Datenpannen-Meldung an die Aufsichtsbehörde: Der 72-Stunden-Pfad nach Art. 33 DSGVO

Art. 33 DSGVO verpflichtet Verantwortliche, eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, an die zuständige Aufsichtsbehörde zu melden. Die Frist beginnt nicht mit dem Vorfall selbst, sondern mit der Kenntnis. Wer den Zeitpunkt der Kenntnis nicht sauber dokumentiert, verliert die wichtigste Verteidigungslinie gegenüber dem Prüfer und riskiert ein Bußgeld nach Art. 83 Abs. 4 lit. a DSGVO.

Dieser Leitfaden beschreibt den operativen Meldepfad: Triage, Schwellenwertprüfung, Inhalt der Meldung, Anschluss an Art. 34 DSGVO bei hohem Risiko, Nachmeldungen, interne Dokumentation und Berichtslinie an die Geschäftsführung. CIVAC bündelt diese Schritte in der Compliance-Plattform und stellt die Vorlagen, die Sie als Datenschutzbeauftragter oder als externer DSB sofort einsetzen können. Frist läuft ab Kenntnis.

Der EDSA hat in den Leitlinien 9/2022 präzisiert, dass die Frist nach Art. 33 Abs. 1 DSGVO mit dem Moment beginnt, in dem der Verantwortliche hinreichende Gewissheit über eine Verletzung des Schutzes personenbezogener Daten hat. Ein vager Verdacht reicht nicht, eine bestätigte Anomalie genügt. Dazwischen liegt eine kurze, dokumentierte Bewertungsphase, die selten länger als 24 Stunden dauern sollte.

Praktisch heisst das: Sobald IT, SOC oder Fachbereich einen Vorfall mit personenbezogenen Daten bestätigen, läuft die Uhr. Eingangskanal, Uhrzeit, meldende Person und erste Bewertung gehören in das Vorfallregister. Diese Mikro-Dokumentation entscheidet später, ob die Aufsichtsbehörde die Frist als gewahrt anerkennt oder ein Säumnis nach Art. 83 DSGVO sanktioniert.

Verarbeiter melden gemäss Art. 33 Abs. 2 DSGVO unverzüglich an den Verantwortlichen, nicht direkt an die Behörde. Der Auftragsverarbeitungsvertrag muss diesen Eskalationspfad mit Uhrzeit, Kontaktstelle und Inhalt der Erstmeldung verbindlich regeln. Andernfalls beginnt die Frist beim Verantwortlichen zu spät und das Verschulden bleibt im eigenen Haus.

Wochenenden und Feiertage unterbrechen die Frist nicht. Die Aufsichtsbehörden in Bayern und Nordrhein-Westfalen erwarten in ihren FAQ ausdrücklich, dass eine Bereitschaftsregelung existiert. Wer keinen 24/7-Meldekanal vorhält, muss organisatorisch begründen, wie er die Frist trotzdem einhält, und das wird zunehmend kritisch geprüft.

Die CIVAC-Rolle Datenschutzbeauftragter dokumentiert den Kenntnisstand mit Zeitstempel, Quelle und Bewertung in einem Schritt. Der Prüfer ruft an, der Nachweis liegt bereit.

Wer die Frist verstreichen lässt, muss in der Nachmeldung die Verzögerung gemäss Art. 33 Abs. 1 Satz 2 DSGVO begründen. Diese Begründung ist Pflicht, nicht Kür, und sie wird Teil des Aktenstücks, das jede spätere Anordnung oder jedes Bußgeld stützt oder schwächt.

Art. 33 Abs. 1 DSGVO sieht eine Ausnahme vor, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Beweislast trägt der Verantwortliche. Eine pauschale Einschätzung trägt nicht, gefragt ist eine dokumentierte Risikoabwägung, die Art, Umfang, Sensitivität und Anzahl der betroffenen Datensätze einbezieht.

Der EDSA empfiehlt in den Leitlinien 9/2022 eine dreistufige Skala: kein Risiko, Risiko, hohes Risiko. Verschlüsselte Geräte mit nachweisbarer Schlüsselkontrolle fallen häufig in die erste Stufe, ein abhandengekommener Laptop ohne Vollverschlüsselung fast nie. Die Bewertung muss vor der 72-Stunden-Marke abgeschlossen und schriftlich begründet sein.

Auch eine entbehrliche Meldung ist nicht folgenlos. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation jeder Verletzung, unabhängig von der Meldepflicht. Das interne Vorfallregister muss Sachverhalt, Auswirkungen, Abhilfemaßnahmen und die Begründung der Nichtmeldung enthalten, sonst ist das Unterlassen sanktionierbar.

