Datenschutzverletzungen nach Art. 33 und 34 DSGVO – Der umfassende Praxisleitfaden für Unternehmen

Wer sich erstmals mit der Behandlung von Datenpannen nach der DSGVO befasst, findet auf der Übersichtsseite des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein einen kompakten und praxisnahen Einstieg. Der vorliegende Beitrag greift diese Hinweise auf und entwickelt sie zu einem umfassenden Praxisleitfaden für Unternehmen weiter. Neben den gesetzlichen Grundlagen werden insbesondere die aktuelle Fachliteratur, die Rechtsprechung sowie die praktische Handhabung durch Datenschutzaufsichtsbehörden berücksichtigt. Das ULD richtet einen Teil seiner Hinweise ausdrücklich an betroffene Personen (z. B. wie sie sich nach einer Datenpanne verhalten sollten). Die speziell an betroffene Personen gerichteten Empfehlungen des ULD bleiben einem gesonderten Beitrag vorbehalten.

Datenschutzverletzungen nach Art. 33 und 34 DSGVO – Der umfassende Praxisleitfaden für Unternehmen

Eine fehladressierte E-Mail, ein verlorener USB-Stick, ein erfolgreicher Ransomware-Angriff oder eine falsch konfigurierte Cloud-Anwendung: Datenschutzverletzungen gehören zu den typischen Risiken des heutigen Unternehmensalltags. Nahezu jede Organisation verarbeitet heute große Mengen personenbezogener Daten. Damit steigt zwangsläufig auch das Risiko, dass personenbezogene Daten unbeabsichtigt verloren gehen, verändert oder Unbefugten zugänglich werden. Für Verantwortliche endet die Problematik jedoch nicht bei der technischen Bewältigung eines Sicherheitsvorfalls. Bereits wenige Stunden nach Bekanntwerden stellen sich zahlreiche datenschutzrechtliche Fragen:

• Liegt überhaupt eine Datenschutzverletzung im Sinne der DSGVO vor?
• Handelt es sich lediglich um eine rechtswidrige Verarbeitung oder zusätzlich um eine meldepflichtige Datenpanne?
• Muss die Aufsichtsbehörde informiert werden?
• Sind die betroffenen Personen zu benachrichtigen?
• Welche Fristen gelten?
• Welche Dokumentation muss erstellt werden?

Gerade diese erste rechtliche Bewertung entscheidet häufig darüber, ob Unternehmen ihren gesetzlichen Verpflichtungen nachkommen oder sich einem erheblichen Bußgeldrisiko aussetzen. Die Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO dienen in erster Linie dem Schutz der betroffenen Personen sowie einer frühzeitigen Reaktion der Datenschutzaufsichtsbehörden. Ihr Zweck besteht nicht darin, Verantwortliche zu sanktionieren, sondern Schäden möglichst zu verhindern oder zu begrenzen.  Art. 33 und Art. 34 DSGVO sollen sicherstellen, dass Risiken für betroffene Personen möglichst früh erkannt und geeignete Gegenmaßnahmen eingeleitet werden können. Deshalb verpflichtet die DSGVO Verantwortliche, Datenschutzverletzungen unverzüglich zu untersuchen, zu bewerten und – sofern ein entsprechendes Risiko besteht – der zuständigen Datenschutzaufsichtsbehörde zu melden. Entsteht sogar ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, müssen zusätzlich die betroffenen Personen informiert werden. Verstöße gegen diese Pflichten können allerdings nach Art. 83 DSGVO mit erheblichen Geldbußen geahndet werden. Auch folgt aus der Meldung eines Datenschutzverstoßes nicht, dass der Verstoß selbst nicht mehr verfolgt werden könnte. Die Meldung einer Datenschutzverletzung schließt allerdings nicht aus, dass die Aufsichtsbehörde zugleich mögliche Verstöße gegen andere Vorschriften der DSGVO untersucht. Dies kann beispielsweise die Frage betreffen, ob die technischen und organisatorischen Maßnahmen den Anforderungen des Art. 32 DSGVO entsprochen haben. In welchem Umfang eine Meldung bei der Bußgeldbemessung berücksichtigt werden darf und welche Rückschlüsse aus den gemachten Angaben gezogen werden können, wird in Rechtsprechung und Literatur unterschiedlich beurteilt.

In der Praxis zeigt sich, dass gerade die erste rechtliche Einordnung häufig Schwierigkeiten bereitet. Nicht jede rechtswidrige Datenverarbeitung stellt automatisch eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO dar. Ebenso ist nicht jede Datenschutzverletzung automatisch meldepflichtig. Die zutreffende Abgrenzung gehört zu den anspruchsvollsten Fragestellungen des Datenschutzrechts und ist Gegenstand umfangreicher wissenschaftlicher Diskussionen.

Hinzu kommt, dass Verantwortliche häufig unter erheblichem Zeitdruck handeln müssen. Art. 33 DSGVO sieht vor, dass eine Meldung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Datenschutzverletzung erfolgen muss. Innerhalb dieser kurzen Zeitspanne müssen Unternehmen regelmäßig

• den Sachverhalt aufklären,
• technische Gegenmaßnahmen einleiten,
• eine Risikobewertung durchführen,
• die Meldepflicht prüfen,
• gegebenenfalls die Aufsichtsbehörde informieren und
• sämtliche Maßnahmen dokumentieren.

Entscheidende Bedeutung kommt hier dem Wort „unverzüglich“ zu und weniger der genannten Stundenfrist. Ein funktionierendes Datenpannenmanagement ist deshalb kein „Nice-to-have“, sondern Bestandteil einer datenschutzkonformen Unternehmensorganisation. Es setzt klare Meldewege, technische Prozesse, Zuständigkeiten und vorbereitete Entscheidungsabläufe voraus. Nur so lassen sich Fristversäumnisse und Fehlentscheidungen vermeiden.

Hinweis zur Terminologie

Die DSGVO verwendet den Begriff „Verletzung des Schutzes personenbezogener Daten“ (Art. 4 Nr. 12 DSGVO). Im allgemeinen Sprachgebrauch hat sich dagegen die Bezeichnung „Datenpanne“ etabliert. Beide Begriffe werden in diesem Beitrag – soweit nichts anderes angegeben ist – synonym verwendet.

Warum Art. 33 DSGVO in der Praxis immer wichtiger wird

Seit Geltung der DSGVO ist die Zahl gemeldeter Datenschutzverletzungen erheblich gestiegen. Dies liegt nicht nur an der erweiterten Meldepflicht gegenüber dem früheren Datenschutzrecht, sondern auch daran, dass Unternehmen Datenschutzvorfälle heute deutlich sensibler behandeln und Aufsichtsbehörden hohe Anforderungen an das Incident-Management stellen. Bereits kleinere Vorfälle können – abhängig von Art der Daten und den möglichen Folgen für die Betroffenen – eine Meldepflicht auslösen.

Besonders häufig betreffen Meldungen heute beispielsweise:

• Phishing-Angriffe,
• Ransomware,
• Fehlversendungen von E-Mails,
• unberechtigte Zugriffe auf Kundendaten,
• verlorene mobile Endgeräte,
• Fehlkonfigurationen von Cloud-Diensten,
• versehentliche Offenlegungen personenbezogener Daten.

Dabei zeigt die Praxis der Datenschutzaufsichtsbehörden, dass nicht ausschließlich Hackerangriffe zu Datenschutzverletzungen führen. Ein erheblicher Teil der gemeldeten Vorfälle beruht auf organisatorischen Fehlern oder menschlichem Fehlverhalten.

Ziel dieses Beitrags

Dieser Beitrag erläutert die datenschutzrechtlichen Anforderungen an den Umgang mit Datenpannen nach Art. 33 DSGVO anhand der aktuellen Rechtsprechung, der wissenschaftlichen Literatur sowie der Leitlinien der Datenschutzaufsichtsbehörden.

Schwerpunkte werden insbesondere sein:

• die Definition der Datenschutzverletzung,
• die Abgrenzung zur rechtswidrigen Datenverarbeitung,
• die Voraussetzungen der Meldepflicht,
• die Risikobewertung,
• die Benachrichtigung betroffener Personen,
• die Dokumentationspflicht,
• typische Fehler in der Unternehmenspraxis sowie
• Empfehlungen für ein rechtssicheres Datenpannenmanagement.

Was ist eine Datenschutzverletzung im Sinne der DSGVO?

Der Begriff der Datenschutzverletzung – in der Praxis häufig auch als Datenpanne, Data Breach oder Sicherheitsvorfall bezeichnet – bildet den Ausgangspunkt sämtlicher Pflichten nach Art. 33 und Art. 34 DSGVO. Denn erst wenn überhaupt eine „Verletzung des Schutzes personenbezogener Daten“ vorliegt, stellt sich die Frage, ob eine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen besteht.

