Datenpanne nicht gemeldet: Bußgeld, 72-Stunden-Frist & DSGVO-Pflichten

Was ist eine Datenschutzverletzung im Sinne der DSGVO?

Art. 4 Nr. 12 DSGVO definiert die Datenschutzverletzung als eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt. Die Definition ist bewusst weit gefasst.

Drei Kategorien sind in der Praxis besonders relevant: Vertraulichkeitsverletzungen entstehen, wenn Dritte unbefugt Zugang zu Daten erlangen — etwa durch einen Hackerangriff oder eine Fehlweiterleitung. Integritätsverletzungen liegen vor, wenn Daten unbemerkt verändert werden. Verfügbarkeitsverletzungen betreffen den dauerhaften oder temporären Verlust von Daten, zum Beispiel durch einen Ransomware-Angriff ohne Backup.

Entscheidend für die Meldepflicht ist nicht das Verschulden, sondern das Risiko. Auch ein fahrlässiger Fehler eines Mitarbeiters — eine falsch adressierte E-Mail mit Kundendaten — löst die Prüfpflicht aus. Das gilt ebenso für Pannen bei Auftragsverarbeitern: Wenn ein Dienstleister, der in Ihrem Auftrag Daten verarbeitet, eine Panne meldet, beginnt Ihre eigene 72-Stunden-Frist in dem Moment, in dem Sie davon erfahren.

Nicht erfasst sind hingegen Vorfälle, bei denen ausschließlich anonymisierte Daten betroffen sind. Sobald aber auch nur ein indirekter Personenbezug hergestellt werden kann — etwa über Kombination mit anderen Datenquellen — greift die DSGVO. Im Zweifel gilt: lieber einmal zu viel dokumentieren als zu wenig.

Die 72-Stunden-Frist: Wie wird sie korrekt berechnet?

Die Frist nach Art. 33 Abs. 1 DSGVO beginnt nicht mit dem Zeitpunkt der Datenpanne selbst, sondern mit dem Zeitpunkt, zu dem der Verantwortliche Kenntnis erlangt. Das ist der Moment, in dem ein Mitarbeiter — gleich auf welcher Hierarchieebene — den Vorfall bemerkt und dokumentiert. Interne Kommunikationswege zählen: Sobald der IT-Helpdesk einen Vorfall meldet, läuft die Uhr.

72 Stunden bedeuten nicht drei Werktage. Wochenenden und Feiertage unterbrechen die Frist nicht. Ein Vorfall, der Freitagabend um 20 Uhr entdeckt wird, muss spätestens Montagabend um 20 Uhr gemeldet sein. Viele Unternehmen kalkulieren hier zu großzügig und versäumen die Frist, weil die zuständigen Personen erst am Montag wieder erreichbar sind.

Wenn die 72 Stunden nicht eingehalten werden können, ist das kein automatischer Bußgeldtatbestand — vorausgesetzt, die Meldung erfolgt unverzüglich danach und enthält eine schlüssige Begründung für die Verzögerung. Die Aufsichtsbehörden akzeptieren dies etwa dann, wenn die Sachverhaltsaufklärung komplexer Technik bedurfte. Die Begründung muss aber substanziell sein und sollte dokumentiert vorliegen.

Praktisch bedeutet das: Jedes Unternehmen braucht eine interne Eskalationskette, die auch außerhalb der Bürozeiten funktioniert. Wer erkennt den Vorfall? Wer entscheidet über die Meldepflicht? Wer formuliert die Meldung? Diese Rollen müssen vorab definiert und schriftlich festgehalten sein — das ist kein optionales Prozessdetail, sondern Pflicht nach Art. 24 DSGVO.

Die Meldung selbst erfolgt in der Regel über das Online-Portal der zuständigen Landesbehörde. Welche Behörde zuständig ist, hängt vom Hauptsitz des Unternehmens ab — in Deutschland gibt es 16 Landesbehörden plus den Bundesbeauftragten für spezifische Bereiche. Unternehmen mit grenzüberschreitender Tätigkeit in der EU melden grundsätzlich bei der Behörde ihres Hauptsitzes (One-Stop-Shop-Prinzip nach Art. 56 DSGVO).

Wann müssen betroffene Personen benachrichtigt werden?

Neben der Behördenmeldung kann eine zweite Pflicht entstehen: die direkte Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO. Diese Pflicht greift, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Das ist eine höhere Schwelle als bei der Behördenmeldung, die bereits bei einfachem Risiko greift.

Ein hohes Risiko liegt typischerweise vor, wenn besondere Kategorien von Daten nach Art. 9 DSGVO betroffen sind — Gesundheitsdaten, biometrische Daten, Daten über religiöse Überzeugungen oder die sexuelle Orientierung. Auch die Offenlegung von Bankverbindungen, Zugangsdaten oder umfassenden Persönlichkeitsprofilen wird regelmäßig als hohes Risiko eingestuft.

