Datenpanne im Unternehmen: die 72-Stunden-Frist läuft ab Kenntnis

Die meisten Datenschutzverletzungen sind keine Hackerangriffe, sondern Alltag: eine E-Mail mit offenem Verteiler, ein verlorenes Notebook, ein falsch berechtigter Ordner im Netzlaufwerk. Rechtlich macht das keinen Unterschied – die Meldepflicht knüpft nicht an die Ursache an.

Was die Frist auslöst

Eine Verletzung des Schutzes personenbezogener Daten ist der Datenschutzbehörde binnen 72 Stunden ab Kenntnis zu melden, sofern ein Risiko für die betroffenen Personen besteht. Entscheidend ist der Zeitpunkt, zu dem im Unternehmen mit hinreichender Sicherheit feststeht, dass ein Vorfall vorliegt – nicht der Abschluss der internen Aufklärung. Wer erst die vollständige Analyse abwartet, ist regelmäßig zu spät; die Meldung kann ausdrücklich schrittweise ergänzt werden.

Bei hohem Risiko sind zusätzlich die Betroffenen zu verständigen, und zwar unverzüglich und in klarer, einfacher Sprache.

Auch der nicht meldepflichtige Fall gehört dokumentiert

Jeder Vorfall ist intern zu dokumentieren – auch dann, wenn er nicht gemeldet wird. Diese Dokumentation ist der Nachweis, dass die Bewertung stattgefunden hat. Fehlt sie, steht im Prüfungsfall die Behauptung im Raum, es sei gar nicht bewertet worden.

Ein Ablauf, den es vorher geben muss

72 Stunden reichen nicht, um erst zu klären, wer zuständig ist. Sinnvoll ist ein knapper, geübter Ablauf:

• Wer meldet intern an wen? Eine benannte Stelle, erreichbar auch am Freitagnachmittag.
• Wer bewertet das Risiko? Nach Art der Daten, Zahl der Betroffenen und möglichen Folgen.
• Wer entscheidet über die Meldung und wer formuliert sie?
• Wer informiert Betroffene, und über welchen Kanal?
• Wo wird dokumentiert? Ein einfaches Formular reicht, es muss nur existieren und benutzt werden.

Auftragsverarbeiter einbeziehen

Passiert der Vorfall beim Dienstleister – Lohnverrechnung, IT-Betreuung, Cloud-Speicher –, muss dieser Sie unverzüglich informieren; die Meldepflicht gegenüber der Behörde bleibt bei Ihnen. Genau deshalb gehört diese Informationspflicht in jeden Auftragsverarbeitungsvertrag, und zwar mit einer konkreten Frist statt der üblichen Formel „unverzüglich".