Gerade an dieser Stelle entstehen in der Praxis zahlreiche Fehlentscheidungen. Häufig wird jede datenschutzrechtliche Unregelmäßigkeit vorschnell als meldepflichtige Datenpanne eingeordnet. Umgekehrt werden echte Datenschutzverletzungen oftmals übersehen, weil kein Hackerangriff stattgefunden hat oder keine Daten „gestohlen“ wurden. Beides greift zu kurz.

Die Legaldefinition des Art. 4 Nr. 12 DSGVO

Art. 4 Nr. 12 DSGVO definiert eine Datenschutzverletzung als

„eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt.“

Dieses gesetzliche Begriffsverständnis wird in der Fachliteratur übereinstimmend dahingehend ausgelegt, dass zwei Voraussetzungen gleichzeitig erfüllt sein müssen:

1. Es muss zunächst eine Verletzung der Datensicherheit vorliegen.
2. Diese Sicherheitsverletzung muss sich auf personenbezogene Daten ausgewirkt haben.

Erst das Zusammentreffen beider Voraussetzungen begründet eine Datenschutzverletzung im Sinne der DSGVO. Eine bloße Sicherheitslücke ohne Auswirkungen auf personenbezogene Daten genügt ebenso wenig wie eine rechtswidrige Datenverarbeitung ohne Sicherheitsverletzung. Diese Zweistufigkeit ist für die rechtliche Bewertung von enormer Bedeutung und wird in der Praxis häufig übersehen.

Nicht jede rechtswidrige Datenverarbeitung ist eine Datenschutzverletzung

Ein häufiger Irrtum besteht darin, jede rechtswidrige Verarbeitung personenbezogener Daten zugleich als Datenschutzverletzung im Sinne des Art. 33 DSGVO anzusehen. Dies entspricht jedoch nicht der Systematik der DSGVO. Bereits der Wortlaut des Art. 4 Nr. 12 DSGVO („Verletzung des Schutzes personenbezogener Daten“) zeigt, dass eine Datenschutzverletzung stets an eine Verletzung der Sicherheit anknüpft. Demgegenüber betreffen zahlreiche Datenschutzverstöße ausschließlich die Rechtmäßigkeit der Verarbeitung, ohne dass die Sicherheit der Daten beeinträchtigt wird. Die neuere Fachliteratur hebt deshalb ausdrücklich hervor, dass unrechtmäßige Datenverarbeitungen und Datenschutzverletzungen zwei unterschiedliche datenschutzrechtliche Kategorien darstellen, die zwar zusammentreffen können, aber keineswegs identisch sind.

Beispiel 1: Rechtswidrige Verarbeitung ohne Datenschutzverletzung

Ein Unternehmen speichert Bewerbungsunterlagen fünf Jahre lang, obwohl sie bereits nach Ablauf der gesetzlichen Aufbewahrungsfrist hätten gelöscht werden müssen.

Die Speicherung verstößt gegen Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung).

Eine Verletzung der Datensicherheit liegt jedoch nicht vor.

Folge:
Es handelt sich um eine rechtswidrige Verarbeitung, nicht jedoch um eine Datenschutzverletzung nach Art. 4 Nr. 12 DSGVO. Eine Meldepflicht nach Art. 33 DSGVO entsteht deshalb allein hierdurch regelmäßig nicht.

Beispiel 2: Datenschutzverletzung ohne rechtswidrige Verarbeitung

Ein Unternehmen betreibt seine IT-Systeme datenschutzkonform.

Dennoch gelingt es Angreifern trotz vorhandener Sicherheitsmaßnahmen, über eine bislang unbekannte Sicherheitslücke in das System einzudringen.

Die Verarbeitung der Daten war bis dahin vollständig rechtmäßig.

Durch den erfolgreichen Angriff kommt es jedoch zu einem unbefugten Zugriff auf personenbezogene Daten.

Hier liegt gerade eine Datenschutzverletzung vor, obwohl dem Unternehmen möglicherweise kein datenschutzrechtlicher Verstoß hinsichtlich der ursprünglichen Verarbeitung vorzuwerfen ist.

Gerade dieser Fall zeigt, dass Datenschutzverletzungen keineswegs ein schuldhaftes Verhalten des Verantwortlichen voraussetzen. Auch sorgfältig organisierte Unternehmen können Opfer eines Sicherheitsvorfalls werden. Entscheidend ist allein, ob die gesetzlichen Voraussetzungen des Art. 4 Nr. 12 DSGVO erfüllt sind.

Sicherheitsverletzung als Ausgangspunkt

Ausgangspunkt jeder Datenschutzverletzung ist somit eine Verletzung der Datensicherheit.

Dabei spielt es keine Rolle,

• ob die Sicherheitsverletzung vorsätzlich erfolgt,
• fahrlässig verursacht wurde oder
• völlig unbeabsichtigt eingetreten ist.

Ebenso wenig setzt die DSGVO voraus, dass der Verantwortliche gegen Art. 32 DSGVO verstoßen hat. Auch bei angemessenen technischen und organisatorischen Maßnahmen lassen sich Sicherheitsvorfälle niemals vollständig ausschließen. Hackerangriffe, Softwarefehler oder menschliche Fehlhandlungen können trotz eines hohen Sicherheitsniveaus eintreten. Für die Meldepflicht ist daher nicht entscheidend, warum die Sicherheitsverletzung eingetreten ist, sondern welche Auswirkungen sie auf personenbezogene Daten hat.

Die drei Schutzgüter der DSGVO

Sowohl der Europäische Datenschutzausschuss (EDSA) als auch die deutsche Fachliteratur unterscheiden drei klassische Arten von Datenschutzverletzungen. Diese orientieren sich an den drei zentralen Schutzzielen der Informationssicherheit:

1. Verletzung der Vertraulichkeit

Am häufigsten treten Verstöße gegen die Vertraulichkeit auf.

Sie liegen vor, wenn personenbezogene Daten

• unbefugt offengelegt,
• an falsche Empfänger versandt,
• veröffentlicht oder
• von Unbefugten eingesehen werden können.

Typische Beispiele sind:

• Versand einer E-Mail an den falschen Empfänger,
• offener E-Mail-Verteiler (CC statt BCC),
• verlorene Akten,
• versehentlich freigegebene Cloud-Ordner,
• erfolgreiche Hackerangriffe mit Datenabfluss.

Gerade Fehlversendungen zählen seit Jahren zu den häufigsten gemeldeten Datenschutzverletzungen.

2. Verletzung der Integrität

Eine Integritätsverletzung liegt vor, wenn personenbezogene Daten unbefugt verändert werden.

Hierzu gehören beispielsweise

• Manipulationen innerhalb von Datenbanken,
• unbefugte Änderungen von Patientendaten,
• verfälschte Personalakten,
• Veränderung gespeicherter Vertragsdaten.

Entscheidend ist, dass die Richtigkeit oder Vollständigkeit der personenbezogenen Daten beeinträchtigt wird.

3. Verletzung der Verfügbarkeit

Schließlich schützt die DSGVO auch die Verfügbarkeit personenbezogener Daten.

Eine Verfügbarkeitsverletzung liegt insbesondere vor, wenn personenbezogene Daten

• gelöscht,
• zerstört,
• verschlüsselt oder
• dauerhaft nicht mehr erreichbar sind.

Ein klassisches Beispiel ist ein erfolgreicher Ransomware-Angriff, bei dem Unternehmen keinen Zugriff mehr auf ihre personenbezogenen Daten besitzen und auch keine funktionsfähigen Backups vorhanden sind. Ebenso kann ein versehentliches Löschen wichtiger Datenbestände eine Verfügbarkeitsverletzung darstellen.

Fazit

Ob eine Meldepflicht nach Art. 33 DSGVO besteht, lässt sich erst beantworten, wenn zuvor sorgfältig geprüft wurde, ob überhaupt eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO vorliegt. Dabei ist insbesondere zwischen einer bloß rechtswidrigen Datenverarbeitung und einer echten Sicherheitsverletzung zu unterscheiden. Erst wenn eine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten eingetreten ist, beginnt die eigentliche Prüfung der Meldepflicht.

Wann besteht eine Meldepflicht nach Art. 33 DSGVO?

Nicht jede Datenschutzverletzung führt automatisch zu einer Meldepflicht gegenüber der Datenschutzaufsichtsbehörde. Art. 33 Abs. 1 DSGVO knüpft die Meldepflicht vielmehr an eine Risikobewertung: Eine Meldung ist nur dann erforderlich, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Besteht nach sorgfältiger Prüfung kein entsprechendes Risiko, entfällt die Meldepflicht. Diese Regelung verfolgt einen praxisgerechten Ansatz. Datenschutzaufsichtsbehörden sollen nicht mit jeder noch so geringfügigen Sicherheitsstörung befasst werden, sondern sich auf diejenigen Vorfälle konzentrieren können, bei denen tatsächliche Beeinträchtigungen für betroffene Personen drohen.

