DSGVO-Datenpanne Art. 33/34 — wann muss ich Betroffene informieren?

1. Worum es geht — die zweite Meldekaskade

Ein Cyber-Vorfall löst nicht pauschal eine DSGVO [EU-DSGVO]-Meldung aus. Er kann aber neben der technischen und BSIG-rechtlichen Lage eine zweite, eigene Meldekaskade öffnen: die Datenschutz-Schiene nach Art. 33 und Art. 34 DSGVO. Diese Schiene fragt nicht zuerst nach „Ransomware“, „BSI“ oder „Lösegeld“, sondern nach personenbezogenen Daten, nach einer Verletzung des Schutzes dieser Daten und nach dem Risiko für natürliche Personen.

Für die Nachtlage lässt sich die Sofortantwort so verdichten: Erstens wird nicht der Angriff als solcher gemeldet, sondern eine bestätigte oder hinreichend sichere Verletzung des Schutzes personenbezogener Daten. Zweitens läuft die Datenschutzfrist ab Bekanntwerden dieser Verletzung, nicht ab Abschluss der Forensik. Drittens entscheidet die Risikostufe über Behördenmeldung und Betroffenenbenachrichtigung; dokumentiert wird jede bestätigte Verletzung des Schutzes personenbezogener Daten. Viertens ersetzen BSI-, TK-, DORA-, Versicherungs- oder Strafanzeigenwege die Art.-33-/34-Prüfung nicht. Fünftens ist eine frühe, ehrliche und fortschreibbare Meldung belastbarer als eine späte, scheinbar perfekte Meldung.

Für die Geschäftsleitung ist die praktische Antwort deshalb dreistufig:

Die wichtigste Trennung lautet: BSI-Meldung ist nicht Datenschutzmeldung. Datenschutzmeldung ist nicht BSI-Meldung. Die BSI-Meldekaskade nach § 32 BSIG [N-BSIG-32] steht in BSI-Meldepflicht (§ 32 BSIG); das operative Krisenmanagement der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden. A4-03 behandelt die Datenschutz-Schiene eigenständig.

Für einen Vorstand oder Geschäftsführer bedeutet das: Entscheidend ist nicht, ob der Vorfall technisch schon vollständig verstanden ist. Entscheidend ist, ob mit hinreichender Gewissheit eine Verletzung personenbezogener Daten vorliegt und welche Risikostufe daraus folgt. Die Forensik läuft weiter; die Meldeentscheidung darf nicht auf die perfekte Endanalyse warten.

Demut-Box: Wochenende, Feiertage und Forensik
Die Formel lautet nicht: „Wir haben 72 Stunden Zeit.“ Sie lautet: Die Meldung erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde. Eine spätere Meldung braucht eine Begründung. Wochenenden und Feiertage sind kein sicherer Puffer: Operativ wird konservativ geplant, weil die Organisation Meldeweg, Stellvertretung, Rechtsfreigabe und Nachmeldeplan auch außerhalb normaler Bürozeiten beherrschen muss. Die allgemeine EU-Fristenverordnung 1182/71 kann für Fristenfragen relevant werden; sie ersetzt aber nicht die Pflicht, unverzüglich zu handeln. Fehlende Endzahlen oder offene Forensik blockieren die Erstmeldung nicht; Art. 33 Abs. 4 DSGVO trägt die schrittweise Nachmeldung.

Perspektiven im Lagebild

2. Was ist eine „Verletzung des Schutzes personenbezogener Daten“?

Die DSGVO [EU-DSGVO] spricht nicht von „Datenpanne“ als juristischem Hauptbegriff. Der Legalbegriff lautet Verletzung des Schutzes personenbezogener Daten. „Datenpanne“ bleibt das alltagssprachliche Kürzel.

Art. 4 Nr. 12 DSGVO
„Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

Aus dieser Definition folgen fünf Verletzungsmodi:

Der erste Prüfstein ist der Personenbezug. Ein reiner Ausfall eines Maschinensensors ohne Bezug zu natürlichen Personen kann ein IT-Sicherheitsvorfall sein, aber keine DSGVO-Datenpanne. Sobald jedoch Kunden-, Beschäftigten-, Nutzer-, Gesundheits-, Finanz-, Kommunikations-, Standort-, Log-in- oder sonstige personenbezogene Daten betroffen sind, beginnt die DSGVO-Prüfung.

Der zweite Prüfstein ist die Art der Verletzung. Eine Ransomware-Verschlüsselung ohne bewiesene Exfiltration kann trotzdem eine Verletzung sein, weil Art. 4 Nr. 12 auch Vernichtung, Verlust und Veränderung erfasst. Das ist besonders wichtig bei HR-Systemen, Kliniken, Produktionsplanung mit Beschäftigtendaten, Kundenportalen oder Ticketsystemen: Verfügbarkeit und Integrität sind nicht bloß technische Nebenthemen.

Der dritte Prüfstein ist die Risikoprognose. Nicht jede Verletzung wird gemeldet. Aber jede Verletzung muss so dokumentiert werden, dass später nachvollziehbar ist, warum keine Meldung oder keine Betroffenenbenachrichtigung erfolgt ist.

Bei Verfügbarkeitsvorfällen gilt deshalb eine doppelte Vorsicht. Eine Ransomware-Verschlüsselung, ein zerstörtes Backup oder ein längerer Ausfall eines Patienten-, HR- oder Kundenportals kann eine Verletzung sein. Nicht jeder kurze Verfügbarkeitsausfall ist aber automatisch meldepflichtig. Entscheidend sind Dauer, Kritikalität des Systems, Wiederherstellbarkeit, betroffene Personengruppe, konkrete Auswirkungen und die Frage, ob der Ausfall physische, materielle oder immaterielle Schäden wahrscheinlich macht.

Verschlüsselung ist nicht nur ein Thema der Art.-34-Ausnahme. Sie kann bereits die Art.-33-Risikoprognose senken, wenn die betroffenen personenbezogenen Daten für Unbefugte praktisch unverständlich sind, die Schlüssel nicht kompromittiert wurden, keine Klartextkopien betroffen sind und die Daten zuverlässig wiederhergestellt werden können. Das ist keine Pauschalregel. Kompromittierte Schlüssel, Admin-Konten, Tokens, Speicherabbilder, Exporte, Protokolldaten, fehlende Backups oder spätere Hinweise auf Zugriff können die Bewertung wieder kippen.