Sensible Datenkategorien nach Art. 9 DSGVO verschieben die Schwelle deutlich. Gesundheits-, Bewerber- oder Bonitätsdaten lösen schon bei kleinen Mengen ein meldepflichtiges Risiko aus. Wer hier verneint, sollte die Risikoanalyse mit dem CIVAC-Workspace im Vier-Augen-Prinzip ablegen und durch den Datenschutzbeauftragten gegenzeichnen lassen.

Ein typischer Fehler ist die nachträgliche Aufwertung der Bewertung, sobald die Aufsichtsbehörde Fragen stellt. Solche Korrekturen werden in der Versionierung sichtbar und schwächen die Position. Besser ist eine konservative Erstmeldung mit anschliessender Klarstellung als eine Verneinung, die später kassiert werden muss.

Bei Zweifel gilt der Grundsatz der Aufsichtsbehörden: im Zweifel melden. Eine Meldung, die sich später als unbegründet erweist, ist sanktionsfrei, eine unterlassene Meldung selten. Diese Asymmetrie sollten Vorstand und Geschäftsführung verstehen, bevor sie eine politische Nichtmeldung anweisen.

Art. 33 Abs. 3 DSGVO definiert den Mindestinhalt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Name und Kontakt des Datenschutzbeauftragten, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen. Fehlt eine Position, akzeptieren die meisten Behörden eine Nachreichung, sofern der Verzug begründet ist und der Rest belastbar bleibt.

Der Sachverhalt sollte chronologisch und in einfacher Sprache dargestellt werden. Behördenformulare, etwa der LDA Bayern oder LfDI Baden-Württemberg, sind weitgehend einheitlich strukturiert, aber freie Textfelder fordern Disziplin. Ein bewährter Aufbau: Was ist passiert, wann wurde es bekannt, welche Daten und wie viele Personen, welche Sofortmaßnahmen, welche weiteren Schritte.

Zahlen sollten realistisch geschätzt sein, nicht beschönigt. Die Aufsichtsbehörden akzeptieren Bandbreiten, etwa 12.000 bis 15.000 betroffene E-Mail-Adressen, lehnen aber pauschale Aussagen wie eine geringe Zahl ab. Wenn die finale Zahl später deutlich nach oben korrigiert wird, ohne dass es eine technische Begründung gibt, wirkt das fahrlässig.

Die Maßnahmen-Spalte ist die wichtigste. Hier zeigt sich, ob das Unternehmen einen Plan hat oder reagiert. Konkrete Schritte mit Verantwortlichen, Fristen und Status, etwa Passwort-Reset für 3.400 Konten bis 18:00 Uhr, signalisieren operative Reife und reduzieren spätere Anordnungen erheblich.

CIVAC stellt im Workspace eine vorausgefüllte Meldungsvorlage mit den Pflichtfeldern nach Art. 33 Abs. 3 DSGVO bereit, abgestimmt auf die Formulare der jeweils zuständigen Aufsichtsbehörde. Audit-fest, dokumentiert, Art. 33-fest.

Nach dem Absenden bestätigt die Behörde den Eingang per Aktenzeichen. Dieses Aktenzeichen wird Pflichtbestandteil aller Folgekommunikation und gehört in das Vorfallregister, ebenso wie eine Kopie der eingereichten Meldung im PDF/A-Format zur revisionssicheren Ablage.

Art. 34 DSGVO greift, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Anders als Art. 33 hat Art. 34 keine starre Frist, fordert aber Unverzüglichkeit. Die Aufsichtsbehörden interpretieren das in der Praxis als Tage, nicht Wochen, sobald der Sachverhalt geklärt und die Empfängerliste verfügbar ist.

Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen, ohne juristische Verschachtelungen. Der EDSA empfiehlt eine maximale Lesezeit von zwei Minuten. Pflichtinhalte sind Art der Verletzung, mögliche Folgen, ergriffene Maßnahmen und konkrete Handlungsempfehlungen, etwa Passwort-Änderung, Sperrung der Kreditkarte oder besondere Wachsamkeit bei Phishing-Mails.

Der Versandkanal sollte der üblichen Kommunikation entsprechen. Wenn die Geschäftsbeziehung digital ist, genügt E-Mail mit gesicherter Zustellung. Bei Hochrisikofällen, etwa der Offenlegung von Gesundheitsdaten, ist eine schriftliche Benachrichtigung sinnvoll, idealerweise mit Rückkanal über eine Hotline oder ein FAQ unter einer dedizierten URL.