Die Risikoprüfung ist der zentrale Prüfungsschritt

Die eigentliche Herausforderung besteht daher nicht in der Feststellung, ob eine Datenschutzverletzung vorliegt, sondern welche Folgen diese für die betroffenen Personen haben kann. Bei der Bewertung kann der Datenschutzbeauftragte unterstützen. Die DSGVO verlangt keine mathematisch exakte Prognose. Vielmehr ist eine nachvollziehbare Bewertung vorzunehmen, ob die Datenschutzverletzung nach allgemeiner Lebenserfahrung geeignet ist, die Rechte und Freiheiten natürlicher Personen zu beeinträchtigen.

Dabei genügt weder eine bloß theoretische Möglichkeit eines Schadens noch darf der Verantwortliche absolute Gewissheit verlangen. Maßgeblich ist vielmehr eine objektive ex-ante-Betrachtung auf Grundlage der zum Zeitpunkt der Entscheidung bekannten Umstände. Diese Sichtweise wird sowohl in der Literatur als auch durch die Leitlinien des Europäischen Datenschutzausschusses vertreten.

Welche Risiken sind zu berücksichtigen?

Erwägungsgrund 85 DSGVO nennt beispielhaft verschiedene nachteilige Folgen, die bei einer Datenschutzverletzung eintreten können. Hierzu gehören insbesondere:

• Identitätsdiebstahl,
• Identitätsbetrug,
• finanzielle Schäden,
• Diskriminierungen,
• Rufschädigungen,
• Verlust der Vertraulichkeit geschützter Daten,
• wirtschaftliche Nachteile,
• soziale Nachteile,
• sonstige erhebliche Beeinträchtigungen der persönlichen Rechte.

Diese Aufzählung ist nicht abschließend. Entscheidend ist stets die konkrete Situation des Einzelfalls.

Welche Umstände müssen bewertet werden?

Eine seriöse Risikobewertung berücksichtigt regelmäßig mehrere Faktoren gleichzeitig. Zu den wichtigsten gehören:

Art der personenbezogenen Daten

Je sensibler die betroffenen Daten sind, desto eher wird ein Risiko anzunehmen sein.

Beispielsweise erhöhen folgende Daten regelmäßig das Risiko:

• Gesundheitsdaten,
• biometrische Daten,
• Bank- und Kreditkartendaten,
• Steuerdaten,
• Zugangsdaten,
• Passkopien,
• Ausweisdokumente,
• Sozialdaten.

Demgegenüber begründen öffentlich zugängliche oder wenig sensible Informationen häufig ein geringeres Risiko.

Anzahl der betroffenen Personen

Eine Datenschutzverletzung mit tausenden Betroffenen wird regelmäßig schwerer wiegen als ein Vorfall, der lediglich eine einzelne Person betrifft. Allerdings bedeutet dies nicht, dass Vorfälle mit nur einem Betroffenen stets unproblematisch wären. Bereits die Offenlegung besonders sensibler Gesundheitsdaten einer einzelnen Person kann erhebliche Risiken begründen.

Art des Vorfalls

Auch die Ursache der Datenschutzverletzung beeinflusst die Risikobewertung.

Beispiele:

• Wurden Daten lediglich kurzfristig fehlgeleitet?
• Konnte der falsche Empfänger ausgeschlossen werden?
• Sind die Daten verschlüsselt?
• Handelt es sich um einen gezielten Cyberangriff?
• Wurden Daten im Internet veröffentlicht?
• Besteht die Möglichkeit einer weiteren Verbreitung?

Je größer die Wahrscheinlichkeit eines tatsächlichen Missbrauchs ist, desto eher wird eine Meldepflicht bestehen.

Personenkreis der Betroffenen

Besondere Aufmerksamkeit verlangt die DSGVO bei schutzbedürftigen Personengruppen.

Hierzu zählen beispielsweise:

• Kinder,
• Patienten,
• Beschäftigte,
• Pflegebedürftige,
• Personen in wirtschaftlichen Abhängigkeitsverhältnissen.

Bereits geringere Risiken können hier eine Meldung erforderlich machen.

Typische Beispiele aus der Praxis

Die nachfolgenden Beispiele verdeutlichen, wie unterschiedlich die Risikobewertung ausfallen kann.

Beispiel 1: Fehladressierte E-Mail

Ein Mitarbeiter versendet eine Gehaltsabrechnung versehentlich an einen anderen Beschäftigten. Die enthaltenen Informationen betreffen Einkommen, Steuerdaten und Sozialversicherungsnummer.

Hier besteht regelmäßig ein Risiko für die Rechte der betroffenen Person.

Folge: Eine Meldung nach Art. 33 DSGVO wird regelmäßig erforderlich sein. Ob zusätzlich Art. 34 DSGVO eingreift, hängt von der konkreten Risikobewertung ab.

Beispiel 2: Verschlüsselter Laptop geht verloren

Ein Außendienstmitarbeiter verliert seinen Dienstlaptop. Die Festplatte ist vollständig verschlüsselt, die Zugangsdaten sind ausreichend geschützt und eine Entschlüsselung erscheint nach dem Stand der Technik praktisch ausgeschlossen.

Unter diesen Umständen kann das Risiko für die betroffenen Personen entfallen.

Folge: Eine Meldepflicht besteht nach wohl herrschender Meinung meist nicht. Gleichwohl muss der Vorfall dokumentiert und die Risikobewertung nachvollziehbar festgehalten werden.

Beispiel 3: Ransomware mit funktionierendem Backup

Ein Unternehmen wird Opfer eines Ransomware-Angriffs. Die personenbezogenen Daten werden verschlüsselt.

Es bestehen jedoch aktuelle Offline-Backups, sodass sämtliche Daten kurzfristig wiederhergestellt werden können. Hinweise auf einen Datenabfluss liegen nicht vor.

Ob dennoch eine Meldepflicht besteht, hängt davon ab, ob ausschließlich die Verfügbarkeit beeinträchtigt wurde oder Anhaltspunkte für einen unbefugten Zugriff bestehen. Gerade moderne Ransomware-Gruppen kombinieren heute häufig Verschlüsselung und Datendiebstahl, sodass die Sachverhaltsaufklärung besonders sorgfältig erfolgen muss.

Die Meldepflicht beginnt nicht erst nach Abschluss aller Ermittlungen

Ein häufiger Praxisfehler besteht darin, zunächst sämtliche technischen Untersuchungen abzuwarten. Dies verlangt die DSGVO gerade nicht.

Die Meldefrist beginnt bereits mit dem Zeitpunkt, in dem der Verantwortliche hinreichende Kenntnis von einer Datenschutzverletzung besitzt. Fehlen einzelne Informationen noch, darf und muss die Meldung zunächst mit dem vorhandenen Kenntnisstand erfolgen. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich, fehlende Informationen nachzureichen, sobald sie verfügbar sind.

Gerade bei komplexen Cyberangriffen wäre es häufig unmöglich, innerhalb von 72 Stunden sämtliche technischen Details vollständig aufzuklären. Die DSGVO trägt diesem Umstand Rechnung und bevorzugt eine frühzeitige Information der Aufsichtsbehörde gegenüber einer verspäteten, aber vollständigen Meldung.

Dokumentationspflicht besteht immer

Ein in der Praxis häufig übersehener Punkt ist, dass auch nicht meldepflichtige Datenschutzverletzungen dokumentiert werden müssen.

Art. 33 Abs. 5 DSGVO verpflichtet Verantwortliche, jede Datenschutzverletzung einschließlich

• ihrer Ursachen,
• ihrer Auswirkungen sowie
• der ergriffenen Abhilfemaßnahmen

intern zu dokumentieren. Dadurch soll die Datenschutzaufsichtsbehörde später nachvollziehen können, weshalb der Verantwortliche von einer Meldung abgesehen hat. Auch wenn die Risikobewertung ergibt, dass keine Meldepflicht besteht, sollte diese Entscheidung daher sorgfältig begründet und dokumentiert werden. Dieses interne Incident-Register ist ein wesentlicher Bestandteil eines datenschutzkonformen Datenpannenmanagements.

Die 72-Stunden-Frist des Art. 33 DSGVO – Wann beginnt sie und wie ist sie zu berechnen?

Kaum eine Vorschrift der Datenschutz-Grundverordnung wird in der Praxis so häufig diskutiert wie die in Art. 33 Abs. 1 DSGVO vorgesehene Frist von 72 Stunden. Die Frist erscheint auf den ersten Blick eindeutig. Tatsächlich wirft sie jedoch zahlreiche Rechtsfragen auf.

Unternehmen fragen sich insbesondere:

• Wann gilt eine Datenschutzverletzung als „bekannt“?
• Beginnt die Frist bereits bei einem bloßen Verdacht?
• Muss zunächst der gesamte Sachverhalt aufgeklärt werden?
• Gelten Wochenenden und Feiertage mit?
• Welche Folgen hat eine verspätete Meldung?

