Datenpanne melden: Flussdiagramm zur 72-Stunden-Frist der DSGVO

So funktioniert es

1. Benennen Sie die Rollen und den Meldeweg

   Ersetzen Sie die fünf Bahnen durch die Rollen, die es bei Ihnen wirklich gibt. Kleinere Organisationen haben keinen eigenen Datenschutzbeauftragten und führen diese Bahn mit Recht oder einer Datenschutzkoordination zusammen; andere ergänzen eine externe Kanzlei oder den Cyberversicherer. Tragen Sie dann den tatsächlichen Meldeweg in „Über den Meldeweg melden“ ein: ein Postfach, ein Formular, eine Telefonnummer — und die Regel, dass bei Verdacht gemeldet und nicht erst selbst ermittelt wird.

2. Legen Sie Ihre Aufsichtsbehörden und Fristen fest

   Bearbeiten Sie „Geltende Meldepflichten bestimmen“ und benennen Sie die für Sie zuständige Aufsichtsbehörde — in Deutschland die Landesbehörde am Sitz Ihrer Niederlassung, bei grenzüberschreitender Verarbeitung Ihre federführende Behörde. Ergänzen Sie branchenspezifische Regime, unter die Sie fallen, etwa NIS2, DORA oder § 8b BSIG; die laufen mit eigenen, teils deutlich kürzeren Uhren. Nehmen Sie vertragliche Informationsfristen gegenüber Kunden dazu, die häufig kürzer sind als die gesetzlichen.

3. Schreiben Sie Ihre Risikokriterien auf

   Hängen Sie eigene Kriterien an „Schwere und Risiko für Betroffene bewerten“: Art und Sensibilität der Daten, Zahl der Betroffenen und Datensätze, wie leicht Personen identifizierbar sind, ob die Daten verschlüsselt oder anderweitig unbrauchbar waren, ob besonders schutzbedürftige Personen betroffen sind, sowie Schwere und Eintrittswahrscheinlichkeit des Schadens. Vorab geschriebene Kriterien sind das, was beide Entscheidungen im Nachhinein verteidigbar macht.

4. Weisen Sie die beiden Entscheidungen und die Freigabe zu

   Halten Sie im Diagramm fest, wer „Meldepflichtig an die Aufsichtsbehörde?“ und „Hohes Risiko für Betroffene?“ verantwortet, wer die Einreichung bei der Behörde freigeben darf und wer den Wortlaut an die Betroffenen genehmigt. Ergänzen Sie für jede Rolle eine Vertretung — Datenpannen warten nicht auf das Ende des Jahresurlaubs.

5. Setzen Sie interne Zwischenfristen innerhalb der 72 Stunden

   Rechnen Sie von der Frist rückwärts und geben Sie den Zwischenschritten Zielzeiten: wann der Datenschutzbeauftragte die Bewertung vorliegen haben muss, wann der Entwurf bei Recht sein muss, wann die Freigabe geschlossen ist. Die gesetzliche Frist ist die äußere Grenze und nicht der Plan — verbraucht werden die Stunden in Entwurf und Abstimmung.

6. Verweisen Sie auf Ihr echtes Verzeichnis und versionieren Sie das Diagramm

   Verknüpfen Sie „Vorfall im Verzeichnis dokumentieren“ mit dem Verzeichnis, das Sie tatsächlich führen, und listen Sie die Pflichtfelder auf: die Tatsachen der Verletzung, ihre Auswirkungen, die ergriffenen Abhilfemaßnahmen und die Begründung jeder Meldeentscheidung, gerade auch der ablehnenden. Geben Sie das Diagramm anschließend an Datenschutz, Recht, IT-Sicherheit und Kommunikation zur Freigabe und bewahren Sie die freigegebene Fassung auf, damit das geübte Verfahren dem veröffentlichten entspricht.

Häufig gestellte Fragen

Wann beginnt die 72-Stunden-Frist für die Meldung einer Datenpanne?

Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt geworden ist. Kenntnis bedeutet eine hinreichende Gewissheit, dass ein Sicherheitsvorfall zu einer Beeinträchtigung personenbezogener Daten geführt hat; eine kurze Phase der ersten Verifizierung ist anerkannt, die Uhr lässt sich aber nicht dadurch anhalten, dass die Untersuchung ausgedehnt wird. Die 72 Stunden sind Kalenderstunden und keine Arbeitsstunden: Wochenenden und Feiertage liegen im Fenster. Deshalb steht in diesem Diagramm „Meldung erfassen und Zeitschiene starten“ ganz vorn und hält fest, wer wann was gemeldet hat.

Worin unterscheidet sich die Meldung an die Behörde von der Benachrichtigung der Betroffenen?

Es sind zwei getrennte Prüfungen mit unterschiedlichen Schwellen — deshalb zeichnet das Diagramm zwei Entscheidungen und nicht eine. Die Aufsichtsbehörde ist nach Art. 33 DSGVO zu unterrichten, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; die Meldung ist damit faktisch der Regelfall. Die betroffenen Personen sind nach Art. 34 DSGVO nur zu benachrichtigen, wenn voraussichtlich ein hohes Risiko besteht, und es gibt anerkannte Ausnahmen, etwa wenn die Daten verschlüsselt und unverständlich bleiben oder wenn nachträgliche Maßnahmen das hohe Risiko unwahrscheinlich machen. Eine Datenpanne kann also der Behörde gemeldet und den Betroffenen nie mitgeteilt werden.

Müssen wir eine Datenpanne dokumentieren, die wir nicht gemeldet haben?

Ja. Art. 33 Abs. 5 DSGVO verpflichtet den Verantwortlichen, jede Verletzung des Schutzes personenbezogener Daten zu dokumentieren — einschließlich der Tatsachen, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen — unabhängig davon, ob gemeldet wurde. In der Praxis ist die Dokumentation einer nicht gemeldeten Verletzung die wichtigere, denn sie ist der einzige Beleg dafür, dass die Entscheidung begründet und nicht bequem war. Deshalb führt der Zweig Nicht meldepflichtig in diesem Diagramm über „Gründe gegen eine Meldung dokumentieren“, und beide Zweige laufen im Verzeichnis zusammen.

Wie unterscheidet sich das von einem Prozess zur Reaktion auf Sicherheitsvorfälle?

Ein Incident-Response-Prozess dreht sich um den Angreifer und die IT-Landschaft: detektieren, triagieren, Beweise sichern, eindämmen, beseitigen, Sauberkeit nachweisen, Dienst wiederherstellen. Dieser Prozess dreht sich um die Menschen, deren Daten betroffen sind, und um die daraus folgenden Pflichten; ausgelöst wird er von jeder Verletzung personenbezogener Daten, auch von solchen ganz ohne Angreifer wie einer fehlgeleiteten E-Mail oder einem nicht wiederherstellbaren Backup. Beide überschneiden sich bei der Eindämmung und beim Meldezweig; bei einem Cyberangriff lassen Sie sie parallel laufen, wobei die Sicherheit die technische Spur führt und der Datenschutzbeauftragte diese hier.

Was gilt, wenn wir Auftragsverarbeiter und nicht Verantwortlicher sind?

Ein Auftragsverarbeiter meldet weder der Aufsichtsbehörde noch den Betroffenen. Er hat den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich zu informieren, nachdem ihm die Verletzung bekannt wurde; der Verantwortliche führt danach die Bewertung und beide Meldeentscheidungen. Wenn das Ihre Rolle ist, kürzen Sie das Diagramm an der Entscheidung „Meldepflichtig an die Aufsichtsbehörde?“, ersetzen Sie sie durch Ihre Meldung an den Verantwortlichen und prüfen Sie Ihre Verträge: Auftragsverarbeitungsverträge setzen regelmäßig eine feste interne Frist, die deutlich kürzer ist als die 72 Stunden des Verantwortlichen.