Meldepflicht bei Datenschutzverletzungen: Art. 33 DSGVO richtig prüfen
Nicht jede Datenschutzverletzung muss an die Aufsichtsbehörde gemeldet werden. Entscheidend sind die Risikoschwelle, der Zeitpunkt des Bekanntwerdens und eine rechtzeitige Erstmeldung, wenn die Aufklärung noch nicht abgeschlossen ist.
Kurzantwort
Eine festgestellte Datenschutzverletzung ist an die zuständige Aufsichtsbehörde zu melden, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die Meldung muss unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem der Verantwortliche von der Datenschutzverletzung Kenntnis erlangt hat. Für den Fristbeginn genügt eine hinreichende Sicherheit, dass personenbezogene Daten beeinträchtigt wurden; eine vollständige Aufklärung ist nicht erforderlich.
Fehlen noch Angaben, ist eine Erstmeldung mit späteren Ergänzungen möglich. Auch bei einem Verzicht auf die Meldung muss die Datenschutzverletzung einschließlich der Risikobewertung dokumentiert werden.
Anwendungsbereich
Was löst die Meldepflicht nach Art. 33 DSGVO aus?
Art. 33 DSGVO knüpft an eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO an. Erfasst sind Sicherheitsverletzungen, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führen.
Nicht jeder Datenschutzverstoß und nicht jede technische Störung ist deshalb automatisch eine meldepflichtige Datenschutzverletzung. Zuerst muss feststehen, dass personenbezogene Daten durch eine Sicherheitsverletzung tatsächlich betroffen sind.
Typische Fälle sind falsch versendete Nachrichten oder Unterlagen, offene Verteiler, verlorene Geräte, unberechtigte Zugriffe, versehentliche Veröffentlichungen, Fehlkonfigurationen, Schadsoftware und länger andauernde Ausfälle wichtiger Datenbestände.
Diese Seite behandelt gezielt die Meldeschwelle und das Meldeverfahren nach Art. 33 DSGVO. Sofortmaßnahmen, vollständige Vorfalldokumentation und kommunale Besonderheiten werden in den weiterführenden Beiträgen vertieft.
Risikobewertung
Keine Meldung, Meldung oder zusätzlich Betroffene informieren?
Für die Entscheidung sind drei Risikostufen auseinanderzuhalten. Maßgeblich sind Eintrittswahrscheinlichkeit und Schwere möglicher physischer, materieller oder immaterieller Nachteile für die betroffenen Personen.
Keine Meldung nach Art. 33 und keine Benachrichtigung nach Art. 34 DSGVO. Die Datenschutzverletzung und die Begründung bleiben dokumentationspflichtig.
Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO. Eine Benachrichtigung der Betroffenen ist noch nicht automatisch erforderlich.
Meldung an die Aufsichtsbehörde und grundsätzlich zusätzlich unverzügliche Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO.
Zu berücksichtigen sind insbesondere Art und Sensibilität der Daten, Datenmenge, Identifizierbarkeit, Zahl und Schutzbedürftigkeit der Betroffenen, möglicher Missbrauch, Empfängerkreis, Dauer der Beeinträchtigung und bereits wirksame Gegenmaßnahmen.
Auch ein Vorfall mit nur einer betroffenen Person kann erheblich sein. Umgekehrt führt eine hohe Personenzahl nicht ohne weitere Prüfung automatisch zu einem hohen Risiko.
Fristbeginn
Wann beginnt die 72-Stunden-Frist?
Die Frist beginnt, wenn der Verantwortliche mit hinreichender Sicherheit weiß, dass eine Sicherheitsverletzung eingetreten ist und personenbezogene Daten beeinträchtigt wurden. Ein erster bloßer Verdacht löst die Frist nicht in jedem Fall sofort aus.
Eine kurze und unverzüglich begonnene Erstprüfung ist daher möglich. Sie darf aber nicht dazu genutzt werden, die Meldung bis zum Abschluss einer umfangreichen forensischen oder organisatorischen Untersuchung hinauszuschieben.