Eine Ausnahme nach Art. 34 Abs. 3 DSGVO besteht, wenn geeignete Schutzmaßnahmen, etwa starke Verschlüsselung, das Risiko nachträglich auf ein unwahrscheinliches Niveau senken. Diese Ausnahme ist eng zu interpretieren und schriftlich zu begründen, sonst wird sie bei Prüfung kassiert. Eine öffentliche Bekanntmachung tritt nur an die Stelle der Einzelbenachrichtigung, wenn diese unverhältnismässig wäre.

Bei grenzüberschreitenden Sachverhalten greift der One-Stop-Shop-Mechanismus nach Art. 56 DSGVO. Federführend ist die Behörde des Hauptniederlassungslandes, beteiligte Aufsichtsbehörden werden über das IMI-System informiert. Diese Koordination übernimmt im CIVAC-Modell der bestellte oder lizenzierte externe Datenschutzbeauftragte in Abstimmung mit der Rechtsabteilung.

Die Betroffenenbenachrichtigung ist auch eine PR-Frage. Der Ton entscheidet, ob Vertrauen erhalten bleibt. Klare Sprache, konkrete Hilfen, sichtbare Verantwortungsübernahme. Marketing-Floskeln verschlimmern den Schaden, juristisches Verklausulieren auch.

Art. 33 Abs. 4 DSGVO erlaubt eine schrittweise Meldung, wenn nicht alle Informationen innerhalb von 72 Stunden vorliegen. Voraussetzung ist eine Erstmeldung mit dem zu diesem Zeitpunkt verfügbaren Stand und eine Ankündigung, welche Punkte später ergänzt werden. Eine vollständige Verzögerung ist nur mit Begründung zulässig, etwa wenn forensische Analysen den Schaden erst nach Tagen klären.

Typische Nachmeldungen betreffen die Anzahl der Betroffenen, den Umfang der Datenkategorien, die Wirksamkeit der Sofortmaßnahmen oder neu identifizierte Angriffsvektoren. Jede Nachmeldung wird unter dem ursprünglichen Aktenzeichen geführt und sollte denselben strukturellen Aufbau wie die Erstmeldung haben, damit der Prüfer die Entwicklung schnell nachvollziehen kann.

Wenn sich der Sachverhalt grundlegend ändert, etwa von einer internen Fehlbedienung zu einem externen Angriff, ist die Aufsichtsbehörde ausdrücklich darauf hinzuweisen. Solche Re-Klassifikationen verändern die rechtliche Bewertung und können zusätzliche Meldepflichten nach NIS-2 oder dem BSI-Gesetz auslösen, die parallel zu beachten sind.

Die abschliessende Meldung nach Vorfallsschluss enthält die endgültigen Zahlen, die finale Maßnahmenbilanz und die Lessons Learned. Diese Bilanz sollte mit dem internen Vorfallregister deckungsgleich sein und durch den DSB gegengezeichnet werden. Die Aufsichtsbehörden nutzen sie häufig als Anknüpfungspunkt für anschliessende Anordnungen oder die Schliessung des Vorgangs.

Im CIVAC-Workspace versionieren sich Erst-, Zwischen- und Abschlussmeldung automatisch mit Zeitstempel, Autor und Inhaltsdiff. Die Aufsichtsbehörde sieht damit nicht nur den aktuellen Stand, sondern auch die Genese der Erkenntnis. Das stärkt die Verteidigung gegen den Vorwurf, Sachverhalte seien zurückgehalten worden.

Eine Nachmeldung, die mehr als 30 Tage nach der Erstmeldung erfolgt, sollte intern begründet werden. Die Behörden fragen erfahrungsgemäss, warum die Analyse so lange gedauert hat. Eine plausible Begründung, etwa die Komplexität forensischer Untersuchungen, ist akzeptabel, eine fehlende Begründung wirkt nachlässig.

Eine Datenpanne kann gleichzeitig eine NIS-2-meldepflichtige Sicherheitsverletzung sein. Das NIS2UmsuCG verlangt nach § 32 BSIG-E eine Frühwarnung innerhalb von 24 Stunden und eine Folgemeldung innerhalb von 72 Stunden an das BSI. Die Fristen laufen parallel zu Art. 33 DSGVO und müssen jeweils gesondert gewahrt werden, auch wenn der Sachverhalt identisch ist.