Die Beantwortung dieser Fragen entscheidet häufig darüber, ob eine Meldung rechtzeitig erfolgt oder ein bußgeldbewehrter Verstoß gegen Art. 33 DSGVO vorliegt.

Die Frist beginnt mit dem Bekanntwerden der Datenschutzverletzung

Nach Art. 33 Abs. 1 DSGVO hat der Verantwortliche die Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde zu melden.

Der Begriff des „Bekanntwerdens“ wird häufig missverstanden. Entscheidend ist nicht, wann sämtliche Einzelheiten des Vorfalls aufgeklärt sind. Ebenso wenig beginnt die Frist bereits mit jeder beliebigen Vermutung oder jedem technischen Alarm.

Nach überwiegender Auffassung beginnt die Frist vielmehr dann, wenn der Verantwortliche aufgrund der ihm vorliegenden Informationen mit hinreichender Wahrscheinlichkeit davon ausgehen muss, dass tatsächlich eine Datenschutzverletzung eingetreten ist. Bloße Spekulationen reichen hierfür ebenso wenig aus wie völlig unsubstantiierte Verdachtsmomente. Umgekehrt darf der Verantwortliche die Meldung nicht so lange hinauszögern, bis sämtliche technischen Details abschließend geklärt sind. Diese Auslegung trägt dem Zweck des Art. 33 DSGVO Rechnung. Die Aufsichtsbehörde soll möglichst frühzeitig informiert werden, um erforderlichenfalls eigene Maßnahmen ergreifen oder Hinweise zur Schadensbegrenzung geben zu können.

Der Verantwortliche darf die Ermittlungen nicht unnötig verzögern

Das bedeutet allerdings nicht, dass unmittelbar nach jeder ungewöhnlichen IT-Meldung eine Datenschutzverletzung angezeigt werden muss.

Erhält die IT-Abteilung beispielsweise einen Hinweis auf ungewöhnliche Netzwerkaktivitäten oder schlägt ein Intrusion-Detection-System Alarm, darf zunächst geprüft werden,

• ob tatsächlich personenbezogene Daten betroffen sind,
• ob überhaupt eine Sicherheitsverletzung vorliegt und
• welche Auswirkungen der Vorfall hat.

Diese erste Sachverhaltsaufklärung muss jedoch mit der gebotenen Eile erfolgen. Die DSGVO verlangt ein aktives Incident-Management. Unternehmen dürfen die Prüfung weder organisatorisch verzögern noch durch unklare Zuständigkeiten hinauszögern. Gerade deshalb empfiehlt es sich, interne Prozesse so zu gestalten, dass Datenschutzbeauftragte, IT-Sicherheit, Compliance und Unternehmensleitung bereits bei einem Anfangsverdacht unverzüglich eingebunden werden.

„Unverzüglich“ bedeutet nicht automatisch „innerhalb von 72 Stunden“

Ein weiterer häufiger Irrtum besteht darin, die 72 Stunden als eine Art Schonfrist zu verstehen. Das Gegenteil ist richtig. Art. 33 DSGVO verlangt zunächst eine Meldung unverzüglich. Die Formulierung „möglichst binnen 72 Stunden“ stellt lediglich die gesetzliche Obergrenze dar. Ist der Sachverhalt bereits nach wenigen Stunden ausreichend aufgeklärt und steht fest, dass eine meldepflichtige Datenschutzverletzung vorliegt, darf die Meldung grundsätzlich nicht bis zum Ablauf der 72-Stunden-Frist zurückgehalten werden. Unternehmen sollten daher möglichst frühzeitig entscheiden, ob eine Meldung erforderlich ist.

Fehlende Informationen dürfen nachgereicht werden

Gerade bei komplexen Cyberangriffen lässt sich der gesamte Umfang einer Datenschutzverletzung häufig erst nach mehreren Tagen oder sogar Wochen feststellen. Dies berücksichtigt Art. 33 Abs. 4 DSGVO ausdrücklich.

Liegen einzelne Informationen zum Zeitpunkt der Erstmeldung noch nicht vor, können diese nachgereicht werden. Die DSGVO erwartet also keine vollständig abgeschlossene forensische Untersuchung innerhalb von 72 Stunden. Entscheidend ist vielmehr, dass die Aufsichtsbehörde frühzeitig über den Vorfall informiert wird und die bis dahin bekannten Informationen erhält.

Für die Praxis empfiehlt sich daher häufig ein zweistufiges Vorgehen:

1. Erstmeldung innerhalb der Frist mit den bereits gesicherten Erkenntnissen.
2. Nachmeldung, sobald weitere Untersuchungsergebnisse vorliegen.

Dieses Vorgehen entspricht der Systematik des Art. 33 DSGVO und wird auch von den Datenschutzaufsichtsbehörden regelmäßig akzeptiert.

Gelten Wochenenden und Feiertage mit?

Ja. Die 72-Stunden-Frist ist eine durchgehende Frist. Sie läuft unabhängig davon, ob zwischenzeitlich Wochenenden oder Feiertage liegen. Tritt eine Datenschutzverletzung beispielsweise an einem Freitagnachmittag ein und wird sie am selben Tag bekannt, endet die Frist regelmäßig bereits am darauffolgenden Montag.

Unternehmen sollten deshalb sicherstellen, dass auch außerhalb der üblichen Geschäftszeiten geeignete Melde- und Eskalationsprozesse bestehen. Dies gilt insbesondere für Krankenhäuser, kritische Infrastrukturen, Rechenzentren oder international tätige Unternehmen mit einem 24/7-Betrieb.

Was passiert bei einer verspäteten Meldung?

Kann die Meldung ausnahmsweise nicht innerhalb von 72 Stunden erfolgen, ist dies nach Art. 33 Abs. 1 Satz 2 DSGVO grundsätzlich zulässig. Die Verzögerung muss jedoch begründet werden.

Die Aufsichtsbehörde wird regelmäßig prüfen,

• weshalb die Frist überschritten wurde,
• ob die Verzögerung vermeidbar gewesen wäre und
• ob der Verantwortliche seine internen Prozesse ausreichend organisiert hatte.

Eine verspätete Meldung führt daher nicht automatisch zu einem Bußgeld. Fehlt jedoch eine nachvollziehbare Begründung oder beruhte die Verzögerung auf organisatorischen Mängeln, kann die Fristüberschreitung selbst einen eigenständigen Datenschutzverstoß darstellen.

Praxishinweis

In zahlreichen Unternehmen verstreichen wertvolle Stunden, weil unklar ist, wer eine Datenschutzverletzung bewerten und wer die Entscheidung über eine Meldung treffen darf. Häufig wird zunächst versucht, den Sachverhalt vollständig aufzuklären. Dadurch gerät die gesetzliche Frist aus dem Blick. Aus datenschutzrechtlicher Sicht empfiehlt sich deshalb ein verbindlicher Incident-Response-Prozess, der insbesondere folgende Punkte regelt und üblicherweise Bestandteil des Datenschutzmanagementsystems ist:

• interne Meldewege,
• Verantwortlichkeiten,
• Eskalationsstufen,
• Einbindung des Datenschutzbeauftragten,
• Einbindung der IT-Sicherheit,
• Entscheidungskompetenzen,
• Dokumentation sämtlicher Maßnahmen.

Ein solcher Prozess beschleunigt nicht nur die Einhaltung der gesetzlichen Fristen, sondern verbessert regelmäßig auch die Qualität der Risikobewertung und der Kommunikation mit der Datenschutzaufsichtsbehörde.

Welche Angaben muss eine Meldung nach Art. 33 DSGVO enthalten?

Art. 33 Abs. 3 DSGVO legt den Mindestinhalt einer Meldung an die Datenschutzaufsichtsbehörde fest. Hierzu gehören insbesondere

• die Beschreibung der Art der Datenschutzverletzung,
• die betroffenen Kategorien und – soweit möglich – die Anzahl der betroffenen Personen,
• die betroffenen Datenkategorien,
• die Kontaktdaten des Datenschutzbeauftragten oder eines sonstigen Ansprechpartners,
• die wahrscheinlichen Folgen der Datenschutzverletzung sowie
• die bereits ergriffenen oder geplanten Maßnahmen zur Schadensbegrenzung.

Sind einzelne Informationen zum Zeitpunkt der Meldung noch nicht verfügbar, können diese gemäß Art. 33 Abs. 4 DSGVO nachgereicht werden. Eine unvollständige Erstmeldung ist daher regelmäßig einer verspäteten Meldung vorzuziehen.

Meldung in der Praxis

In der Praxis stellen die Datenschutzaufsichtsbehörden elektronische Meldeportale zur Verfügung, die den Verantwortlichen schrittweise durch die erforderlichen Angaben führen. Die gesetzlichen Mindestangaben des Art. 33 Abs. 3 DSGVO werden dort regelmäßig durch strukturierte Eingabemasken abgefragt.