Sobald die erforderliche Kenntnis vorliegt, muss eine meldepflichtige Verletzung unverzüglich und möglichst innerhalb von 72 Stunden gemeldet werden. Wochenenden und Feiertage zählen mit. Wird die Frist überschritten, ist die Verzögerung gegenüber der Aufsichtsbehörde zu begründen.
Fachbereiche, IT, Leitung und sonstige Stellen müssen mögliche Datenschutzverletzungen sofort an den festgelegten internen Meldeweg geben. Eine langsame interne Kommunikation verschiebt den rechtlichen Fristbeginn nicht verlässlich.
Meldeverfahren
Welche Angaben gehören in die Meldung?
Art. 33 Abs. 3 DSGVO nennt die Mindestinhalte. Die Meldung muss den Vorfall so beschreiben, dass die Aufsichtsbehörde die Datenschutzverletzung, die möglichen Folgen und die ergriffenen Maßnahmen einordnen kann.
Art der Datenschutzverletzung und betroffene Schutzziele: Vertraulichkeit, Integrität oder Verfügbarkeit.
Soweit möglich Kategorien und ungefähre Zahl der betroffenen Personen.
Soweit möglich Kategorien und ungefähre Zahl der betroffenen Datensätze.
Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle.
Beschreibung der wahrscheinlichen Folgen für die betroffenen Personen.
Bereits ergriffene und geplante Maßnahmen zur Behebung und Schadensbegrenzung.
Bei verspäteter Meldung eine nachvollziehbare Begründung der Verzögerung.
Wenn die Informationen nicht gleichzeitig bereitgestellt werden können, dürfen sie schrittweise nachgereicht werden. Eine vorläufige Meldung ist daher regelmäßig besser als das Abwarten bis zur vollständigen Aufklärung.
Dienstleister
Was gilt bei einem Vorfall beim Auftragsverarbeiter?
Wird einem Auftragsverarbeiter eine Datenschutzverletzung bekannt, muss er den Verantwortlichen unverzüglich informieren. Für den Auftragsverarbeiter nennt Art. 33 Abs. 2 DSGVO keine eigene 72-Stunden-Frist.
Die Meldung an die Aufsichtsbehörde bleibt grundsätzlich Aufgabe des Verantwortlichen. Dieser muss den Vorfall für seine eigenen Datenbestände, betroffenen Personen und möglichen Folgen eigenständig bewerten.
Ein allgemeines Informationsschreiben des Dienstleisters reicht dafür oft nicht aus. Verträge und Notfallprozesse sollten deshalb festlegen, welche Tatsachen, Protokolle, Risikoinformationen und Maßnahmen der Dienstleister innerhalb kurzer interner Fristen bereitstellen muss.
Zuständigkeit
Wer bewertet und entscheidet über die Meldung?
Verantwortlich bleibt die Kommune, das Unternehmen oder die sonstige verantwortliche Organisation. Sie muss Sachverhalt, Risiko, Meldepflicht, mögliche Benachrichtigung und Abhilfemaßnahmen festlegen und nachweisen können.
Der Datenschutzbeauftragte ist frühzeitig einzubinden. Er berät, überwacht die datenschutzrechtliche Behandlung und kann bei der Risikobewertung unterstützen. Die Entscheidung darf ihm jedoch nicht als alleinige Verantwortung übertragen werden.
Je nach Vorfall sind außerdem Leitung, Fachbereich, IT, Informationssicherheit, Rechtsstelle, Kommunikation und gegebenenfalls externe Sachverständige einzubeziehen. Technische Sicherung und rechtliche Bewertung müssen parallel erfolgen.
Bayerische Aufsichtsbehörden
Was sagen BayLfD und BayLDA?
Bayerische öffentliche Stellen melden Datenschutzverletzungen grundsätzlich über das Online-Verfahren des BayLfD. Das Formular unterscheidet zwischen vollständiger, vorläufiger, aktualisierter und abschließender Meldung. Es fragt außerdem ausdrücklich nach dem Zeitpunkt des Bekanntwerdens, der Risikobewertung, den Folgen und den Maßnahmen.
