Meldepflicht bei Datenschutzverletzungen: Die 72-Stunden-Frist richtig einhalten

Was als Datenschutzverletzung gilt

Eine Datenschutzverletzung im Sinne der DSGVO liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, verloren oder zerstört werden – von einem gestohlenen Laptop über eine falsch adressierte E-Mail mit Kundendaten bis zum Ransomware-Angriff auf die IT-Infrastruktur.

Die 72-Stunden-Frist

Nach Art. 33 DSGVO muss eine Datenschutzverletzung, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führt, binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Diese Frist beginnt bereits mit der Kenntnis des Vorfalls, nicht erst mit dessen vollständiger Aufklärung.

Warum 72 Stunden knapper sind, als sie klingen

• Wochenenden und Feiertage zählen mit – ein Vorfall am Freitagabend lässt kaum Luft.
• Zunächst muss überhaupt erkannt werden, dass ein meldepflichtiger Vorfall vorliegt – das erfordert geschulte Mitarbeitende.
• Die Meldung muss bereits konkrete Angaben enthalten: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der betroffenen Personen, Kontaktstelle, ergriffene und geplante Maßnahmen.

Wann zusätzlich die Betroffenen informiert werden müssen

Besteht voraussichtlich ein hohes Risiko für die betroffenen Personen (z. B. bei Gesundheitsdaten oder Zugangsdaten), müssen nach Art. 34 DSGVO zusätzlich die Betroffenen selbst unverzüglich informiert werden – unabhängig von der Behördenmeldung.

Wie sich Unternehmen vorbereiten können

• Einen klaren internen Meldeweg definieren: Wer muss bei einem Verdacht sofort informiert werden?
• Eine Vorlage für die Meldung an die Aufsichtsbehörde bereithalten, statt sie im Ernstfall erst zu erstellen.
• Regelmäßige Schulungen, damit Mitarbeitende einen möglichen Vorfall überhaupt als solchen erkennen.

Wie CMD im Ernstfall unterstützt

Als externer Datenschutzbeauftragter übernimmt CMD die Einschätzung des Risikos, die fristgerechte Meldung an die Behörde und die Kommunikation mit betroffenen Personen – strukturiert statt in Panik.

Fazit

Die 72-Stunden-Frist lässt sich nur einhalten, wenn im Unternehmen vorab klar ist, wer im Ernstfall was zu tun hat. Ein vorbereiteter Prozess entscheidet darüber, ob eine Datenpanne glimpflich verläuft oder eskaliert.