Risikofaktoren für die erste Prognose

Die Risikostufe hängt von Daten, Angriffslage, Belegen und Abhilfemaßnahmen ab.

Erwägungsgründe als Auslegungshilfe

Die Erwägungsgründe 75, 85, 86, 87 und 88 DSGVO sind keine eigenen Tatbestände. Sie helfen aber, Art. 33 und Art. 34 richtig zu lesen:

3. Die Meldung an die Aufsichtsbehörde — Art. 33 DSGVO

Art. 33 DSGVO [EU-DSGVO] ist die Behördenmeldung. Sie richtet sich an die zuständige Datenschutz-Aufsichtsbehörde, nicht an das BSI. Sie wird durch eine Verletzung des Schutzes personenbezogener Daten ausgelöst, wenn die Verletzung voraussichtlich zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt.

Wortlaut Art. 33 DSGVO

Art. 33 Abs. 1 DSGVO
Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.

Art. 33 Abs. 2 DSGVO
Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.

Art. 33 Abs. 3 DSGVO
Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
d) eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Art. 33 Abs. 4 DSGVO
Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.

Art. 33 Abs. 5 DSGVO
Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.

Fassungsfalle: Art. 55, nicht Art. 51

Im Art.-33-Zitat steht „gemäß Artikel 55 zuständigen Aufsichtsbehörde“. Die überholte Ursprungsfassung verwies auf Artikel 51. Für A4-03 zählt die konsolidierte Fassung. Wer in der Behördenmeldung oder im internen Memo „Artikel 51“ aus einer alten Textdatei übernimmt, setzt einen unnötigen Genauigkeitsfehler genau an der Normstelle, an der Genauigkeit sichtbar wird.

Bekanntwerden: nicht bloßer Alarm, nicht vollständige Gewissheit

Der Fristlauf beginnt nicht schon mit jedem SIEM-Alarm und nicht erst mit dem finalen Forensikbericht. Nach Behördenpraxis ist ein Verantwortlicher in der Regel dann „aware“, wenn ein angemessener Grad an Gewissheit besteht, dass ein Sicherheitsvorfall zu einer Verletzung personenbezogener Daten geführt hat.

Praktisch bedeutet das:

• Ein bloßer technischer Verdacht darf kurz geprüft werden.
• Diese Vorprüfung muss sofort und ernsthaft laufen.
• Sobald der Personenbezug und ein Verletzungsmodus tragfähig feststehen, wird der Fristlauf nicht durch weitere Detailfragen angehalten.
• Unklare Zahlen, offene Empfängerkreise und noch laufende Forensik werden über Art. 33 Abs. 4 DSGVO nachgemeldet.

Die Kenntnisfrage darf nicht als internes Zuständigkeitsversteck behandelt werden. Wenn Security, IT, Datenschutz, Rechtsabteilung, Kundenservice oder ein Dienstleister belastbare Hinweise auf Personenbezug und Verletzungsmodus haben, muss die Lageführung diese Information schnell zum Verantwortlichen bringen. Ein Ticket, das im falschen Postfach liegen bleibt, ist kein verlässliches Fristargument; es ist ein Prozessproblem.

Auch Sammelmeldungen dürfen nicht zum Verzögerungsinstrument werden. Bei einem fortlaufenden Angriff kann eine Lage zusammenhängend erklärt und nach Art. 33 Abs. 4 fortgeschrieben werden. Was nicht trägt, ist das künstliche Warten, bis mehrere getrennte Verletzungen „fertig gesammelt“ sind. Die sichere Route ist Erstmeldung, Statusklarheit, Nachmeldung.

Demut-Box: Was in die erste Meldung gehört
Die erste Meldung muss nicht perfekt sein. Sie muss ehrlich, nachvollziehbar und fortschreibbar sein. Wenn die Zahl der Betroffenen noch nicht feststeht, werden Kategorien und ungefähre Zahlen genannt. Wenn Exfiltration noch geprüft wird, wird der Stand der Belege erklärt. Wenn Maßnahmen laufen, werden ergriffene und vorgeschlagene Maßnahmen getrennt.

Die vier Mindestinhalte als Arbeitsauftrag

Die Meldung ist kein Ersatz für Schadensbegrenzung. Die Behörde will nicht allein wissen, dass etwas passiert ist, sondern was das Unternehmen zur Begrenzung der Folgen tut.

Dokumentation auch ohne Meldung

Die Risiko-Ausnahme in Art. 33 Abs. 1 befreit nicht von Art. 33 Abs. 5. Wenn der Verantwortliche entscheidet, wegen voraussichtlich fehlenden Risikos nicht zu melden, muss gerade diese Entscheidung dokumentiert werden.

Ein belastbares Breach-Register enthält mindestens:

Das Register muss nicht zwingend ein eigenes Tool sein. Es kann in einem Incident- oder Compliance-System geführt werden, wenn die Datenpanneninformationen klar identifizierbar, exportierbar, zugriffsbeschränkt und später nachvollziehbar sind. Enthält das Register personenbezogene Daten, braucht es selbst Rollenrechte, Speicherlogik und Vertraulichkeit.

4. Der Auftragsverarbeiter und gemeinsam Verantwortliche

Viele Datenpannen entstehen nicht im eigenen Rechenzentrum. Sie entstehen bei Cloud-Dienstleistern, Payroll-Anbietern, Callcentern, Marketingplattformen, Hosting-Providern, SaaS-Anbietern, IT-Wartungspartnern oder Konzern-Shared-Services.

Art. 33 Abs. 2 DSGVO [EU-DSGVO] regelt deshalb die erste Kette beim Auftragsverarbeiter:

Art. 33 Abs. 2 DSGVO
Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.

Der Auftragsverarbeiter meldet also an den Verantwortlichen. Die Behördenmeldung bleibt grundsätzlich Aufgabe des Verantwortlichen, sofern nicht im Einzelfall ein anderes Rollenbild vorliegt. Das ist keine Formalie: Der Verantwortliche entscheidet über Risiko, Meldung, Betroffenenbenachrichtigung und Nachmeldung. Der Auftragsverarbeiter muss nicht erst die vollständige Risikoanalyse des Verantwortlichen durchführen; seine Pflicht ist die unverzügliche Information, sobald ihm eine Verletzung bekannt wird.