Die eigentliche Herausforderung liegt daher meist nicht im Ausfüllen des Formulars, sondern in der vorherigen rechtlichen und tatsächlichen Bewertung des Vorfalls.

Hinweis aus der Praxis: Elektronische Meldeportale dienen der Vereinfachung des Meldeverfahrens. Sie dürfen jedoch die gesetzlich vorgesehene Möglichkeit einer Meldung nach Art. 33 DSGVO nicht einschränken. Gelangt der Verantwortliche nach seiner Risikobewertung zu dem Ergebnis, dass eine Meldung erforderlich ist, sollte er einen geeigneten Übermittlungsweg wählen, auch wenn das bereitgestellte Online-Formular den konkreten Sachverhalt nicht oder nur unzureichend abbildet.

Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO

Während Art. 33 DSGVO die Meldung einer Datenschutzverletzung gegenüber der zuständigen Datenschutzaufsichtsbehörde regelt, verfolgt Art. 34 DSGVO einen anderen Zweck. Die Vorschrift soll sicherstellen, dass betroffene Personen frühzeitig über Datenschutzverletzungen informiert werden, wenn diese voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten begründen. Die Benachrichtigung dient dabei in erster Linie dem Schutz der Betroffenen. Sie sollen die Möglichkeit erhalten, selbst geeignete Maßnahmen zu ergreifen, um drohende Schäden möglichst zu verhindern oder zumindest zu begrenzen. Dies kann beispielsweise die Änderung eines Passworts, die Sperrung einer Zahlungskarte, eine verstärkte Kontrolle von Bankkonten oder besondere Vorsicht gegenüber Phishing-Versuchen umfassen.

Art. 34 DSGVO ergänzt damit die Meldepflicht des Art. 33 DSGVO. Während die Aufsichtsbehörde ihre Kontroll- und Beratungsfunktion wahrnehmen kann, ermöglicht die Benachrichtigung den Betroffenen, ihre eigenen Interessen zu schützen. Bereits aus diesem unterschiedlichen Zweck ergibt sich, dass beide Vorschriften unterschiedlichen Voraussetzungen unterliegen.

Wann besteht eine Benachrichtigungspflicht?

Die Schwelle für eine Benachrichtigung der betroffenen Personen liegt bewusst höher als die Schwelle für eine Meldung an die Datenschutzaufsichtsbehörde. Nach Art. 34 Abs. 1 DSGVO müssen betroffene Personen nur dann informiert werden, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat.

Die DSGVO unterscheidet damit zwischen zwei Risikostufen:

Bewertung	Folge
Risiko	Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO
Hohes Risiko	zusätzlich Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO

Diese Differenzierung ist von erheblicher praktischer Bedeutung. Viele Datenschutzverletzungen überschreiten zwar die Schwelle des Art. 33 DSGVO, erreichen jedoch nicht das höhere Risikoniveau des Art. 34 DSGVO.

Wann liegt ein hohes Risiko vor?

Die DSGVO definiert den Begriff des „hohen Risikos“ nicht näher. Maßgeblich sind daher dieselben Kriterien, die bereits bei der Risikobewertung nach Art. 33 DSGVO heranzuziehen sind. Allerdings müssen Eintrittswahrscheinlichkeit und mögliche Auswirkungen deutlich schwerer wiegen.

Für ein hohes Risiko können insbesondere folgende Umstände sprechen:

• Offenlegung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO,
• Bekanntwerden von Gesundheitsdaten,
• Veröffentlichung von Bank- oder Kreditkartendaten,
• Offenlegung von Zugangsdaten oder Passwörtern,
• Identitätsdiebstahl oder Identitätsbetrug,
• erhebliche wirtschaftliche Nachteile,
• Gefahr von Diskriminierungen,
• Gefährdung besonders schutzbedürftiger Personen, etwa Kindern oder Patienten.

Die Bewertung bleibt stets eine Entscheidung des Einzelfalls. Verantwortliche sollten die maßgeblichen Erwägungen nachvollziehbar dokumentieren, unabhängig davon, ob sie sich letztlich für oder gegen eine Benachrichtigung entscheiden.

Inhalt der Benachrichtigung

Art. 34 Abs. 2 DSGVO enthält Mindestanforderungen an die Information der betroffenen Personen.

Die Mitteilung muss insbesondere

• die Art der Datenschutzverletzung in klarer und verständlicher Sprache beschreiben,
• einen Ansprechpartner benennen,
• die wahrscheinlichen Folgen erläutern sowie
• die bereits ergriffenen oder geplanten Maßnahmen zur Schadensbegrenzung darstellen.

Im Gegensatz zur Meldung an die Aufsichtsbehörde richtet sich die Benachrichtigung nicht an juristisch geschulte Personen. Sie sollte deshalb bewusst verständlich formuliert werden und möglichst auf technische oder datenschutzrechtliche Fachbegriffe verzichten.

Wann entfällt die Benachrichtigungspflicht?

Art. 34 Abs. 3 DSGVO enthält drei wichtige Ausnahmen.

Eine Benachrichtigung der betroffenen Personen ist insbesondere dann nicht erforderlich, wenn

• geeignete technische und organisatorische Maßnahmen – etwa eine wirksame Verschlüsselung – sicherstellen, dass Unbefugte die Daten nicht lesen können,
• nachträglich Maßnahmen getroffen wurden, durch die das hohe Risiko voraussichtlich nicht mehr besteht, oder
• eine individuelle Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde. In diesem Fall ist stattdessen eine öffentliche Bekanntmachung oder eine vergleichbare Maßnahme vorzunehmen.

Gerade die erste Ausnahme spielt in der Praxis eine erhebliche Rolle. Wird beispielsweise ein vollständig verschlüsseltes Notebook entwendet und besteht keine realistische Möglichkeit, die Verschlüsselung zu überwinden, kann die Benachrichtigungspflicht trotz einer Datenschutzverletzung entfallen.

Kann die Aufsichtsbehörde eine Benachrichtigung verlangen?

Ja und in der Regel fragen sie auch nach, ob eine Benachrichtigugn erfolgt ist.  Auch wenn der Verantwortliche zunächst zu dem Ergebnis gelangt, dass keine Benachrichtigung erforderlich ist, kann die zuständige Datenschutzaufsichtsbehörde diese Bewertung überprüfen. Hält sie die Voraussetzungen des Art. 34 DSGVO für erfüllt, kann sie den Verantwortlichen anweisen, die betroffenen Personen zu informieren. Umgekehrt kann eine sorgfältig dokumentierte Risikobewertung wesentlich dazu beitragen, die eigene Entscheidung gegenüber der Aufsichtsbehörde nachvollziehbar zu begründen.

Praxishinweis

In der Praxis zeigt sich häufig, dass Verantwortliche den Schwerpunkt zunächst auf die technische Bewältigung des Vorfalls legen. Die Kommunikation mit den Betroffenen wird dagegen oftmals erst spät vorbereitet.

Dies ist problematisch. Die Benachrichtigung sollte nicht erst erfolgen, wenn sämtliche technischen Einzelheiten geklärt sind. Entscheidend ist vielmehr, dass die betroffenen Personen rechtzeitig die Informationen erhalten, die sie benötigen, um sich vor möglichen Nachteilen zu schützen. Soweit weitere Erkenntnisse hinzukommen, kann die Information – ebenso wie die Meldung an die Aufsichtsbehörde – später ergänzt werden.

Meist liegen die Gründe für die Benachrichtung der Betroffenen auch nicht allein im Datenschutzrecht.

Typische Datenpannen in der Unternehmenspraxis – Beispiele und ihre datenschutzrechtliche Bewertung

Datenschutzverletzungen entstehen längst nicht ausschließlich durch Cyberangriffe oder spektakuläre Hackerangriffe. Ein erheblicher Teil der gemeldeten Vorfälle geht auf organisatorische Fehler, menschliches Fehlverhalten oder alltägliche Arbeitsabläufe zurück.

Die nachfolgenden Beispiele zeigen typische Fallkonstellationen. Sie ersetzen keine Einzelfallprüfung, verdeutlichen aber, welche Fragen Verantwortliche im Rahmen ihrer Risikobewertung regelmäßig beantworten müssen.

---

Fehlversand einer E-Mail

Der Versand einer E-Mail an einen falschen Empfänger gehört zu den häufigsten Datenschutzverletzungen überhaupt. Ursache sind häufig Tippfehler bei der Eingabe der Empfängeradresse, eine fehlerhafte Autovervollständigung des E-Mail-Programms oder die Verwechslung gleichnamiger Personen.

Rechtlich handelt es sich regelmäßig um eine Verletzung der Vertraulichkeit, da personenbezogene Daten einer unberechtigten Person offengelegt werden.