Telekommunikations- und Telemediendienste meldepflichten zusätzlich nach § 169 TKG bei Verletzungen des Schutzes personenbezogener Daten der Nutzer. Die Frist beträgt unverzüglich, in der Praxis ebenfalls 24 Stunden. Der Adressat ist die BNetzA, nicht die Aufsichtsbehörde nach DSGVO. Auch hier gilt: zwei Meldungen, ein Sachverhalt, doppelte Dokumentation.

Finanzinstitute fallen unter DORA und die einschlägigen BaFin-Rundschreiben. Zahlungsdienstleister melden zusätzlich nach Art. 96 PSD2. Krankenhäuser, KRITIS-Betreiber und Energieunternehmen haben eigene Pfade nach BSIG, EnWG oder dem Krankenhauszukunftsgesetz. Die zuständigen Adressaten und Fristen unterscheiden sich teils erheblich.

Die CIVAC-Rolle Informationssicherheitsbeauftragter und die DSB-Rolle teilen sich im Workspace einen gemeinsamen Vorfallstamm. Das vermeidet inhaltliche Widersprüche zwischen DSGVO- und NIS-2-Meldung und stellt sicher, dass beide Pfade aus derselben Faktenlage gespeist werden.

Wer mehrere Pfade gleichzeitig bedient, sollte eine einheitliche Vorfall-ID intern führen und in jeder Meldung als interne Referenz nennen. So lassen sich später bei Querprüfungen oder Anordnungen die Bezüge ohne Aufwand herstellen. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Aufsichtsbehörden tauschen sich zunehmend mit dem BSI und der BaFin aus. Widersprüche zwischen den Meldungen, etwa abweichende Betroffenenzahlen oder unterschiedliche Vorfallzeitpunkte, fallen auf und ziehen Nachfragen nach sich. Konsistenz ist hier kein Stilthema, sondern eine Verteidigungslinie.

Art. 83 Abs. 4 lit. a DSGVO sieht für Verstöße gegen die Meldepflichten ein Bußgeld von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Konzernumsatzes vor, je nachdem welcher Betrag höher ist. Die Aufsichtsbehörden haben in den letzten Jahren in Deutschland mehrfach Bußgelder im sechsstelligen Bereich allein wegen verspäteter Meldungen verhängt, auch ohne dass ein Datenschutzverstoß im Kern festgestellt wurde.

Die Verantwortung trägt nach § 9 OWiG und § 130 OWiG die Geschäftsführung. Eine Delegation an den DSB entlastet nicht, weil der DSB nach Art. 38 Abs. 6 DSGVO keine Letztverantwortung übernehmen darf. Wer das ignoriert, riskiert persönliche Haftung der Organe und in Ausnahmefällen strafrechtliche Konsequenzen nach § 42 BDSG.

Die Bußgeldzumessung berücksichtigt die Mitwirkung. Eine offene, zügige Meldung, eine substanzielle Maßnahmenbilanz und ein dokumentierter Lernprozess wirken bußgeldmindernd nach Art. 83 Abs. 2 DSGVO. Defensive Kommunikation, unvollständige Angaben oder das Verschleppen der Erstmeldung wirken erhöhend. Die Differenz beträgt oft den Faktor drei bis fünf.

Ein dokumentiertes Risikomanagement, regelmässige Tabletop-Übungen und nachgewiesene Schulungen senken die Wahrscheinlichkeit eines Bußgelds zusätzlich. Die Aufsichtsbehörden bewerten dies als Indiz für die Sorgfaltspflicht nach Art. 5 Abs. 2 DSGVO und reduzieren entsprechend. CIVAC dokumentiert diese Reife mit 490 einsatzbereiten Audit-Vorlagen und einer revisionssicheren Berichtslinie zur Geschäftsleitung.

Versicherungen decken Bußgelder in Deutschland nicht, das gilt auch für D&O-Policen. Die finanzielle Last bleibt beim Unternehmen, der Reputationsschaden kommt obendrauf. Allein deshalb lohnt sich die Investition in einen verlässlichen Meldepfad mehr als die Hoffnung auf Risikotransfer.

Die Geschäftsführung sollte vierteljährlich einen Bericht zum Vorfallstand und zur Meldepraxis erhalten. Dieser Bericht ist Teil der ordnungsgemäßen Geschäftsorganisation und wird im Ernstfall vom Prüfer angefragt. Fehlt er, fehlt ein wesentlicher Baustein der Verteidigung.