Das Vertragslabel allein entscheidet die Rolle nicht. Wer Zwecke und wesentliche Mittel der Verarbeitung selbst bestimmt, ist Verantwortlicher oder gemeinsam Verantwortlicher, auch wenn ein Vertrag ihn operativ „Dienstleister“ nennt. Wer dagegen nur weisungsgebunden verarbeitet, bleibt Auftragsverarbeiter und muss den Verantwortlichen so schnell informieren, dass dieser seine Art.-33-/34-Pflichten erfüllen kann.

Fristbeginn bei AV-Vorfällen

Die sichere Arbeitsregel lautet:

Default-Regel
Der Verantwortliche kalkuliert die Art.-33-Frist spätestens ab Eingang der AV-Meldung. Vorherige Kenntnis- oder Zurechnungsfragen werden als offene anwaltliche Lesart dokumentiert, aber nicht als Verzögerungsargument genutzt.

Das bedeutet für Verträge: Ein Auftragsverarbeitungsvertrag sollte nicht lediglich „unverzüglich“ wiederholen. Er sollte konkrete Erstalarm-Fristen, Mindestinformationen, Eskalationswege, Nachmeldepflichten, Forensik-Mitwirkung, Beweissicherung, Subunternehmerketten und Kontaktstellen enthalten. Art. 28 Abs. 3 Buchstabe f DSGVO ist dafür der Vertragsanker, weil der Auftragsverarbeiter den Verantwortlichen bei Pflichten aus Art. 32 bis 36 DSGVO unterstützen muss.

AV-Meldung: Was sofort gebraucht wird

Gemeinsam Verantwortliche

Bei gemeinsam Verantwortlichen nach Art. 26 DSGVO muss die Melde- und Benachrichtigungsführung vorab geregelt sein. Das betrifft zum Beispiel gemeinsame Plattformen, Konzernsysteme, Co-Branding-Angebote, gemeinsame Bewerberportale oder Datenpools.

Die Rollenregel ersetzt nicht die eigene Verantwortlichkeit. Sie verhindert aber, dass am Wochenende drei Rechtsabteilungen aufeinander warten. Praktisch braucht die Art.-26-Vereinbarung eine Incident-Leitung, eine Kommunikationsstelle, eine Regel zur Behördenkommunikation, eine Freigabekette für Betroffeneninformationen und eine Eskalation bei Uneinigkeit.

5. Die Benachrichtigung der Betroffenen — Art. 34 DSGVO

Art. 34 DSGVO [EU-DSGVO] ist nicht die Behördenmeldung. Art. 34 ist die direkte Kommunikation an die betroffenen Personen. Sie kommt zusätzlich zur Art.-33-Meldung in Betracht, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.

Wortlaut Art. 34 DSGVO

Art. 34 Abs. 1 DSGVO
Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.

Art. 34 Abs. 2 DSGVO
Die in Absatz 1 genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 33 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.

Art. 34 Abs. 3 DSGVO
Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:
a) der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese Vorkehrungen wurden auf die von der Verletzung betroffenen personenbezogenen Daten angewandt, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;
b) der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht;
c) die Benachrichtigung wäre mit einem unverhältnismäßigen Aufwand verbunden. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.

Art. 34 Abs. 4 DSGVO
Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann die Aufsichtsbehörde unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder sie kann mit einem Beschluss feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.

Die deutsche Fassung verwendet in Art. 34 Abs. 1 den Ausdruck „persönlichen Rechte und Freiheiten“. Der Text wird nicht an die Formulierung aus Art. 33 Abs. 1 angeglichen.

Kommunikationsmaßstab: Art. 12 DSGVO

Art. 34 Abs. 2 verlangt „klare und einfache Sprache“. Art. 12 DSGVO ist der breitere Kommunikationsmaßstab im Hintergrund: Informationen und Mitteilungen an betroffene Personen müssen präzise, transparent, verständlich, leicht zugänglich und in klarer und einfacher Sprache erfolgen. Für die Datenpannenkommunikation heißt das: keine Forensik-Rohdaten, keine juristischen Ausweichformeln, keine Beschwichtigungssätze. Praktisch brauchen Betroffene regelmäßig Datenkategorien, wahrscheinliche Folgen, Schutzmaßnahmen, Kontaktwege und konkrete nächste Schritte; die gesetzliche Mindeststruktur folgt Art. 34 Abs. 2 in Verbindung mit Art. 33 Abs. 3 Buchstaben b, c und d.

Die Kommunikationsfreigabe ist deshalb keine reine PR-Frage. Recht, Datenschutz, CISO, HR und Kundenservice müssen denselben Tatsachenstand verwenden; sonst entstehen widersprüchliche Aussagen gegenüber Behörde, Beschäftigten, Kunden, Presse und Callcenter.

Für die Freigabe hilft eine Negativliste. Eine Art.-34-Information sollte keine ausnutzbaren Exploit-Details, keine unbelegte Entwarnung, keine Schuldzuweisung an Betroffene, keine widersprüchlichen Zeitachsen und keine Werbebotschaften enthalten. Formulierungen wie „uns liegen keine Hinweise auf Missbrauch vor“ sind nur tragfähig, wenn zugleich erklärt wird, worauf diese Aussage beruht und welche Risiken trotzdem möglich bleiben.

Die Information muss außerdem den tatsächlichen Empfänger erreichen können: verständliche Sprache, zugänglicher Kanal, belastbare Kontaktstelle, ausreichend besetzte Hotline oder Mailbox und eine FAQ, die dieselbe Tatsachenversion nutzt wie Behördenmeldung, Kundenbetreuung und interne Kommunikation.

Was „hohes Risiko“ praktisch bedeutet

Ein hohes Risiko liegt näher, wenn die Folgen schwerwiegend sein können; konkrete Schutzhandlungen der Betroffenen sind ein starkes Kommunikations- und Dringlichkeitsindiz, aber kein zusätzlicher Tatbestand neben dem voraussichtlich hohen Risiko. Beispiele sind kompromittierte Zugangsdaten, Ausweisdaten, Zahlungsdaten, Gesundheitsdaten, intime Informationen, Beschäftigtendaten mit Konfliktpotenzial, Daten von Kindern, Erpressungsdaten, Kommunikationsinhalte oder Daten, die Diskriminierung, Rufschaden, Betrug oder Identitätsmissbrauch ermöglichen.