Ob eine Meldung nach Art. 33 DSGVO erforderlich ist, hängt insbesondere davon ab,

• welche Daten betroffen sind,
• ob der Empfänger zur Verschwiegenheit verpflichtet ist,
• ob die Nachricht geöffnet wurde,
• ob eine Löschung oder Vernichtung zuverlässig sichergestellt werden konnte,
• welche Folgen für die betroffene Person zu erwarten sind.

Ein versehentlich an einen Rechtsanwalt oder Steuerberater versandtes Dokument kann daher anders zu bewerten sein als dieselbe E-Mail an einen völlig unbekannten Empfänger.

Offener E-Mail-Verteiler (CC statt BCC)

Ein klassischer Fehler besteht darin, mehrere Empfänger offen in das CC-Feld aufzunehmen, obwohl diese die jeweiligen E-Mail-Adressen der anderen Empfänger nicht kennen sollten. Dadurch werden sämtliche E-Mail-Adressen den übrigen Empfängern offengelegt. Je nach Empfängerkreis kann dies bereits Rückschlüsse auf Mitgliedschaften, Geschäftsbeziehungen oder sensible Lebenssachverhalte zulassen. Besonders problematisch ist dies etwa bei Selbsthilfegruppen, Patienten, Vereinsmitgliedern oder Bewerbern. Auch hier liegt regelmäßig eine Verletzung der Vertraulichkeit vor.

Brief oder Paket an den falschen Empfänger

Nicht nur elektronische Kommunikation kann Datenschutzverletzungen auslösen. Auch falsch adressierte Briefe oder Pakete mit personenbezogenen Unterlagen stellen regelmäßig Datenschutzverletzungen dar.

Hierzu gehören beispielsweise

• Gehaltsabrechnungen,
• Arztbriefe,
• Vertragsunterlagen,
• Steuerunterlagen,
• Personalakten,
• Bewerbungsunterlagen.

Die Risikobewertung orientiert sich wiederum maßgeblich am Inhalt der Unterlagen sowie an der Wahrscheinlichkeit, dass unbefugte Personen hiervon Kenntnis nehmen konnten.

Verlust eines Laptops oder Smartphones

Gehen mobile Endgeräte verloren oder werden sie gestohlen, stellt sich regelmäßig zunächst die Frage, welche personenbezogenen Daten auf dem Gerät gespeichert waren. Entscheidend ist jedoch ebenso, wie das Gerät abgesichert war. Eine wirksame Festplattenverschlüsselung, sichere Authentifizierungsverfahren und ein professionelles Mobile-Device-Management können das Risiko erheblich reduzieren und unter Umständen dazu führen, dass zwar eine Datenschutzverletzung vorliegt, das Risiko für die betroffenen Personen jedoch gering bleibt. Fehlt eine entsprechende Absicherung, kann dagegen bereits der Verlust des Geräts erhebliche Risiken begründen.

Verlust von Papierakten

Trotz fortschreitender Digitalisierung spielen Papierakten weiterhin eine erhebliche Rolle. Werden Aktenordner, Personalakten oder Patientenunterlagen verloren oder versehentlich zurückgelassen, liegt regelmäßig eine Verletzung der Vertraulichkeit vor.

Besonders kritisch sind dabei Unterlagen mit

• Gesundheitsdaten,
• Personaldaten,
• Sozialdaten,
• Steuerinformationen,
• Ausweiskopien.

Da sich häufig nicht feststellen lässt, ob Dritte Einsicht genommen haben, wird regelmäßig von einem relevanten Risiko auszugehen sein.

Ransomware-Angriff

Ransomware zählt inzwischen zu den häufigsten Ursachen größerer Datenschutzvorfälle. Früher beschränkten sich viele Angriffe auf die Verschlüsselung der Datenbestände. Heute kombinieren zahlreiche Tätergruppen die Verschlüsselung mit einem vorherigen Datendiebstahl („Double Extortion“). Für die datenschutzrechtliche Bewertung genügt es deshalb regelmäßig nicht, lediglich festzustellen, dass Daten verschlüsselt wurden.

Vielmehr ist sorgfältig zu untersuchen,

• ob Daten lediglich verschlüsselt wurden,
• ob Daten tatsächlich abgeflossen sind,
• welche Daten betroffen sind,
• welche Personengruppen betroffen sind,
• welche Schutzmaßnahmen bestanden.

Gerade diese Sachverhaltsaufklärung entscheidet häufig über die Melde- und Benachrichtigungspflichten.

Fehlkonfiguration eines Cloud-Dienstes

Immer wieder werden Cloud-Speicher oder Datenbanken versehentlich öffentlich erreichbar konfiguriert. Ob tatsächlich eine Datenschutzverletzung vorliegt, hängt nicht allein davon ab, dass theoretisch ein Zugriff möglich gewesen wäre.

Vielmehr ist unter anderem zu prüfen,

• wie lange die Fehlkonfiguration bestand,
• ob Zugriffe protokolliert wurden,
• ob Hinweise auf tatsächliche Zugriffe vorliegen,
• welche Daten betroffen waren.

Die Bewertung kann im Einzelfall komplex sein und erfordert häufig die Auswertung technischer Protokolle.

Unberechtigter interner Datenzugriff

Nicht jede Datenschutzverletzung wird durch externe Angreifer verursacht. Greifen Beschäftigte ohne dienstliche Veranlassung auf personenbezogene Daten zu oder nutzen bestehende Berechtigungen zweckwidrig, kann ebenfalls eine Verletzung der Vertraulichkeit vorliegen.

Typische Beispiele sind:

• Einsichtnahme in Personalakten,
• Zugriff auf Patientenakten aus Neugier,
• Abfrage von Kundendaten ohne dienstlichen Anlass,
• Nutzung personenbezogener Daten für private Zwecke.

Gerade in größeren Organisationen gehören solche internen Datenschutzverletzungen zu den regelmäßig auftretenden Vorfällen.

Fehlende oder unzureichende Löschung

Nicht jeder Datenschutzverstoß stellt zugleich eine Datenschutzverletzung dar. Werden personenbezogene Daten länger gespeichert als datenschutzrechtlich zulässig, kann zwar ein Verstoß gegen Art. 5 oder Art. 6 DSGVO vorliegen. Solange jedoch keine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit eingetreten ist, handelt es sich regelmäßig nicht um eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO. Gerade diese Abgrenzung wird in der Praxis häufig übersehen und sollte bei jeder rechtlichen Bewertung ausdrücklich geprüft werden.

Verlust eines USB-Sticks

USB-Sticks werden nach wie vor häufig für den Transport personenbezogener Daten verwendet. Geht ein Datenträger verloren, hängt die Risikobewertung insbesondere davon ab,

• ob die gespeicherten Daten verschlüsselt waren,
• welche Daten betroffen sind,
• ob Sicherungskopien existieren,
• ob nachvollzogen werden kann, wer den Datenträger gefunden hat.

Ein verschlüsselter USB-Stick mit starkem Passwort wird regelmäßig anders zu bewerten sein als ein unverschlüsselter Datenträger mit Gesundheits- oder Personaldaten.

Fazit

Die dargestellten Beispiele verdeutlichen, dass sich die datenschutzrechtliche Bewertung einer Datenpanne nicht schematisch vornehmen lässt. Maßgeblich sind stets die konkreten Umstände des Einzelfalls. Verantwortliche sollten daher jeden Vorfall anhand eines strukturierten Prüfungsablaufs bewerten und dokumentieren. Entscheidend ist nicht die Bezeichnung des Vorfalls, sondern die Frage, ob eine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten vorliegt und welche Risiken sich hieraus für die betroffenen Personen ergeben.

Der richtige Ablauf nach einer Datenpanne – Ein Incident-Response-Prozess in zehn Schritten

Sobald eine mögliche Datenschutzverletzung bekannt wird, entscheidet häufig die Geschwindigkeit und Organisation des Unternehmens darüber, ob die gesetzlichen Anforderungen eingehalten werden können. Ein klar definierter Incident-Response-Prozess hilft dabei, Fehler zu vermeiden, Fristen einzuhalten und den entstandenen Schaden möglichst gering zu halten. Die nachfolgende Vorgehensweise hat sich in der Praxis bewährt und orientiert sich sowohl an den Anforderungen der DSGVO als auch an den Empfehlungen der Datenschutzaufsichtsbehörden.

1. Vorfall erkennen und intern melden

Jede Person im Unternehmen sollte wissen, an wen sie einen möglichen Datenschutzvorfall unverzüglich melden muss. Hierzu gehören nicht nur Hackerangriffe, sondern beispielsweise auch fehlversandte E-Mails, verlorene Datenträger oder ungewöhnliche IT-Vorfälle. Je früher ein Vorfall bekannt wird, desto mehr Zeit bleibt für die weitere Bewertung innerhalb der 72-Stunden-Frist.