Die Benachrichtigung muss in klarer und verständlicher Sprache erfolgen und mindestens folgende Informationen enthalten: Art der Verletzung, Kontaktdaten des Datenschutzbeauftragten, wahrscheinliche Folgen der Verletzung sowie die ergriffenen Maßnahmen. Formlose Hinweise oder allgemeine Datenschutzmitteilungen genügen nicht — die Benachrichtigung muss konkret auf den Vorfall eingehen.

Ausnahmen von der Betroffenen-Benachrichtigung kennt Art. 34 Abs. 3 DSGVO: Wenn die Daten vor dem Zugriff durch technische Maßnahmen wirksam verschlüsselt waren, entfällt die Pflicht. Gleiches gilt, wenn nachträgliche Maßnahmen das hohe Risiko vollständig beseitigt haben oder wenn die Benachrichtigung aller Personen unverhältnismäßigen Aufwand erfordern würde — in letzterem Fall genügt eine öffentliche Bekanntmachung.

Datenschutz-Incident-Response-Plan: So bereiten Sie sich vor

Ein Incident-Response-Plan ist kein bürokratisches Anhängsel, sondern ein operatives Steuerungsinstrument. Er legt fest, wer im Ernstfall was tut — und er gilt als gewichtiges Indiz für die von Art. 24 DSGVO geforderten technischen und organisatorischen Maßnahmen. Aufsichtsbehörden bewerten das Vorhandensein eines solchen Plans bei der Bußgeldbemessung ausdrücklich positiv.

Der Plan sollte mindestens fünf Elemente enthalten: erstens eine klare Klassifizierungsmatrix, die festlegt, welche Vorfälle als Datenschutzverletzung einzustufen sind; zweitens eine Eskalationskette mit namentlich benannten Verantwortlichen und Vertretungen; drittens eine Checkliste für die 72-Stunden-Meldung mit den Pflichtangaben nach Art. 33 Abs. 3 DSGVO; viertens eine Vorlage für die Betroffenen-Benachrichtigung nach Art. 34 DSGVO; und fünftens eine Dokumentationspflicht für alle Vorfälle, auch solche unterhalb der Meldeschwelle.

Die Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO gilt uneingeschränkt: Jeder Vorfall — ob meldepflichtig oder nicht — muss intern aufgezeichnet werden. Das Verzeichnis muss mindestens enthalten: Datum und Uhrzeit der Entdeckung, Art der betroffenen Daten, betroffene Personengruppen, Umfang, wahrscheinliche Folgen und ergriffene Abhilfemaßnahmen. Dieses Verzeichnis ist das Erste, was eine Aufsichtsbehörde im Prüfungsfall anfordert.

Technische Vorbereitungen sind ebenso wichtig wie organisatorische. Systeme zur Erkennung ungewöhnlicher Zugriffsmuster, verschlüsselte Speicherung sensibler Daten und regelmäßige Penetrationstests reduzieren die Eintrittswahrscheinlichkeit von Verletzungen. Gleichzeitig verkürzen gute Monitoring-Tools die Zeitspanne zwischen Vorfall und Entdeckung — was direkt auf die 72-Stunden-Frist einzahlt.

Schulungen sind kein einmaliges Ereignis. Der häufigste Auslöser für Datenpannen ist menschliches Versagen: falsch adressierte E-Mails, ungesicherte USB-Sticks, schwache Passwörter. Regelmäßige, anwendungsorientierte Mitarbeiterschulungen — mindestens einmal jährlich, für neue Mitarbeiter innerhalb der ersten Wochen — sind nach Art. 39 Abs. 1 lit. b DSGVO ausdrückliche Aufgabe des Datenschutzbeauftragten und Teil einer ernsthaften Datenschutz-Compliance.

Fazit

Eine Datenschutzverletzung ist kein seltenes Ausnahmeszenario mehr — sie trifft Unternehmen jeder Größe, häufig durch menschliches Versagen oder unzureichend gesicherte Systeme. Wer die 72-Stunden-Frist kennt, einen dokumentierten Prozess hat und die Eskalationskette klar definiert, schützt sich vor den gravierendsten Bußgeld-Risiken. Entscheidend ist nicht die Null-Fehler-Quote, sondern die nachweisbare Handlungsfähigkeit im Ernstfall.

Lassen Sie Ihren Incident-Response-Plan und Ihre bestehenden Datenschutzprozesse von einem spezialisierten Anwalt prüfen, bevor der erste Vorfall eintritt. Starten Sie jetzt — damit Sie im Ernstfall nicht unter Zeitdruck handeln müssen.