Warum Sie bei einer Datenpanne nicht bis kurz vor Fristablauf warten sollten
„Wir haben da einen Datenschutzvorfall. Die 72 Stunden laufen heute ab. Müssen wir das melden?“ Solche Anfragen kommen bei uns häufiger vor. Dann bleibt häufig zu wenig Zeit, um den Sachverhalt aufzuklären und die Meldepflicht belastbar zu beurteilen. Denn bevor sich die Meldepflicht beurteilen lässt, muss zunächst geklärt werden, was überhaupt passiert ist. Dafür braucht es Zeit. Zeit, die kurz vor Fristablauf fehlt.
Eine Datenpanne passiert schneller, als man denkt
Es muss nicht immer ein großer Hackerangriff sein. Eine Verletzung des Schutzes personenbezogener Daten liegt auch vor, wenn durch eine Sicherheitspanne personenbezogene Daten versehentlich verloren gehen, vernichtet oder verändert werden oder Unbefugten zugänglich sind (Art. 4 Nr. 12 DSGVO).
Beispiele für mögliche Datenpannen im Unternehmensalltag:
- Eine E-Mail mit Gehaltsabrechnungen oder einer Kundenliste mit personenbezogenen Daten im Anhang wird an die falsche Person versendet.
- Ein unverschlüsselter USB-Stick mit Mitarbeiterdaten geht verloren.
- Bewerbungsunterlagen werden versehentlich an einen unberechtigten Empfänger weitergeleitet.
Auch eine einzelne fehlgeleitete E-Mail kann also bereits eine Datenschutzverletzung sein. Ob sie der Aufsichtsbehörde gemeldet werden muss, ist eine andere Frage. Dies kommt dann auf den Einzelfall an.
Ab wann laufen die 72 Stunden?
Nach Art. 33 Abs. 1 Satz 1 DSGVO müssen meldepflichtige Datenschutzverletzungen der zuständigen Datenschutzaufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden gemeldet werden.
Entscheidend ist, wann das verantwortliche Unternehmen hinreichende Gewissheit hat, dass eine Verletzung des Schutzes personenbezogener Daten eingetreten ist. Die Frist beginnt nicht erst mit dem Anruf beim Berater oder dem Abschluss einer vollständigen Untersuchung. Ein bloßer Verdacht setzt die Frist nicht automatisch in Gang; er muss aber zügig aufgeklärt werden. Die 72 Stunden sind deshalb keine Wartefrist, die man grundsätzlich ausschöpfen darf.
Nicht jede Datenschutzverletzung muss gemeldet werden. Die Meldung darf unterbleiben, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Dafür ist eine nachvollziehbare Bewertung erforderlich: Welche Daten sind betroffen? Wer hat sie erhalten? Welche Nachteile könnten entstehen? Auch nicht meldepflichtige Datenschutzverletzungen müssen dokumentiert werden. Bei voraussichtlich hohem Risiko müssen grundsätzlich zusätzlich die betroffenen Personen unverzüglich benachrichtigt werden.
Kurzum: Nicht jede Datenschutzverletzung muss gemeldet werden, aber jede Datenschutzverletzung muss geprüft und zumindest dokumentiert werden.
Weitere Hinweise zur Meldepflicht und zur Risikobewertung finden Sie in unserem Beitrag „Welche Datenschutzverstöße müssen gemeldet werden?“.
Kurz vor Fristablauf bleibt häufig nur eine vorläufige Bewertung
Wer erst kurz vor Ablauf der 72 Stunden Rat einholt, schafft unnötigen Zeitdruck. Oft fehlen dann entscheidende Informationen. Eine belastbare Einschätzung, ob eine Meldung erforderlich ist, lässt sich nicht immer innerhalb weniger Minuten treffen.
Bei verbleibenden Zweifeln an der Risikobewertung kann eine vorsorgliche Meldung sinnvoll sein. Dabei werden der bisher bekannte Sachverhalt und die vorläufige Risikoeinschätzung mitgeteilt; offene Fragen werden kenntlich gemacht.
Steht die Meldepflicht bereits fest, darf mit der Meldung nicht allein deshalb gewartet werden, weil noch Einzelheiten fehlen. Soweit Informationen noch nicht gleichzeitig bereitgestellt werden können, dürfen sie nach Art. 33 Abs. 4 DSGVO ohne unangemessene weitere Verzögerung nachgereicht werden. Das ist jedoch kein Ersatz für eine zügige Aufklärung und rechtliche Prüfung.
Deshalb: Frühzeitig Rücksprache halten – schon beim Verdacht
Unsere Empfehlung lautet: Kontaktieren Sie Ihren datenschutzrechtlichen Berater, sobald Sie eine Datenschutzverletzung feststellen oder einen entsprechenden Verdacht haben. Beziehen Sie auch Ihren Datenschutzbeauftragten ein, sofern einer benannt ist. Sie müssen vorher weder sämtliche Einzelheiten ermittelt noch selbst entschieden haben, ob eine Meldepflicht besteht.
Für das erste Gespräch helfen bereits die wesentlichen Angaben: Was ist passiert? Wann wurde der Vorfall bemerkt? Welche Daten und Personen könnten betroffen sein? Welche Gegenmaßnahmen wurden bereits ergriffen?
Frühzeitige Beratung bedeutet nicht, jeden Verdacht sofort an die Datenschutzaufsicht zu melden. Sie schafft vielmehr die Grundlage dafür, rechtzeitig und fundiert über eine Meldung zu entscheiden.
Melden Sie sich deshalb nicht erst dann, wenn die Frist fast abgelaufen ist. Melden Sie sich, wenn Sie den Vorfall bemerken. Denn 72 Stunden sind schnell vorbei.