2. Sofortmaßnahmen zur Schadensbegrenzung einleiten

Nach Bekanntwerden sollte zunächst geprüft werden, welche Maßnahmen geeignet sind, den Schaden zu begrenzen.

Hierzu können beispielsweise gehören:

• Sperrung kompromittierter Benutzerkonten,
• Zurückrufen einer E-Mail, soweit technisch möglich,
• Fernlöschung mobiler Endgeräte,
• Abschaltung betroffener Systeme,
• Änderung von Passwörtern,
• Sperrung von Zugriffsberechtigungen.

Oberste Priorität hat dabei, weitere Datenverluste möglichst zu verhindern.

3. Sachverhalt sichern

Bereits zu Beginn sollten alle verfügbaren Informationen dokumentiert werden.

Hierzu zählen insbesondere

• Zeitpunkt des Vorfalls,
• Zeitpunkt der Entdeckung,
• beteiligte Systeme,
• betroffene Daten,
• bekannte Ursachen,
• bereits eingeleitete Maßnahmen.

Gerade bei Cyberangriffen sollten vorhandene Protokolldaten möglichst frühzeitig gesichert werden, um spätere Untersuchungen zu ermöglichen.

4. Interdisziplinäres Incident-Team einbinden

Datenschutzverletzungen lassen sich selten allein durch die IT oder den Datenschutzbeauftragten bewältigen.

Je nach Vorfall sollten insbesondere beteiligt werden:

• IT-Abteilung,
• Informationssicherheit,
• Datenschutzbeauftragter,
• Geschäftsleitung,
• Rechtsabteilung oder externe Berater, insb. in Hinblick auf Forensik etc.,
• gegebenenfalls Unternehmenskommunikation.

Klare Zuständigkeiten vermeiden Zeitverluste und widersprüchliche Entscheidungen.

5. Liegt überhaupt eine Datenschutzverletzung vor?

Nicht jeder IT-Vorfall ist zugleich eine Datenschutzverletzung.

Zunächst ist zu prüfen,

• ob personenbezogene Daten betroffen sind,
• ob eine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit vorliegt und
• ob tatsächlich eine Sicherheitsverletzung eingetreten ist.

Erst wenn diese Fragen bejaht werden, ist eine weitere Prüfung nach Art. 33 und Art. 34 DSGVO erforderlich.

6. Risikobewertung durchführen

Im nächsten Schritt ist zu bewerten, welche Risiken sich für die betroffenen Personen ergeben.

Hierbei sollten insbesondere berücksichtigt werden:

• Art der Daten,
• Anzahl der Betroffenen,
• Schutzbedürftigkeit der Betroffenen,
• Umfang des Vorfalls,
• Eintrittswahrscheinlichkeit eines Missbrauchs,
• mögliche Folgen.

Diese Bewertung bildet die Grundlage für sämtliche weiteren Entscheidungen.

7. Entscheidung über Melde- und Benachrichtigungspflichten

Auf Grundlage der Risikobewertung ist zu entscheiden,

• ob eine Meldung nach Art. 33 DSGVO erforderlich ist,
• ob zusätzlich betroffene Personen nach Art. 34 DSGVO informiert werden müssen,
• ob weitere gesetzliche Meldepflichten bestehen, etwa nach dem NIS-2-Umsetzungsgesetz, dem TDDDG oder branchenspezifischen Vorschriften.

Gerade größere Sicherheitsvorfälle können mehrere parallele Meldepflichten auslösen.

Praxishinweis: Die datenschutzrechtliche Meldung nach Art. 33 DSGVO ersetzt nicht automatisch andere gesetzliche Anzeige- oder Meldepflichten. Unternehmen sollten daher frühzeitig prüfen, ob neben der DSGVO weitere nationale oder europäische Regelungen einschlägig sind.

8. Entscheidungen nachvollziehbar dokumentieren

Unabhängig davon, ob letztlich eine Meldung erfolgt oder nicht, sollten sämtliche Erwägungen dokumentiert werden.

Hierzu gehören insbesondere:

• Risikobewertung,
• Entscheidungsgrundlagen,
• Verantwortlichkeiten,
• Zeitabläufe,
• ergriffene Maßnahmen,
• Kommunikation mit Behörden und Betroffenen,
• wer war involviert, wer hat die Bewertung vorgenommen.

Eine sorgfältige Dokumentation erleichtert nicht nur spätere Prüfungen durch die Aufsichtsbehörde, sondern unterstützt auch die interne Nachbereitung.

9. Ursachen beseitigen und Sicherheitsmaßnahmen verbessern

Nach der unmittelbaren Bewältigung des Vorfalls sollte untersucht werden, weshalb die Datenschutzverletzung überhaupt eintreten konnte.

Dabei können beispielsweise folgende Maßnahmen erforderlich werden:

• technische Sicherheitsverbesserungen,
• Anpassung interner Prozesse,
• zusätzliche Schulungen,
• Überarbeitung von Berechtigungskonzepten,
• Aktualisierung des Incident-Response-Plans.

Jede Datenpanne sollte zugleich Anlass sein, die eigene Datenschutz- und Informationssicherheitsorganisation weiterzuentwickeln.

10. Lessons Learned

Der Abschluss eines Datenschutzvorfalls sollte nicht mit der Meldung an die Aufsichtsbehörde enden.

Sinnvoll ist vielmehr eine strukturierte Nachbesprechung, in der unter anderem folgende Fragen beantwortet werden:

• Was hat gut funktioniert?
• Wo kam es zu Verzögerungen?
• Waren Zuständigkeiten eindeutig geregelt?
• Waren alle Ansprechpartner erreichbar?
• Reichen die bestehenden technischen und organisatorischen Maßnahmen aus?
• Müssen interne Richtlinien angepasst werden?

Nur wenn Vorfälle systematisch ausgewertet werden, lässt sich die Reaktionsfähigkeit des Unternehmens langfristig verbessern.

Fazit

Ein funktionierender Incident-Response-Prozess ist heute ein wesentlicher Bestandteil eines wirksamen Datenschutzmanagements. Er hilft nicht nur dabei, die gesetzlichen Anforderungen der Art. 33 und 34 DSGVO einzuhalten, sondern ermöglicht es Unternehmen auch, Schäden zu begrenzen und gegenüber Aufsichtsbehörden eine strukturierte und nachvollziehbare Vorgehensweise nachzuweisen.

 

Häufige Fehler im Umgang mit Datenpannen

Die rechtlichen Anforderungen der Art. 33 und 34 DSGVO sind mittlerweile seit mehreren Jahren in Kraft. Gleichwohl zeigen die Erfahrungen der Datenschutzaufsichtsbehörden, dass sich bestimmte Fehler im Umgang mit Datenschutzverletzungen immer wieder wiederholen. Häufig entstehen die größten Probleme dabei nicht durch die eigentliche Datenpanne, sondern durch eine verspätete oder unzureichende Reaktion des Verantwortlichen. So auch die eingangs erwähnte Übersicht des ULD SH.

1. Datenschutzverstoß und Datenpanne werden verwechselt

Nicht jeder Verstoß gegen die DSGVO stellt zugleich eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO dar. Eine unzulässige Speicherung personenbezogener Daten oder eine fehlende Rechtsgrundlage kann zwar datenschutzwidrig sein, löst aber für sich genommen noch keine Meldepflicht nach Art. 33 DSGVO aus. Umgekehrt kann eine Datenschutzverletzung auch dann vorliegen, wenn die Verarbeitung an sich rechtmäßig erfolgt.

Eine saubere rechtliche Einordnung bildet deshalb den Ausgangspunkt jeder weiteren Prüfung.

2. Die Risikobewertung erfolgt oft zu oberflächlich

Ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen erforderlich ist, entscheidet sich anhand einer nachvollziehbaren Risikobewertung. In der Praxis wird diese Bewertung jedoch häufig auf wenige Schlagworte reduziert oder lediglich pauschal dokumentiert. Die Datenschutzaufsichtsbehörden erwarten dagegen eine einzelfallbezogene Betrachtung, bei der insbesondere Art der Daten, mögliche Schadensfolgen und deren Eintrittswahrscheinlichkeit berücksichtigt werden. Das ULD hebt hervor, dass sowohl die Schwere möglicher Schäden als auch deren Eintrittswahrscheinlichkeit systematisch bewertet werden sollten.

3. Die 72-Stunden-Frist wird falsch verstanden

Ein weit verbreiteter Irrtum besteht darin, zunächst sämtliche technischen Untersuchungen abzuschließen und erst anschließend über eine Meldung zu entscheiden.

Die DSGVO verlangt jedoch keine vollständig abgeschlossene forensische Untersuchung innerhalb von 72 Stunden. Vielmehr ist erforderlichenfalls zunächst eine Erstmeldung abzugeben; fehlende Informationen können später ergänzt werden.

