Kurzdefinition: Artikel 33 DSGVO regelt die Meldung einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) an die Aufsichtsbehörde. Der Verantwortliche meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später, ist eine Begründung beizufügen. [N-DSGVO-33]
Der Normwortlaut
Art. 33 Abs. 1 DSGVO bestimmt: „Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der … zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.“ [N-DSGVO-33]
Wann ist zu melden?
Unverzüglich, möglichst binnen 72 Stunden. Art. 33 Abs. 1 DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden ab Kenntnis. Die Frist beginnt mit der Kenntnis von der Verletzung. [N-DSGVO-33]
Wann entfällt die Meldepflicht?
Bei fehlendem Risiko. Die Meldung ist entbehrlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Einschätzung ist zu dokumentieren. [N-DSGVO-33]
Was gilt bei verspäteter Meldung?
Sie ist zu begründen. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr nach Art. 33 Abs. 1 DSGVO eine Begründung für die Verzögerung beizufügen. Die Frist ist damit kein starrer Ausschluss, verlangt aber eine Rechtfertigung. [N-DSGVO-33]
Welche Pflicht trifft den Auftragsverarbeiter?
Er meldet an den Verantwortlichen. Nach Art. 33 Abs. 2 DSGVO meldet der Auftragsverarbeiter eine ihm bekannt gewordene Verletzung dem Verantwortlichen unverzüglich. Die Meldung an die Aufsichtsbehörde bleibt Sache des Verantwortlichen. [N-DSGVO-33]
Muss die Verletzung dokumentiert werden?
Ja. Nach Art. 33 Abs. 5 DSGVO dokumentiert der Verantwortliche Verletzungen einschließlich der Fakten, Auswirkungen und Abhilfemaßnahmen. Die Dokumentation muss der Aufsichtsbehörde die Überprüfung ermöglichen — auch bei nicht meldepflichtigen Vorfällen. [N-DSGVO-33]
Häufige Fehlannahmen
- „Jede Datenpanne ist zu melden.“ Nein. Führt sie voraussichtlich nicht zu einem Risiko, entfällt die Meldung. [N-DSGVO-33]
- „Die 72-Stunden-Frist ist ein starrer Ausschluss.“ Nein. Bei Verzögerung ist eine Begründung beizufügen. [N-DSGVO-33]
- „Der Auftragsverarbeiter meldet an die Aufsichtsbehörde.“ Nein. Er meldet an den Verantwortlichen. [N-DSGVO-33]
- „Nicht meldepflichtige Vorfälle müssen nicht dokumentiert werden.“ Doch. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation aller Verletzungen. [N-DSGVO-33]
- „Die Frist beginnt mit dem Eintritt der Panne.“ Nein. Sie beginnt mit der Kenntnis von der Verletzung. [N-DSGVO-33]
- „Art. 33 DSGVO und die BSIG-Meldung sind identisch.“ Nein. Art. 33 DSGVO betrifft personenbezogene Daten; die BSIG-Meldung erhebliche Sicherheitsvorfälle. [N-DSGVO-33]
Was die Geschäftsleitung tun sollte
- Prozess aufsetzen. Einen 72-Stunden-Meldeprozess für Datenpannen etablieren.
- Risiko bewerten. Bei jeder Verletzung die Risikoeinschätzung dokumentieren.
- Auftragsverarbeiter einbinden. Meldeketten mit Dienstleistern vertraglich absichern.
- Dokumentation führen. Alle Verletzungen einschließlich Fakten und Maßnahmen festhalten.
Für die Geschäftsleitung
Art. 33 DSGVO ist eng getaktet: Wer eine meldepflichtige Datenpanne erst nach 72 Stunden meldet, muss die Verzögerung begründen. Für die Leitung zählt der vorbereitete Prozess — mit klarer Risikobewertung, eingebundenen Auftragsverarbeitern und lückenloser Dokumentation. Diese Meldepflicht steht neben der BSIG-Meldung, nicht statt ihrer.
Quellen
- [N-DSGVO-33] Art. 33 DSGVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde), Abs. 1 bis 5. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