Die Perspektive der Betroffenen ist hier nicht Beiwerk. Sie ist der Zweck der Benachrichtigung: Die betroffene Person muss verstehen, was passiert ist, was ihr droht und was sie jetzt tun kann.

Eine gute Art.-34-Benachrichtigung beantwortet daher fünf Fragen:

Handlungsnah wird die Benachrichtigung erst, wenn sie nach Datenarten übersetzt wird:

Art.-34-Ausnahmen sind keine Art.-33-Ausnahmen

Die drei Ausnahmen in Art. 34 Abs. 3 betreffen ausschließlich die Benachrichtigung der betroffenen Personen. Sie heben die Behördenmeldung nach Art. 33 nicht auf und sie heben die Dokumentationspflicht nach Art. 33 Abs. 5 nicht auf.

Buchstabe a — Schutzvorkehrungen, insbesondere Verschlüsselung. Entscheidend ist nicht, ob das Unternehmen „irgendwo verschlüsselt“. Entscheidend ist, ob geeignete technische und organisatorische Sicherheitsvorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden und diese Daten für Unbefugte unzugänglich machen. Die Schutzwirkung muss zur betroffenen Datenlage passen; eine erst nach dem Vorfall eingeführte Maßnahme erklärt die konkrete Verletzung nicht rückwirkend unschädlich. Wenn Schlüssel, Tokens, Administratorkonten oder Klartextkopien mitbetroffen sind, trägt die Verschlüsselungsbehauptung nicht ohne weitere Prüfung.

Buchstabe b — nachfolgende Maßnahmen. Das hohe Risiko kann nachträglich entfallen, etwa durch wirksame Sperrung kompromittierter Zugangsdaten, Rückholung falsch versandter Daten, gerichtsfeste Löschbestätigung eines falschen Empfängers, Widerruf von Tokens oder technisch belegte Eindämmung. Auch hier gilt: Das muss dokumentiert werden.

Buchstabe c — unverhältnismäßiger Aufwand. Diese Ausnahme ist kein Schweigen. Wenn direkte Benachrichtigung unverhältnismäßig wäre, tritt eine öffentliche Bekanntmachung oder ähnliche Maßnahme an ihre Stelle, die vergleichbar wirksam informiert. Eine versteckte Pressemitteilung, ein schwer auffindbarer Blogbeitrag oder ein allgemeiner Social-Media-Post genügt dafür nicht automatisch. Maßstab ist, ob die betroffenen Personen realistisch vergleichbar wirksam erreicht werden.

Timing: parallel zur Behörde, nicht erst nach Behördenschluss

Art. 34 ist keine Nachklapp-Pflicht nach Abschluss der Art.-33-Meldung. Wenn das voraussichtlich hohe Risiko tragfähig feststeht, wird die Betroffenenkommunikation parallel vorbereitet und bei Bedarf unverzüglich ausgelöst; konkrete Schutzhandlungen erhöhen die Dringlichkeit, sind aber nicht Voraussetzung des Art.-34-Triggers.

Ein eng begrenzter Aufschub kann ausnahmsweise in Betracht kommen, wenn sofortige Kommunikation Strafverfolgung, Eindämmung oder Schutzmaßnahmen konkret und belegbar gefährden würde. Das ist aber kein pauschaler Kommunikationsstopp. Der Aufschub muss eng begründet, laufend überprüft und dokumentiert werden.

Deutschland-Sonderpunkt: § 29 Abs. 1 BDSG

§ 29 Abs. 1 BDSG [N-BDSG-29] enthält eine zusätzliche nationale Begrenzung der Art.-34-Benachrichtigung bei Geheimhaltungspflichten. Der Kerngedanke lautet: Die Benachrichtigung kann unterbleiben, soweit dadurch Informationen offenbart würden, die ihrem Wesen nach oder kraft Gesetzes geheim gehalten werden müssen, insbesondere wegen überwiegender berechtigter Interessen eines Dritten. Zugleich bleibt eine Gegenabwägung: Die betroffene Person ist zu benachrichtigen, wenn ihre Interessen, insbesondere unter Berücksichtigung drohender Schäden, gegenüber dem Geheimhaltungsinteresse überwiegen.

Das ist keine Befreiung von Art. 33. Es ist ein Deutschland-Sonderpunkt für die Betroffenenbenachrichtigung.

6. Doppel- und Sonderkaskaden

Ein Cyber-Vorfall kann gleichzeitig mehrere Normwelten berühren. Der sichere Satz lautet nicht „wir haben gemeldet“, sondern: Wir haben jede einschlägige Kaskade mit eigenem Auslöser, eigenem Adressaten, eigener Frist und eigenem Inhalt geprüft.

BSIG vs. DSGVO

Eine BSI-Meldung deckt die Datenschutzmeldung nicht mit ab. Eine Datenschutzmeldung deckt die BSI-Meldung nicht mit ab. Beide Kaskaden können aus demselben Lebenssachverhalt entstehen, aber sie sind nicht derselbe Meldeweg.

TK/ePrivacy/TDDDG-Sonderpfad

Für Anbieter öffentlich zugänglicher Telekommunikationsdienste kann § 169 TKG [N-TKG-169] einschlägig sein. Dieser Sonderpfad betrifft Datenpannen im TK/ePrivacy-Kontext und darf nicht mit § 168 TKG [N-TKG-168] verwechselt werden, der Sicherheitsvorfälle adressiert.

Die Routing-Logik ist differenziert:

Wichtig ist die Reichweite dieses Mischfall-Satzes: Er betrifft denselben Lebenssachverhalt. Wenn daneben ein separater Datenbereich oder ein anderer Verstoß außerhalb des TK/ePrivacy-Sonderrechts betroffen ist, wird die DSGVO [EU-DSGVO]-Prüfung dafür nicht dadurch erledigt.