4. Die Dokumentationspflicht wird unterschätzt

Selbst wenn eine Datenschutzverletzung nicht meldepflichtig ist, endet die Prüfung nicht mit der Feststellung, dass kein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Art. 33 Abs. 5 DSGVO verpflichtet den Verantwortlichen, jede Datenschutzverletzung zu dokumentieren. In der Praxis fehlt jedoch häufig eine nachvollziehbare Dokumentation der Risikobewertung oder der Gründe, aus denen von einer Meldung abgesehen wurde. Gerade diese Unterlagen können im Rahmen einer späteren Prüfung durch die Aufsichtsbehörde von erheblicher Bedeutung sein.

5. Auftragsverarbeiter werden nicht ausreichend eingebunden

Datenschutzverletzungen entstehen häufig bei externen IT-Dienstleistern oder Cloud-Anbietern. Fehlen klare Meldewege oder vertraglich geregelte Reaktionszeiten, gehen wertvolle Stunden verloren. Da die 72-Stunden-Frist unabhängig von internen Abstimmungsprozessen läuft, sollten Verantwortliche gemeinsam mit ihren Auftragsverarbeitern klare Verfahren für den Umgang mit Datenschutzverletzungen vereinbaren.

6. Betroffene erhalten unzureichende Informationen

Ist eine Benachrichtigung nach Art. 34 DSGVO erforderlich, beschränkt sich diese in der Praxis häufig auf die Mitteilung, dass eine Datenschutzverletzung eingetreten ist.

Damit wird der Zweck der Vorschrift jedoch nur teilweise erfüllt. Betroffene sollen in die Lage versetzt werden, selbst geeignete Schutzmaßnahmen zu ergreifen. Daher sollten Benachrichtigungen – soweit möglich – konkrete Handlungsempfehlungen enthalten, etwa zur Änderung von Passwörtern, zur Überprüfung von Kontobewegungen oder zur erhöhten Wachsamkeit gegenüber Phishing-Angriffen. Dies wird auch in den aktuellen Hinweisen des ULD ausdrücklich hervorgehoben.

Checkliste: Datenpanne – Was ist jetzt zu tun?

Nach Bekanntwerden einer möglichen Datenschutzverletzung sollten Verantwortliche insbesondere folgende Punkte prüfen:

• Liegt überhaupt eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO vor?
• Wurden unverzüglich Maßnahmen zur Schadensbegrenzung eingeleitet?
• Wurden alle relevanten Informationen und Beweismittel gesichert?
• Wurde eine nachvollziehbare Risikobewertung durchgeführt?
• Besteht eine Meldepflicht nach Art. 33 DSGVO?
• Müssen zusätzlich betroffene Personen nach Art. 34 DSGVO informiert werden?
•  Sind weitere gesetzliche Meldepflichten zu beachten?
•  Wurden sämtliche Entscheidungen dokumentiert?
•  Wurden technische und organisatorische Maßnahmen überprüft und verbessert?
•  Wurde der Vorfall intern ausgewertet und der Incident-Response-Prozess angepasst?

Fazit

Datenschutzverletzungen gehören heute zu den typischen Risiken jeder Organisation. Sie entstehen nicht nur durch Cyberangriffe, sondern ebenso durch alltägliche Fehler im Arbeitsablauf, organisatorische Schwächen oder menschliches Fehlverhalten. Entscheidend ist daher weniger, ob eine Datenpanne eintritt, sondern wie ein Unternehmen darauf reagiert.

Die Art. 33 und 34 DSGVO schaffen hierfür einen klaren rechtlichen Rahmen. Wer Datenschutzverletzungen frühzeitig erkennt, strukturiert bewertet, die erforderlichen Entscheidungen nachvollziehbar dokumentiert und fristgerecht handelt, erfüllt nicht nur seine gesetzlichen Pflichten, sondern trägt auch dazu bei, Schäden für betroffene Personen wirksam zu begrenzen.

Die aktuellen Hinweise des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) unterstreichen diesen präventiven Ansatz. Im Mittelpunkt steht nicht allein die Frage, ob eine Meldung erforderlich ist. Ebenso wichtig sind eine fundierte Risikobewertung, wirksame Sofortmaßnahmen, eine enge Zusammenarbeit zwischen Verantwortlichem und Auftragsverarbeitern sowie eine verständliche Kommunikation mit den betroffenen Personen. Nach Eingang einer Meldung prüfen die Aufsichtsbehörden zudem regelmäßig, ob der Vorfall angemessen aufgearbeitet, die Ursachen analysiert und geeignete Maßnahmen ergriffen wurden, um vergleichbare Datenschutzverletzungen künftig zu vermeiden.

Ein wirksames Datenpannenmanagement endet daher nicht mit der Abgabe einer Meldung an die Datenschutzaufsichtsbehörde. Jede Datenschutzverletzung sollte vielmehr Anlass sein, bestehende technische und organisatorische Maßnahmen zu überprüfen, interne Abläufe weiterzuentwickeln und die Sicherheitskultur im Unternehmen nachhaltig zu stärken. Auf diese Weise wird aus einer Datenpanne nicht nur eine rechtliche Herausforderung, sondern zugleich eine Chance, das Datenschutz- und Informationssicherheitsniveau dauerhaft zu verbessern.

Dieser Beitrag behandelt die datenschutzrechtlichen Pflichten nach Art. 33 und 34 DSGVO. Je nach Branche oder Art des Sicherheitsvorfalls können daneben weitere gesetzliche Melde- und Reaktionspflichten bestehen. Dies betrifft insbesondere Betreiber kritischer Anlagen, Einrichtungen des Gesundheitswesens, Anbieter digitaler Dienste oder Unternehmen, die unter die Vorgaben der NIS-2-Richtlinie beziehungsweise deren nationale Umsetzung fallen. Auch branchenspezifische Vorschriften oder vertragliche Meldepflichten gegenüber Kunden, Geschäftspartnern oder Cyberversicherern können im Einzelfall zu beachten sein. Verantwortliche sollten daher bei jeder schwerwiegenden Datenschutzverletzung prüfen, ob neben der DSGVO weitere gesetzliche oder vertragliche Verpflichtungen bestehen.

Weiterführende Beiträge

Wenn Sie sich vertieft mit Datenschutzverletzungen, Datensicherheit und den Anforderungen der DSGVO beschäftigen möchten, finden Sie auf unseren Webseiten weitere praxisrelevante Beiträge:

Datenschutzverletzungen und Informationssicherheit

• Datenpanne. Was muss ich als Unternehmen oder Einrichtung jetzt beachten?
  Ein kompakter Überblick über die ersten Maßnahmen nach einer Datenschutzverletzung und die gesetzlichen Meldepflichten. (Dieser Beitrag wird durch den vorliegenden Leitfaden umfassend aktualisiert.) (Daseco)
• Das NIS-2-Umsetzungsgesetz ist nach einigen Verzögerungen nun in Deutschland in Kraft.
  Welche zusätzlichen Anforderungen Unternehmen künftig im Bereich der Cybersicherheit beachten müssen und wie sich diese zu den Pflichten nach der DSGVO verhalten. (Daseco)
• Neue Datenschutz-Hilfen von Microsoft: M365-Kit, Cloud Compendium und DSFA-Vorlagen für Unternehmen
  Hilfreiche Werkzeuge zur Umsetzung technischer und organisatorischer Maßnahmen im Unternehmen. (Daseco)

Datensicherheit und technische Maßnahmen

• Ungelöste Frage im Datenschutz: Müssen personenbezogene Daten in einem Backup gelöscht werden, wenn der Betroffene eine Löschung nach Art. 17 DSGVO verlangt?
  Eine praxisrelevante Analyse zum Spannungsverhältnis zwischen Löschpflichten und Datensicherung nach Art. 17 und Art. 32 DSGVO. (Anwalt-Willich)
• Muster für die Datenschutz-Folgenabschätzung für Microsoft 365
  Hinweise und Muster zur Durchführung einer Datenschutz-Folgenabschätzung beim Einsatz von Microsoft 365. (Anwalt-Willich)

Betroffenenrechte und Datenschutzorganisation

• EuGH bejaht einen konkreten DSGVO-Auskunftsanspruch hinsichtlich des Empfängers
  Welche Informationen Verantwortliche nach Art. 15 DSGVO gegenüber Betroffenen offenlegen müssen. (Anwalt-Willich)
• Neue GDD Praxishilfe: Checkliste zu Auskunftsersuchen
  Empfehlungen für die organisatorische Vorbereitung und Bearbeitung von Auskunftsersuchen nach Art. 15 DSGVO. (Anwalt-Willich)
• DSK-Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist
  Welche Verarbeitungsvorgänge nach Auffassung der Datenschutzaufsichtsbehörden regelmäßig eine Datenschutz-Folgenabschätzung erfordern. (Anwalt-Willich)