Datenpanne (Art. 33, 34 DSGVO)

Kurzdefinition: Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten. Nach Art. 33 DSGVO meldet der Verantwortliche sie der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. [N-DSGVO-33]

Der Normwortlaut

Art. 33 Abs. 1 DSGVO lautet in der konsolidierten Fassung: „Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.“ [N-DSGVO-33]

Wann liegt eine meldepflichtige Datenpanne vor?

Wenn zwei Dinge zusammenkommen: eine Verletzung des Schutzes personenbezogener Daten — und die Wahrscheinlichkeit eines Risikos für die Rechte und Freiheiten natürlicher Personen. Führt die Verletzung voraussichtlich nicht zu einem solchen Risiko, entfällt die Meldepflicht an die Aufsichtsbehörde. Die Meldung ist also die Regel, die Risikolosigkeit die zu begründende Ausnahme. Für Auftragsverarbeiter läuft die Spur anders: Nach Art. 33 Abs. 2 DSGVO meldet der Auftragsverarbeiter eine ihm bekannt gewordene Verletzung dem Verantwortlichen unverzüglich — er wendet sich also nicht selbst an die Behörde. [N-DSGVO-33]

Was bedeutet die 72-Stunden-Frist genau?

Sie ist keine starre Frist, sondern eine qualifizierte. Der Wortlaut verlangt die Meldung „unverzüglich und möglichst binnen 72 Stunden“. „Unverzüglich“ ist der Maßstab; die 72 Stunden sind die äußere Orientierung. Die Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wurde. Wird später als 72 Stunden gemeldet, ist die Verzögerung zu begründen. [N-DSGVO-33]

Wann müssen auch die Betroffenen benachrichtigt werden?

Wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Dann benachrichtigt der Verantwortliche nach Art. 34 Abs. 1 DSGVO die betroffene Person unverzüglich. Art. 34 Abs. 3 DSGVO nennt jedoch Ausnahmen: Die Benachrichtigung ist nicht erforderlich, wenn die Daten etwa durch Verschlüsselung wirksam geschützt waren, wenn das hohe Risiko durch nachfolgende Maßnahmen entfällt oder wenn sie einen unverhältnismäßigen Aufwand bedeutete — dann tritt eine öffentliche Bekanntmachung an ihre Stelle. Es sind zwei Stufen zu trennen: die Meldung an die Aufsichtsbehörde bei einfachem Risiko (Art. 33) und die zusätzliche Benachrichtigung der Betroffenen bei hohem Risiko (Art. 34). [N-DSGVO-33] [N-DSGVO-34]

Was sind Beispiele für Datenpannen?

Der Verlust eines unverschlüsselten Datenträgers, der unbefugte Zugriff auf eine Kundendatenbank, der versehentliche Versand personenbezogener Daten an den falschen Empfänger, die Verschlüsselung von Daten durch Ransomware, wenn dadurch die Verfügbarkeit der Daten verletzt ist. Entscheidend ist nicht die technische Ursache, sondern ob der Schutz personenbezogener Daten verletzt wurde und ein Risiko droht. [N-DSGVO-33]

Häufige Fehlannahmen

• „Jede Datenpanne muss gemeldet werden.“ Nein. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten führt — was zu begründen ist. [N-DSGVO-33]
• „Die 72 Stunden sind eine feste Frist.“ Nein. Maßstab ist „unverzüglich“; die 72 Stunden sind die äußere Orientierung, und eine spätere Meldung ist zu begründen. [N-DSGVO-33]
• „Meldung an die Behörde heißt automatisch Benachrichtigung der Betroffenen.“ Nein. Die Benachrichtigung der Betroffenen nach Art. 34 setzt ein hohes Risiko voraus — und Art. 34 Abs. 3 DSGVO lässt selbst dann Ausnahmen zu. [N-DSGVO-34]
• „Datenpanne und BSIG-Meldung sind dasselbe.“ Nein. Die DSGVO-Meldung und die Meldepflicht nach dem BSIG folgen eigenen Voraussetzungen, Fristen und Adressaten; sie sind parallel zu prüfen. [N-DSGVO-33]

Was die Geschäftsleitung tun sollte

1. Erkennen und dokumentieren. Den Zeitpunkt der Kenntnisnahme festhalten — er setzt die Frist in Gang.
2. Risiko bewerten. Meldepflicht (einfaches Risiko) und Betroffenenbenachrichtigung (hohes Risiko) getrennt prüfen.
3. Parallelregime beachten. DSGVO-Meldung, BSIG-Meldung und vertragliche Anzeigen laufen nebeneinander.
4. Prozess vorhalten. Wer erst im Ernstfall den Meldeweg sucht, verliert Stunden, die die 72-Stunden-Orientierung nicht hergibt.

Für die Geschäftsleitung

Bei einer Datenpanne zählt die Uhr ab Kenntnis, nicht ab Aufklärung. Die DSGVO verlangt die unverzügliche Meldung an die Aufsichtsbehörde als Regel und lässt nur die begründete Risikolosigkeit als Ausnahme zu. Bei hohem Risiko kommt die Benachrichtigung der Betroffenen hinzu. Weil daneben das BSIG-Melderegime mit eigenen Fristen greift, gehört der Datenpannen-Prozess vorbereitet — nicht improvisiert.

Quellen

1. [N-DSGVO-33] Art. 33 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde), Abs. 1 und Abs. 2. Konsolidierte Fassung (CELEX 02016R0679-20160504, Berichtigung ►C1: „gemäß Artikel 55“). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
2. [N-DSGVO-34] Art. 34 DSGVO (Benachrichtigung der von einer Verletzung betroffenen Person), Abs. 1 und Abs. 3. Konsolidierte Fassung. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504