§ 169 TKG arbeitet zweistufig. Auf der ersten Stufe sind Verletzungen des Schutzes personenbezogener Daten im Anwendungsbereich gegenüber Bundesnetzagentur und BfDI [B-BFDI-BNETZA] zu melden. Auf der zweiten Stufe müssen Endnutzer oder andere Personen zusätzlich benachrichtigt werden, wenn anzunehmen ist, dass sie durch die Verletzung schwerwiegend in ihren Rechten oder schutzwürdigen Interessen beeinträchtigt werden.

Die Mindestinhalte sind ebenfalls eigener TK/ePrivacy-Stoff: Art der Verletzung, Kontaktstellen für weitere Informationen und Empfehlungen zur Begrenzung möglicher nachteiliger Auswirkungen. Diensteanbieter müssen zudem ein Verzeichnis der Verletzungen führen. Dieses Verzeichnis ist nicht mit dem allgemeinen DSGVO-Breach-Register identisch, kann aber organisatorisch damit verbunden werden, solange die Normwelten getrennt bleiben.

Über die ePrivacy-Durchführungsverordnung (EU) Nr. 611/2013 [EU-VO-611] ist zu berücksichtigen: Die Meldung an die zuständige nationale Behörde erfolgt, soweit möglich, spätestens 24 Stunden nach Feststellung der Verletzung; fehlen noch Informationen, kann zunächst eine Initialmeldung erfolgen und die zweite Meldung folgt so schnell wie möglich, spätestens innerhalb von drei Tagen nach der Initialmeldung. Die Behördenmeldung bleibt auch dann zu prüfen, wenn betroffene Daten geschützt oder verschlüsselt waren. Geeignete technische Schutzmaßnahmen können die Betroffenenbenachrichtigung beeinflussen; sie machen die Behördenmeldung nach § 169 TKG nicht entbehrlich.

§ 169 Abs. 1 Satz 5 TKG verweist für bestimmte Selbstbelastungskonflikte auf die Verwendungsbeschränkungen der §§ 42 Abs. 4 und 43 Abs. 4 BDSG [N-BDSG-42-43]. Diese Beschränkungen erfassen auch die in § 52 Abs. 1 StPO [N-StPO-52] bezeichneten Angehörigen. Das ist ein Demutanker, kein Freibrief: Die Meldung bleibt Pflicht, und die Verteidigungsstrategie ersetzt nicht die Erfüllung der Meldepflicht.

DORA-Finanzunternehmen

Für Finanzunternehmen kann daneben das DORA-IKT-Meldewesen relevant sein. DORA [EU-DORA] gilt nach Art. 64 seit dem 17. Januar 2025. A4-03 vertieft diese Schiene nicht; die DORA-oder-BSIG-Abgrenzung steht in DORA oder BSIG?. Auch hier gilt: DORA ersetzt nicht pauschal die Datenschutzprüfung nach Art. 33/34 DSGVO, wenn personenbezogene Daten betroffen sind.

Andere Meldungen und Mitteilungen

Strafanzeige, Cybercrime-Meldung, Versicherungsnotification, Kunden-FAQ, Krisen-PR oder vertragliche Kundenmeldung ersetzen keine Art.-33-/34-Prüfung. Sie können sinnvoll oder erforderlich sein, laufen aber auf anderen Rechtsgrundlagen, mit anderen Adressaten und mit anderer Beweisfunktion.

7. Zuständige Behörde und Routing

Art. 33 Abs. 1 DSGVO [EU-DSGVO] verweist auf die gemäß Art. 55 zuständige Aufsichtsbehörde. In Deutschland ist im Regelfall die Datenschutz-Aufsichtsbehörde des Landes zuständig; § 40 Abs. 1 BDSG [N-BDSG-40] ordnet die Überwachung der Anwendung der Datenschutzvorschriften durch nichtöffentliche Stellen den nach Landesrecht zuständigen Aufsichtsbehörden zu.

Das heißt praktisch: Der Sitz des Unternehmens ist ein starkes Routing-Indiz, aber nicht die ganze Prüfung. Bei grenzüberschreitender Verarbeitung kann der One-Stop-Shop nach Art. 56 DSGVO relevant werden. Dann ist die federführende Aufsichtsbehörde gesondert zu bestimmen; sie ist nicht zwingend die Behörde am Ort des Angriffs oder am Wohnsitz der meisten Betroffenen. Bestehen Zweifel über die federführende Behörde, wird ein Sicherheitsrouting an die naheliegende zuständige Aufsicht geprüft und an Sitz, Hauptniederlassung, betroffene Mitgliedstaaten, Verarbeitungsort sowie Sonderzuständigkeiten zurückgebunden. Bei Bundeseinrichtungen, Telekommunikation, besonderen Sektoren oder Konzernstrukturen können Sonderzuständigkeiten hinzukommen.

Grenzüberschreitende Fälle und VO (EU) 2025/2518

Die Verordnung (EU) 2025/2518 [EU-VO-2518] schafft eine neue Verfahrensschicht für grenzüberschreitende DSGVO-Durchsetzung. Für diesen Artikel ist sie ein Routing-Hinweis: Sie begründet keine zusätzliche Datenpannen-Meldepflicht. Sie ist seit dem 1. Januar 2026 in Kraft und grundsätzlich ab dem 2. April 2027 anwendbar. Bis dahin wird aus ihr keine aktuelle Verfahrenswirkung für Art.-33-/34-Meldungen abgeleitet.

Nicht-EU-Verantwortliche ohne Niederlassung im EWR

Wenn ein Verantwortlicher keine Niederlassung im EWR hat, aber der DSGVO unterfällt, darf die Meldungszuständigkeit nicht schematisch über eine vermeintliche Hauptniederlassung gelöst werden. Nach EDPB [B-EDPB]-Leitlinien löst die bloße Existenz eines Vertreters nach Art. 27 DSGVO keinen One-Stop-Shop aus. Ist ein Verantwortlicher ohne EWR-Niederlassung über Art. 3 Abs. 2 oder Abs. 3 DSGVO gebunden, kann die Verletzung gegenüber jeder Aufsichtsbehörde zu melden sein, in deren Mitgliedstaat betroffene Personen ansässig sind. Das ist ein eigenes Routing-Risiko, keine Detailfrage der normalen Landeszuständigkeit.