Der BayLfD unterscheidet in seiner Orientierungshilfe drei Stufen: kein relevantes Risiko, Risiko und hohes Risiko. Nur im ersten Fall unterbleibt die Meldung. Bei einem Risiko ist an die Aufsichtsbehörde zu melden; bei einem hohen Risiko kommt zusätzlich die Benachrichtigung der betroffenen Personen hinzu.
Für komplexe Hackerangriffe empfiehlt der BayLfD ein abgestuftes Vorgehen mit Erstmeldung innerhalb von 72 Stunden sowie späteren Aktualisierungen und einem Abschlussbericht. Diese Empfehlung betrifft insbesondere Vorfälle, bei denen die Tatsachengrundlage erst nach und nach aufgeklärt werden kann.
Für bayerische Unternehmen, Vereine, Praxen und andere nichtöffentliche Stellen ist regelmäßig das BayLDA zuständig. Auch dort kann bei noch unvollständiger Risikobewertung eine vorläufige Meldung mit einer ersten Risikoschätzung abgegeben werden.
Wichtig: Eine Meldung ersetzt weder Sofortmaßnahmen noch die interne Dokumentation nach Art. 33 Abs. 5 DSGVO. Der Verantwortliche muss den Vorfall weiterhin begrenzen, aufklären und nachvollziehbar abschließen.
Praxis
Typische Bewertungen in Kommunen und Unternehmen
Entscheidend sind Inhalt, Empfänger, Zugriffsmöglichkeit, weitere Verbreitung und die Verlässlichkeit einer Löschbestätigung.
Verschlüsselung, Schlüsselverwaltung, Fernlöschung, vorhandene Kopien und mögliche Zugriffe bestimmen das Risiko.
Datenabfluss, privilegierte Zugänge, Verschlüsselung, Logdaten, betroffene Systeme und sensible Daten sind frühzeitig zu prüfen.
Auch eine vorübergehende Nichtverfügbarkeit kann ein Risiko verursachen, etwa wenn wichtige medizinische oder soziale Leistungen beeinträchtigt sind.
Unberechtigte Einsichtnahmen oder Abrufe durch Beschäftigte können eine Vertraulichkeitsverletzung und weitere arbeits- oder dienstrechtliche Folgen auslösen.
Öffentlich erreichbare Cloud-Ordner, Webportale oder Fachverfahren müssen anhand von Zugriffsdauer, Protokollen und Dateninhalt bewertet werden.
Praxisfehler
Typische Fehler bei der Meldepflicht
Ein häufiger Fehler ist, bis zur vollständigen Aufklärung zu warten. Wenn bereits hinreichende Sicherheit über eine meldepflichtige Datenschutzverletzung besteht, darf die Meldung nicht wegen noch offener Einzelheiten verzögert werden.
Ebenso problematisch ist die vorsorgliche Meldung jedes technischen Vorfalls ohne Prüfung, ob überhaupt personenbezogene Daten beeinträchtigt wurden und welches Risiko daraus folgt.
Auch eine pauschale Einstufung allein anhand der Datenmenge greift zu kurz. Sensibilität, Betroffenengruppe, Identifizierbarkeit, Empfänger und konkrete mögliche Nachteile können wichtiger sein als die reine Zahl der Datensätze.
Schließlich darf der Verantwortliche die Entscheidung nicht vollständig auf IT, Dienstleister oder Datenschutzbeauftragten verlagern. Die Bewertung muss organisationsweit zusammengeführt und verantwortlich entschieden werden.
Prüfablauf
Checkliste zur Meldung nach Art. 33 DSGVO
Liegt eine Sicherheitsverletzung mit Bezug zu personenbezogenen Daten vor?
Welche Schutzziele und Datenbestände sind betroffen?
Wann bestand hinreichende Sicherheit über die Datenschutzverletzung?
Wann endet die 72-Stunden-Frist einschließlich Wochenende oder Feiertag?
