationspflicht nach Artikel 33 Absatz 5 DSGVO
Unabhängig davon, ob eine Meldung an die Aufsichtsbehörde erfolgt, verpflichtet Artikel 33 Absatz 5 DSGVO Verantwortliche, jede Datenschutzverletzung zu dokumentieren, einschließlich der damit verbundenen Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Vorschrift ermöglichen und sollte daher auch Fälle umfassen, die als nicht meldepflichtig eingestuft wurden, samt der Begründung für diese Einschätzung. In der Praxis empfiehlt sich ein zentrales Vorfallsregister, das Datum, Kategorie der betroffenen Daten, Anzahl betroffener Personen, Risikobewertung, Entscheidung und Verantwortlichkeiten strukturiert erfasst. Ein solches Register lässt sich mit vertretbarem Aufwand in bestehende Compliance-Management-Systeme integrieren und dient zugleich als Nachweis im Rahmen von ISO 27001 Zertifizierungen, deren Kapitel zum Informationssicherheits-Vorfallmanagement inhaltlich eng an die DSGVO-Anforderungen anschließt. Bei einer späteren Prüfung durch die Aufsichtsbehörde ist dieses Register regelmäßig der erste Beleg dafür, dass ein Unternehmen die Meldepflicht bei Datenschutzverletzungen ernst nimmt und strukturiert umsetzt, auch für die Fälle, die letztlich nicht meldepflichtig waren.
„Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten, einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung dieses Artikels ermöglichen.“ (Art. 33 Abs. 5 DSGVO)
Meldeformular und Ablauf bei der Aufsichtsbehörde
Die meisten Landesdatenschutzbehörden sowie der BfDI stellen für die Meldung nach Artikel 33 DSGVO ein strukturiertes Online-Meldeportal bereit, das die gesetzlich geforderten Mindestangaben abfragt: die Art der Verletzung, die Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle, die wahrscheinlichen Folgen sowie die bereits ergriffenen oder geplanten Abhilfemaßnahmen. Da diese Angaben unter Zeitdruck erstellt werden müssen, empfiehlt es sich, eine Vorlage mit den Pflichtfeldern bereits im Vorfeld zu erstellen und im Notfallordner zu hinterlegen, statt das Formular erstmals während eines akuten Vorfalls auszufüllen. Nach Eingang der Meldung kann die Aufsichtsbehörde Rückfragen stellen oder ein eigenes Prüfverfahren einleiten, insbesondere wenn die Risikobewertung des Unternehmens von der Einschätzung der Behörde abweicht. Wichtig ist, dass die Meldung an die Behörde kein Schuldeingeständnis darstellt, sondern eine gesetzlich vorgeschriebene Informationspflicht, die unabhängig von einem etwaigen Verschulden besteht.
Praxisbeispiel: Von der Erkennung bis zur Meldung
Ein mittelständisches Unternehmen stellt am Freitagnachmittag fest, dass ein Mitarbeiter auf eine Phishing-E-Mail hereingefallen ist und dadurch Zugangsdaten zu einem CRM-System preisgegeben hat, in dem Namen, E-Mail-Adressen und Bestellhistorien mehrerer tausend Kundinnen und Kunden gespeichert sind. Die IT-Abteilung bemerkt ungewöhnliche Exportaktivitäten im System, sperrt das betroffene Konto und dokumentiert Zeitpunkt sowie Umfang der festgestellten Datenbewegung. Die Information geht umgehend an den Datenschutzbeauftragten, der gemeinsam mit der Geschäftsführung anhand der internen Risikomatrix bewertet, ob ein Risiko für die betroffenen Kundinnen und Kunden besteht. Da personenbezogene Kontaktdaten in größerem Umfang exportiert wurden und ein Missbrauch für gezielte Betrugsversuche nicht ausgeschlossen werden kann, wird die Meldepflicht bejaht. Die Erstmeldung an die Aufsichtsbehörde erfolgt am Montag, innerhalb der 72-Stunden-Frist ab Kenntnisnahme am Freitag, ergänzt um eine kurze Erläuterung zum Zeitpunkt der Kenntniserlangung. Parallel prüft das Unternehmen, ob wegen des möglichen Betrugsrisikos zusätzlich eine Benachrichtigung der betroffenen Kundinnen und Kunden nach Artikel 34 DSGVO erforderlich ist, und entscheidet sich angesichts der Datenkategorien für eine proaktive Information per E-Mail.