Art. 58 Abs. 2 Buchstabe e DSGVO

Wenn die Aufsichtsbehörde die Betroffenenbenachrichtigung für erforderlich hält, kann sie nach Art. 34 Abs. 4 DSGVO verlangen, dass der Verantwortliche die Benachrichtigung nachholt. Die dazugehörige Abhilfebefugnis steht in Art. 58 Abs. 2 Buchstabe e DSGVO. Der praktische Schluss: Eine unterlassene Art.-34-Kommunikation ist nicht endgültig, bloß weil das Unternehmen sie zunächst verneint hat.

8. Folgen und Druckkulisse

Verstöße gegen Art. 33 und Art. 34 DSGVO [EU-DSGVO] sind eigenständig bußgeldbewehrt. Sie werden nicht dadurch geheilt, dass die technische Ursache später behoben wird.

Art. 83 Abs. 4 Buchstabe a DSGVO
Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

Art. 33 und Art. 34 stehen innerhalb der Spanne „25 bis 39“. Deshalb erfasst Art. 83 Abs. 4 Buchstabe a Verstöße gegen diese Melde- und Benachrichtigungspflichten.

Daneben kann Art. 82 DSGVO zivilrechtlichen Druck erzeugen. Die aktuelle Rechtsprechungslinie ist differenziert: Der EuGH erkennt Kontrollverlust als möglichen immateriellen Schaden [R-EuGH-C-200-23] an, verlangt aber einen Schaden, einen DSGVO-Verstoß und Kausalität. Der BGH hat im Facebook-Scraping [R-VI-ZR-10-24]-Komplex den bloßen und kurzzeitigen Kontrollverlust als möglichen immateriellen Schaden eingeordnet. EuGH C-687/21 [R-EuGH-C-687-21] betont zugleich, dass ein Verstoß nicht ohne weitere Voraussetzungen Schadensersatz auslöst; Schaden und Kausalität müssen geprüft werden. Die Tiefe dazu steht in Haftung und Sanktionen — Überblick.

Demut-Box: Meldung ≠ Schuldeingeständnis
Die Meldung ist Pflichterfüllung. Sie ist kein Schuldeingeständnis mit Automatikwirkung, aber auch kein Bußgeldfreibrief. §§ 42 Abs. 4 und 43 Abs. 4 BDSG enthalten Verwendungsbeschränkungen für Art.-33-Meldungen und Art.-34-Benachrichtigungen in Straf- bzw. Ordnungswidrigkeitenverfahren gegen den Meldepflichtigen oder Benachrichtigenden sowie gegen die in § 52 Abs. 1 StPO bezeichneten Angehörigen ohne Zustimmung. Das ersetzt keine Verteidigungsprüfung.

Für Vorstand und Compliance ist die wichtigste Nachweis- und Verteidigungslogik nicht „wir hatten keinen Vorfall“. Sie lautet: Wir hatten einen Prozess, wir haben unverzüglich geprüft, wir haben nach Tatbestand entschieden, wir haben dokumentiert, wir haben Risiken reduziert und wir haben nachgemeldet, sobald neue belastbare Informationen vorlagen. Das kann entlasten helfen, garantiert aber keine Enthaftung.

9. Wie du entscheidest — die Prüfreihenfolge

Die folgende Tabelle ist die praktische Entscheidungskette für die Nacht- und Wochenendlage. Sie ersetzt keine Rechtsberatung, aber sie verhindert die gefährlichsten Sprünge.

Entscheidung aus verschiedenen Rollen

Minimaler Wochenend-Prozess

1. Incident Commander benennen.
2. Datenschutzbeauftragten, Recht, CISO, Kommunikation und Geschäftsleitung in einen Entscheidungsraum holen.
3. Personenbezug und Art.-4-Nr.-12-Modus prüfen.
4. Awareness-Zeitpunkt dokumentieren.
5. Risiko- und Hochrisikoprognose mit Unsicherheiten erstellen.
6. Art.-33-Entscheidung treffen und Meldung vorbereiten.
7. Art.-34-Entscheidung aus Sicht der Betroffenen treffen.
8. BSIG/TK/DORA-Routing gesondert prüfen.
9. Fristenblatt erstellen: Art.-33-72h, BSIG-/TK-Sonderfristen, Wochenend-/Feiertagslage und mögliche VO-1182/71 [EU-VO-1182]-Frage getrennt notieren.
10. Nachmeldeplan und Kommunikationsplan fixieren.
11. Jede Entscheidung mit Uhrzeit, Erkenntnisstand und Verantwortlichem protokollieren.

Nach der Akutphase folgt keine bloße Ablage. Die Erkenntnisse aus der Datenpanne fließen in Art.-32-/TOM-Verbesserungen, Auftragsverarbeitersteuerung, Berechtigungskonzepte, Logging, Backup-Tests, Schulungen und gegebenenfalls Datenschutz-Folgenabschätzungen zurück. Die Tiefe dieser Präventionsseite steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG); A4-03 hält nur den Rückkopplungspunkt fest.

10. Wer muss nicht melden oder benachrichtigen — und was trotzdem bleibt

Die Datenschutz-Kaskade hat echte Negativentscheidungen. Sie müssen sauber verortet werden.

Die Formelschablone lautet: „wird durch [Ausnahme] nicht ausgelöst; die übrigen Pflichten folgen ihrem eigenen Tatbestand.“

Beispiel: „Die Direktbenachrichtigung nach Art. 34 Abs. 1 wird wegen Art. 34 Abs. 3 Buchstabe a nicht ausgelöst, soweit die Verschlüsselung die betroffenen Daten für Unbefugte unzugänglich gemacht hat. Die Meldung nach Art. 33 und die Dokumentation nach Art. 33 Abs. 5 folgen ihrem eigenen Tatbestand.“

11. Zeitlicher Geltungsstand

Die DSGVO [EU-DSGVO] gilt nach Art. 99 Abs. 2 seit dem 25. Mai 2018. Für Art. 33 wird die konsolidierte Fassung mit dem Verweis auf Art. 55 verwendet; die überholte Art.-51-Fassung wird nicht zitiert.