Stunde 0 bis 4: Triage. Der Vorfall wird im zentralen Eingangskanal aufgenommen, der DSB informiert, eine Erstbewertung erstellt. Beteiligt sind IT, SOC, Datenschutz und ein Geschäftsführungsmitglied. Sofortmaßnahmen wie Account-Sperrung, System-Isolation oder Patch-Roll-out laufen parallel. Alles mit Zeitstempel im Vorfallregister.

Stunde 4 bis 12: Sachverhaltsklärung. Forensik klärt Umfang, Eintrittszeitpunkt, Datenkategorien und betroffene Personen. Die Risikobewertung nach Art. 32 und 33 DSGVO erfolgt schriftlich. Ein Entwurf der Behördenmeldung entsteht. Die Rechtsabteilung prüft parallele Meldepfade nach NIS-2, TKG, PSD2 oder BSIG.

Stunde 12 bis 24: Abstimmung. Geschäftsführung, DSB und Pressestelle stimmen sich ab. Die Meldung an die Aufsichtsbehörde wird finalisiert, das Aktenzeichen wird abgewartet. Parallel beginnt die Vorbereitung der Betroffenenbenachrichtigung nach Art. 34 DSGVO, falls hohes Risiko vorliegt. Die Kommunikation mit dem Verarbeiter wird dokumentiert.

Stunde 24 bis 72: Meldung und Folgekommunikation. Die Behördenmeldung wird abgesendet, das Aktenzeichen ins Register eingetragen. Nachmeldungen werden angekündigt. Bei hohem Risiko erfolgt die Betroffenenbenachrichtigung über den geeigneten Kanal mit Hotline-Backup. Lessons Learned werden initial gesammelt.

Nach 72 Stunden: Abschluss und Lernen. Eine Vorfall-Retrospektive klärt, was funktioniert hat und was nicht. Schwachstellen im Meldepfad fliessen in die nächste Schulung und in die Aktualisierung der Vorlagen zurück. Der Geschäftsführungsbericht wird erstellt, die CIVAC-FAQ-Seite mit aktualisierten Praxisbeispielen wird intern geteilt.

Diese Choreografie funktioniert nur, wenn sie geübt ist. CIVAC empfiehlt mindestens eine Tabletop-Übung pro Jahr mit echten Rollen, echten Vorlagen und echten Eskalationspfaden. Wer den Ernstfall zum ersten Mal im Ernstfall durchspielt, verliert die ersten 24 Stunden.

CIVAC ist Compliance-Plattform und Officer-as-a-Service. Sie können den Workspace für Ihre internen Beauftragten lizenzieren, oder Sie lassen unsere Beauftragten bestellen. In beiden Varianten erhalten Sie denselben Meldepfad: Vorfallregister, Risikobewertung nach Art. 33 DSGVO, Behördenformular, Versionierung, Aktenzeichen-Tracking und Anschluss an Art. 34.

Die 490 einsatzbereiten Audit-Vorlagen umfassen Erstmeldung, Nachmeldung, Betroffenenbenachrichtigung in klarer Sprache, internes Vorfallregister nach Art. 33 Abs. 5 DSGVO, Geschäftsführungsbericht und Tabletop-Drehbücher. Alle Vorlagen sind mit den deutschen Aufsichtsbehörden abgestimmt und werden bei Behördenrundschreiben oder EDSA-Leitlinien zeitnah aktualisiert.

Der bestellte oder lizenzierte Datenschutzbeauftragte arbeitet in der Berichtslinie zur Geschäftsführung, mit dokumentierter Bestellurkunde, klarer Eskalationsmatrix und einer SLA von zwei Werktagen für die Erstreaktion. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die EU-Datenresidenz aller Vorfalldaten ist Standard. Der Vorfallstamm wird mit der ISB-Rolle geteilt, sodass eine NIS-2-Meldung an das BSI parallel und konsistent möglich ist. Das verhindert Widersprüche zwischen den Meldungen und reduziert das Risiko zusätzlicher Anordnungen.

Wenn Sie heute prüfen möchten, ob Ihr Meldepfad den Anforderungen nach Art. 33 und 34 DSGVO standhält, sprechen Sie uns an. Aus dem Lesen einen Auftrag machen: info@civac.de oder das Kontaktformular auf civac.de. Eine erste Einschätzung erfolgt innerhalb von zwei Werktagen, inklusive Hinweise auf akute Lücken.

Wer einen aktuellen Vorfall hat, wählt den Express-Pfad. Der bestellte DSB übernimmt die Behördenkommunikation, der Workspace stellt die Vorlagen, die Berichtslinie zur Geschäftsführung steht ab Tag eins. Der Prüfer ruft an, der Nachweis liegt bereit.