Rolle des Datenschutzbeauftragten und Schulung der Belegschaft
Der oder die Datenschutzbeauftragte übernimmt im Meldeprozess typischerweise die Rolle der zentralen Koordinationsstelle, trifft die endgültige Meldeentscheidung jedoch nicht allein, sondern berät die Geschäftsführung, die als Verantwortlicher im Sinne der DSGVO die rechtliche Letztverantwortung trägt. Damit ein Vorfall überhaupt zeitnah erkannt und eskaliert wird, muss die gesamte Belegschaft wissen, an wen ungewöhnliche Beobachtungen wie verdächtige E-Mails, verlorene Endgeräte oder fehlgeleitete Sendungen zu melden sind. Regelmäßige, kurze Schulungen, die konkrete Meldewege statt abstrakter DSGVO-Grundsätze vermitteln, erhöhen die Wahrscheinlichkeit, dass die 72-Stunden-Frist überhaupt eingehalten werden kann, da die Uhr faktisch mit der internen Eskalation und nicht mit dem technischen Vorfall selbst zu laufen beginnt. Unternehmen, die zusätzlich zur klassischen Meldekette eine anonyme Hinweismöglichkeit einrichten, verzeichnen in der Beratungspraxis tendenziell kürzere Zeiträume zwischen Vorfall und interner Eskalation.
Zusammenspiel mit Auftragsverarbeitern und IT-Notfallplänen
Werden personenbezogene Daten durch einen externen Dienstleister im Rahmen einer Auftragsverarbeitung nach Artikel 28 DSGVO verarbeitet, ist der Auftragsverarbeiter verpflichtet, den Verantwortlichen unverzüglich nach Bekanntwerden über eine Datenschutzverletzung zu informieren. Diese Meldekette muss vertraglich in der Auftragsverarbeitungsvereinbarung mit einer eigenen, kurzen Frist hinterlegt sein, da sonst wertvolle Zeit innerhalb der 72-Stunden-Frist des Verantwortlichen verloren geht. Der Meldeprozess sollte zudem eng mit dem allgemeinen IT-Notfallplan des Unternehmens verzahnt sein, da technische Sofortmaßnahmen wie das Isolieren betroffener Systeme und die rechtliche Bewertung parallel und nicht nacheinander ablaufen müssen. Wie ein solcher übergeordneter Notfallplan aufgebaut sein sollte, behandelt der Beitrag zu IT-Notfallplänen im Unternehmen im Detail.
Typische Stolperfallen und Bußgeldrisiko
In der Beratungspraxis wiederholen sich bestimmte Fehler: Der Fristbeginn wird zu spät angesetzt, weil interne Meldewege nicht klar definiert sind; die Risikobewertung erfolgt ohne dokumentierte Kriterien und damit angreifbar; oder es wird ausschließlich die Meldung an die Aufsichtsbehörde geprüft, während die separat zu bewertende Benachrichtigungspflicht der Betroffenen übersehen wird. Nach Artikel 83 Absatz 4 DSGVO können Verstöße gegen die Meldepflichten mit Geldbußen von bis zu zehn Millionen Euro oder, bei Unternehmen, bis zu zwei Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Die Aufsichtsbehörden gewichten dabei regelmäßig, ob ein funktionierender, dokumentierter Prozess vorlag oder ob die Meldung erkennbar improvisiert erfolgte. Ein vorbereiteter Prozess wirkt sich damit unmittelbar auf das Bußgeldrisiko aus, unabhängig vom eigentlichen Vorfall. Unternehmen, die die Meldepflicht bei Datenschutzverletzungen als festen Bestandteil ihres Informationssicherheits-Managements verankern, statt sie als rein juristisches Thema zu behandeln, sind im Ernstfall nachweislich schneller handlungsfähig und reduzieren damit sowohl das Bußgeldrisiko als auch den Reputationsschaden gegenüber Kundinnen und Kunden.
FAQ
Was ist eine meldepflichtige Datenschutzverletzung?
Eine meldepflichtige Datenschutzverletzung liegt vor, wenn eine Sicherheitsverletzung zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt und dadurch ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht.
Wie lange haben Unternehmen Zeit, eine Datenschutzverletzung zu melden?
Die Meldung an die Aufsichtsbehörde muss unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Bei Überschreitung ist eine Begründung für die Verzögerung erforderlich.
Muss jede Datenschutzverletzung an die Aufsichtsbehörde gemeldet werden?
Nein, nur wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Vorfälle ohne ein solches Risiko müssen zwar nicht gemeldet, aber intern dokumentiert werden.
Wer ist im Unternehmen für die Meldung zuständig?
In der Regel koordiniert der oder die Datenschutzbeauftragte die Bewertung und Meldung, die Letztverantwortung liegt jedoch bei der Geschäftsführung als Verantwortlicher im Sinne der DSGVO.
Welche Bußgelder drohen bei einer verspäteten oder unterlassenen Meldung?
Verstöße gegen die Meldepflicht können mit Geldbußen von bis zu zehn Millionen Euro oder bis zu zwei Prozent des weltweiten Jahresumsatzes geahndet werden.
Müssen auch Auftragsverarbeiter Datenschutzverletzungen melden?
Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren, die eigentliche Meldepflicht gegenüber der Aufsichtsbehörde verbleibt jedoch grundsätzlich beim Verantwortlichen.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand. Weiterführende, verbindliche Informationen bietet der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).
