Datenpanne: die 72-Stunden-Meldefrist nach Art. 33 DSGVO

Die falsch adressierte E-Mail, das verlorene Notebook, der erfolgreiche Phishing-Angriff: Datenschutzverletzungen entstehen meist im Alltag und selten spektakulär. Entscheidend ist dann nicht, wie es passiert ist, sondern wie schnell und wie strukturiert reagiert wird.

Was überhaupt eine Datenschutzverletzung ist

Gemeint ist jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Der Begriff ist damit deutlich weiter als „Hackerangriff".

Auch der Verlust der Verfügbarkeit zählt: Wenn eine Ransomware die einzige Kopie der Patientendaten verschlüsselt, ist das eine meldepflichtige Verletzung, selbst wenn keine Daten abgeflossen sind.

Wann die 72 Stunden zu laufen beginnen

Die Frist beginnt mit dem Bekanntwerden der Verletzung, also dem Zeitpunkt, zu dem die verantwortliche Stelle hinreichende Gewissheit über den Vorfall hat. Ein bloßer Verdacht startet die Frist noch nicht, eine zu lange „Prüfphase" ist aber ebenfalls angreifbar: Die Prüfung selbst muss unverzüglich erfolgen.

Gemeldet wird der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden. Wird diese Frist überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen. Die Meldung entfällt dadurch nicht.

Eine Ausnahme besteht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Einschätzung ist zu dokumentieren, auch dann, wenn im Ergebnis nicht gemeldet wird.

Wann zusätzlich die Betroffenen zu informieren sind

Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, sind diese nach Art. 34 DSGVO zusätzlich unverzüglich zu benachrichtigen, in klarer und einfacher Sprache.

Die Benachrichtigung kann entfallen, wenn die Daten wirksam verschlüsselt waren, wenn nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder wenn der Aufwand unverhältnismäßig wäre. Dann tritt eine öffentliche Bekanntmachung an ihre Stelle.

Was in die Meldung gehört

Beschreibung der Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze. Name und Kontaktdaten der oder des Datenschutzbeauftragten. Beschreibung der wahrscheinlichen Folgen. Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Abhilfe und Abmilderung.

Liegen nicht alle Informationen vor, darf schrittweise nachgemeldet werden. Das ist der praktisch wichtigste Punkt: Unvollständigkeit ist kein Grund, die Frist verstreichen zu lassen.

Der Prozess muss vor dem Ernstfall stehen

Wer erst im Vorfall klärt, wer entscheidet, welche Informationen gebraucht werden und über welchen Weg gemeldet wird, verbraucht genau die Zeit, die die Frist hergibt. Ein belastbarer Prozess beantwortet vorab vier Fragen: Wer meldet intern an wen? Wer bewertet das Risiko? Wer entscheidet über die Meldung? Und wo wird dokumentiert?

Wir hinterlegen diesen Ablauf zu Beginn des Mandats, dokumentieren jeden Vorfall mitsamt Fristenlauf im Datenschutz-Management-System und bereiten Meldung und Benachrichtigung vor. Die Meldung selbst gibt die verantwortliche Stelle ab. Die Vorbereitung übernehmen wir.

Fazit

Nicht jede Panne ist meldepflichtig, aber jede muss bewertet und dokumentiert werden. Wer den Ablauf vorab festlegt und die Beschäftigten sensibilisiert, verwandelt einen Ausnahmefall in einen geübten Vorgang und hält die 72 Stunden ohne Hektik ein.