Welche Personen, Datenarten und ungefähren Mengen sind betroffen?
Welche physischen, materiellen oder immateriellen Nachteile sind möglich?
Wie wahrscheinlich und wie schwer sind diese Folgen?
Besteht kein Risiko, ein Risiko oder ein hohes Risiko?
Welche Sofortmaßnahmen wurden bereits umgesetzt?
Reichen die Informationen für eine vollständige Meldung oder ist eine Erstmeldung nötig?
Ist zusätzlich eine Benachrichtigung nach Art. 34 DSGVO erforderlich?
Wurde die Entscheidung einschließlich eines möglichen Meldeverzichts dokumentiert?
Häufige Fragen
FAQ zur Meldepflicht bei Datenschutzverletzungen
Muss jede Datenschutzverletzung gemeldet werden?
Nein. Eine Meldung nach Art. 33 DSGVO ist nur erforderlich, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Liegt voraussichtlich kein datenschutzrechtlich relevantes Risiko vor, unterbleibt die Meldung.
Wann beginnt die 72-Stunden-Frist?
Die Frist beginnt, sobald der Verantwortliche mit hinreichender Sicherheit weiß, dass eine Sicherheitsverletzung personenbezogene Daten beeinträchtigt hat. Eine kurze unverzügliche Erstprüfung ist möglich; die vollständige forensische Aufklärung darf jedoch nicht abgewartet werden.
Zählen Wochenenden und Feiertage mit?
Ja. Art. 33 DSGVO nennt 72 Stunden und keine Arbeitstage. Wochenenden und Feiertage unterbrechen die Frist daher nicht.
Kann eine unvollständige Erstmeldung abgegeben werden?
Ja. Wenn noch nicht alle Informationen vorliegen, können zunächst die bekannten Angaben übermittelt und fehlende Informationen ohne unangemessene weitere Verzögerung nachgereicht werden.
Wer meldet einen Vorfall beim Auftragsverarbeiter?
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich. Der Verantwortliche bewertet den Vorfall für seine eigenen Daten und gibt grundsätzlich die Meldung an die zuständige Aufsichtsbehörde ab.
Entscheidet der Datenschutzbeauftragte über die Meldung?
Nein. Der Datenschutzbeauftragte berät und überwacht die datenschutzrechtliche Behandlung. Die Verantwortung und die Entscheidung über die Meldung bleiben beim Verantwortlichen.
Muss ein nicht meldepflichtiger Vorfall dokumentiert werden?
Ja. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation jeder festgestellten Datenschutzverletzung. Bei einem Verzicht auf die Meldung sollte insbesondere nachvollziehbar begründet werden, warum voraussichtlich kein Risiko bestand.
Ergebnis
Fazit
Die Meldepflicht nach Art. 33 DSGVO hängt von einer konkreten Risikoprognose ab. Nicht jede Datenschutzverletzung ist meldepflichtig; ohne nachvollziehbare Bewertung darf eine Meldung aber auch nicht unterbleiben.
Verantwortliche müssen den Vorfall unverzüglich aufklären, die 72-Stunden-Frist sichern und bei fehlenden Angaben eine vorläufige oder schrittweise Meldung nutzen. Die vollständige Aufklärung kann anschließend fortgesetzt werden.
Unabhängig vom Ergebnis bleiben Sofortmaßnahmen und Dokumentation erforderlich. Besonders bei sensiblen Daten, komplexen Angriffen oder Dienstleistervorfällen sollte der Entscheidungsweg klar festgelegt und belastbar nachgewiesen werden.
Weiterlesen
Weiterführende Beiträge
Nachweise
Quellen
Meldepflicht bei einem konkreten Vorfall prüfen?
Bei sensiblen Daten, unklarer Tatsachengrundlage oder laufender 72-Stunden-Frist muss die Bewertung schnell und nachvollziehbar erfolgen. Entscheidend sind Risikoschwelle, Sofortmaßnahmen und eine belastbare Dokumentation.
Datenschutzvorfall prüfen lassen