Für den BSIG-Kontrast wird § 32 BSIG [N-BSIG-32] im aktuellen konsolidierten Prüfstand herangezogen. Die hier geprüfte §-32-Kontrastkaskade betrifft besonders wichtige Einrichtungen und wichtige Einrichtungen; spätere BSIG-Änderungen nach dem 6. Dezember 2025 berühren nach dem dokumentierten Prüfstand dieser Fassung nicht ersichtlich die in diesem Artikel dargestellten Frist- und Routingpunkte. Die Tiefe steht in BSI-Meldepflicht (§ 32 BSIG).

DORA [EU-DORA] gilt nach Art. 64 seit dem 17. Januar 2025 und wird hier als Finanzsektor-Routing erwähnt. Die Tiefe steht in DORA oder BSIG?.

Die Verordnung (EU) 2025/2518 [EU-VO-2518] ist seit dem 1. Januar 2026 in Kraft und grundsätzlich ab dem 2. April 2027 anwendbar. Sie wird hier als künftiger Verfahrens- und Routing-Kontext für grenzüberschreitende DSGVO-Durchsetzung geführt.

Die EDSA/EDPB-Leitlinien 9/2022 werden als Behördenpraxis genutzt: Version 2.0 wurde am 28. März 2023 angenommen und auf der EDPB-Dokumentseite vom 4. April 2023 als finale Version geführt. Sie sind keine Norm, aber ein wichtiger Auslegungsanker für Bekanntwerden, schrittweise Meldung, Risikofaktoren, Auftragsverarbeiter und Betroffenenkommunikation.

12. Schnittstellen

• Das operative Krisenmanagement der ersten 72 Stunden steht in Cyber-Vorfall: die ersten 72 Stunden.
• Die BSI-Meldekaskade nach § 32 BSIG [N-BSIG-32] steht in BSI-Meldepflicht (§ 32 BSIG).
• Die Lösegeld-Entscheidung steht in Lösegeld — ja oder nein?.
• Das BSIG-Pflichtenprogramm und die TOM-Seite einschließlich Art. 32 DSGVO [EU-DSGVO] stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).
• Bußgelder, Haftung und die Schadensersatz-Linie stehen in Haftung und Sanktionen — Überblick.
• Die DORA-oder-BSIG-Abgrenzung für Finanzunternehmen steht in DORA oder BSIG?.

A4-03 ist damit die Datenschutz-Schiene des Cyber-Vorfalls. Sie ist bewusst eigenständig, aber nicht isoliert: Eine gute Lageführung verbindet technische Forensik, Datenschutz, BSI-Routing, Kommunikation und Vorstandsdokumentation.

13. Kurzantworten auf die 24 Lese-Fragen

1. Ist jeder Cyber-Angriff automatisch eine DSGVO-Datenpanne? Nein. Gemeldet wird nicht der Angriff, sondern eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO — sie braucht Personenbezug und einen der fünf Verletzungsmodi.
2. Welche fünf Modi sind das? Vernichtung, Verlust, Veränderung, unbefugte Offenlegung und unbefugter Zugang — ob unbeabsichtigt oder unrechtmäßig.
3. Ist Ransomware ohne Datenabfluss ein Datenschutzthema? Sie kann es sein: Auch Vernichtung, Verlust und Veränderung sind Verletzungsmodi; Verfügbarkeits- und Integritätsverluste zählen mit.
4. Wann beginnt die 72-Stunden-Frist des Art. 33? Mit dem Bekanntwerden der Verletzung — nicht mit dem Angriff und nicht erst mit dem Forensik-Abschluss. Gemeldet wird unverzüglich und möglichst binnen 72 Stunden.
5. Was gilt, wenn die Meldung später kommt? Ihr ist eine Begründung für die Verzögerung beizufügen.
6. An wen geht die Art.-33-Meldung? An die gemäß Art. 55 zuständige Datenschutz-Aufsichtsbehörde — nicht an das BSI.
7. Was, wenn voraussichtlich kein Risiko besteht? Dann entfällt die Meldung — die Dokumentation nach Art. 33 Abs. 5 bleibt; dokumentiert wird jede bestätigte Verletzung.
8. Was muss die Erstmeldung mindestens enthalten? Die vier Mindestinhalte des Art. 33 Abs. 3: Art der Verletzung mit Kategorien und ungefähren Zahlen, Anlaufstelle, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen.
9. Dürfen Informationen nachgereicht werden? Ja, Art. 33 Abs. 4 trägt die schrittweise Meldung ohne unangemessene weitere Verzögerung — Sammelverzögerung ist keine Option.
10. Was muss der Auftragsverarbeiter tun? Er meldet eine ihm bekannt gewordene Verletzung unverzüglich dem Verantwortlichen (Art. 33 Abs. 2); die Behördenmeldung bleibt grundsätzlich Sache des Verantwortlichen.
11. Ab wann rechnet der Verantwortliche bei Dienstleister-Vorfällen? Sichere Arbeitsregel: spätestens ab Eingang der AV-Meldung — frühere Zurechnungsfragen werden dokumentiert, nicht als Verzögerungsargument genutzt.
12. Wann müssen Betroffene benachrichtigt werden? Bei voraussichtlich hohem Risiko für die persönlichen Rechte und Freiheiten — unverzüglich und in klarer und einfacher Sprache (Art. 34 Abs. 1 und 2).
13. Hängt Art. 34 davon ab, dass Betroffene etwas tun müssen? Nein. Konkrete Schutzhandlungen erhöhen die Dringlichkeit, sind aber nicht Voraussetzung des Triggers.
14. Welche Ausnahmen kennt Art. 34? Die drei Fälle des Abs. 3: wirksame Vorkehrungen wie Verschlüsselung auf den betroffenen Daten, nachträglicher Wegfall des hohen Risikos, unverhältnismäßiger Aufwand — dann öffentliche Bekanntmachung als Ersatz.
15. Hebt eine Art.-34-Ausnahme die Behördenmeldung auf? Nein. Die Ausnahmen betreffen nur die Betroffenenbenachrichtigung; Art. 33 und die Dokumentation bleiben.
16. Reicht „wir sind verschlüsselt“ als Entwarnung? Nein. Es zählt, ob die Vorkehrung auf die betroffenen Daten angewandt war; kompromittierte Schlüssel, Tokens oder Klartextkopien kippen die Bewertung.
17. Ersetzt die BSI-Meldung die Datenschutzmeldung? Nein — zwei Kaskaden mit eigenem Auslöser, Adressaten, eigener Frist und eigenem Inhalt; § 32 BSIG läuft mit 24h/72h ab Kenntniserlangung getrennt neben Art. 33.
18. Was gilt für TK-Anbieter? Der Sonderpfad des § 169 TKG: Meldung an Bundesnetzagentur und BfDI, zweite Stufe Benachrichtigung von Endnutzern oder anderen Personen bei schwerwiegender Beeinträchtigung; dazu die 24-Stunden-/Drei-Tage-Mechanik der VO (EU) Nr. 611/2013.
19. Welche Behörde ist im Regelfall zuständig? Die Datenschutz-Aufsichtsbehörde des Landes (§ 40 Abs. 1 BDSG); bei grenzüberschreitender Verarbeitung kann der One-Stop-Shop nach Art. 56 die federführende Behörde bestimmen.
20. Schafft die VO (EU) 2025/2518 neue Meldepflichten? Nein — sie ist Verfahrensschicht für die grenzüberschreitende Durchsetzung, in Kraft seit 1. Januar 2026, grundsätzlich anwendbar ab 2. April 2027.
21. Droht für unterlassene Meldungen ein Bußgeld? Ja, eigenständig nach Art. 83 Abs. 4 Buchstabe a: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
22. Ist die Meldung ein Schuldeingeständnis? Nein — und kein Freibrief. §§ 42 Abs. 4 und 43 Abs. 4 BDSG beschränken die Verwendung in Straf- und Bußgeldverfahren gegen Meldepflichtige, Benachrichtigende und deren Angehörige nach § 52 Abs. 1 StPO ohne Zustimmung.
23. Was schützt die Geschäftsleitung am Ende wirklich? Prozess und Nachweis: unverzügliche Prüfung, Tatbestandsentscheidung, Dokumentation, Risikoreduktion, Nachmeldung — das kann entlasten helfen, garantiert aber keine Enthaftung.
24. Was passiert nach der Akutphase? Die Erkenntnisse fließen in TOM, Dienstleistersteuerung, Berechtigungen, Logging, Backups und Schulungen zurück; das Breach-Register hält die Entscheidungskette prüffähig.

14. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

14.1 Nationale Normen

• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BDSG-29] § 29 Abs. 1 BDSG — Benachrichtigungsgrenzen bei Geheimhaltungspflichten und Gegenabwägung. Fundstelle: https://www.gesetze-im-internet.de/bdsg_2018/__29.html
• [N-BDSG-40] § 40 Abs. 1 BDSG — Aufsichtsbehörden der Länder für nichtöffentliche Stellen. Fundstelle: https://www.gesetze-im-internet.de/bdsg_2018/__40.html
• [N-BDSG-42-43] §§ 42 Abs. 4, 43 Abs. 4 BDSG — Verwendungsbeschränkungen für Meldungen und Benachrichtigungen (einschließlich der Angehörigen nach § 52 Abs. 1 StPO). Fundstelle: https://www.gesetze-im-internet.de/bdsg_2018/__42.html
• [N-StPO-52] § 52 Abs. 1 StPO — Zeugnisverweigerungsrecht der Angehörigen (Bezugsnorm der BDSG-Verwendungsbeschränkungen). Fundstelle: https://www.gesetze-im-internet.de/stpo/__52.html
• [N-TKG-169] § 169 TKG — Daten- und Informationssicherheit; TK-Datenpannen-Sonderweg (Doppeladressat Bundesnetzagentur und BfDI). Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__169.html
• [N-TKG-168] § 168 TKG — Sicherheitsvorfall-Meldeweg (Abgrenzung zum § 169-Datenpannenweg). Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__168.html

14.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); deutsche Berichtigungen ABl. L 314 vom 22.11.2016, ABl. L 127 vom 23.5.2018 und ABl. L 74 vom 4.3.2021 (konsolidierte Fassung CELEX 02016R0679). Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-VO-611] Verordnung (EU) Nr. 611/2013 — Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten (ePrivacy-Durchführung; 24-Stunden-/Drei-Tage-Mechanik). Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32013R0611
• [EU-VO-2518] Verordnung (EU) 2025/2518 — zusätzliche Verfahrensregeln für die DSGVO-Durchsetzung (in Kraft 1.1.2026; grundsätzlich anwendbar ab 2.4.2027). Fundstelle: https://eur-lex.europa.eu/eli/reg/2025/2518/oj
• [EU-VO-1182] Verordnung (EWG, Euratom) Nr. 1182/71 — Regeln für Fristen, Daten und Termine. Fundstelle: https://eur-lex.europa.eu/eli/reg/1971/1182/oj

14.3 Rechtsprechung

• [R-EuGH-C-200-23] EuGH, Urteil vom 04.10.2024 — C-200/23 — ECLI:EU:C:2024:827. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0200
• [R-EuGH-C-687-21] EuGH (Dritte Kammer), Urteil vom 25.01.2024 — C-687/21 — ECLI:EU:C:2024:72 (MediaMarktSaturn; Art. 82 DSGVO, Schaden und Kausalität). Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0687
• [R-VI-ZR-10-24] BGH, Urteil vom 18.11.2024 — VI ZR 10/24 — ECLI:DE:BGH:2024:181124UVIZR10.24.0 (Facebook-Scraping; bloßer und kurzzeitiger Kontrollverlust als möglicher immaterieller Schaden). Fundstelle: https://www.bundesgerichtshof.de/

14.4 Behörden und amtliche Praxis

• [B-EDPB] EDSA/EDPB — Guidelines 9/2022 on personal data breach notification under GDPR (Version 2.0, angenommen 28. März 2023; Behördenpraxis, kein Normtext). Fundstelle: https://www.edpb.europa.eu/
• [B-BFDI-BNETZA] BfDI und Bundesnetzagentur — Meldeverfahren bei Verletzungen des Schutzes personenbezogener Daten nach § 169 TKG (Behördenpraxis). Fundstelle: https://www.bfdi.bund.de/
• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

14.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzende Quelle, im Body nicht eigens verankert)

14.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

15. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet die DSGVO-Datenpannenprüfung nicht als Formularfrage ein, sondern als Führungsprozess: Tatbestand, Risiko, Frist, Kommunikation, Sonderkaskaden und Nachweis müssen in derselben Lageführung zusammenlaufen.