Datenpanne: 72 Stunden, Art. 33 DSGVO

Bei einer Datenpanne entscheidet nicht die Aufklärung über Ihr Haftungsrisiko, sondern die Uhr. Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“. Die Frist läuft also ab Kenntnis des Vorfalls, nicht ab dem Zeitpunkt, an dem Ursache und Umfang geklärt sind. Wer erst die Forensik abwartet, meldet zu spät.

Wann liegt überhaupt eine Datenpanne vor?

Der Begriff ist in Art. 4 Nr. 12 DSGVO definiert: eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Entscheidend ist: nicht nur der Hackerangriff zählt. In der Praxis sind die häufigsten Fälle unspektakulär.

• Die E-Mail mit der Gehaltsliste geht an den falschen Empfänger.
• Ein Serienbrief adressiert alle Empfänger sichtbar im CC statt im BCC.
• Ein unverschlüsseltes Notebook oder ein USB-Stick mit Bewerberdaten verschwindet.
• Ransomware verschlüsselt Ihre Daten, sodass sie vorübergehend nicht verfügbar sind. Auch der reine Verlust der Verfügbarkeit ist eine Verletzung.
• Ein Aktenordner wird im Altpapier statt im Datenschutzbehälter entsorgt.

Melden oder nicht? Die Risikoschwelle in Art. 33 Abs. 1 DSGVO

Die Meldepflicht entfällt, wenn die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“ (Art. 33 Abs. 1 DSGVO). Das ist keine Ermessensfrage, sondern eine Prognose, die Sie dokumentieren und im Zweifel gegenüber der Aufsichtsbehörde begründen müssen. Zu bewerten sind unter anderem die Art der Daten (Gesundheits-, Finanz- oder Bewerberdaten wiegen schwerer), der Kreis der Empfänger, die Zahl der Betroffenen und die Frage, ob die Daten wirksam verschlüsselt waren.

Wird die 72-Stunden-Frist überschritten, ist die Meldung nicht erledigt: Nach Art. 33 Abs. 1 Satz 2 DSGVO ist ihr dann „eine Begründung für die Verzögerung beizufügen“. Eine verspätete Meldung ist damit immer noch besser als keine. Arbeiten Sie mit einem Auftragsverarbeiter, etwa einem Hoster oder Lohnbüro, gilt für diesen Art. 33 Abs. 2 DSGVO: Er meldet die Verletzung unverzüglich an Sie, nicht an die Behörde. Ihre Frist beginnt mit seiner Meldung, weshalb die Meldekette in den Auftragsverarbeitungsvertrag gehört.

Was in die Meldung gehört (Art. 33 Abs. 3 DSGVO)

Art. 33 Abs. 3 DSGVO gibt den Inhalt vor. Zuständig ist die Aufsichtsbehörde nach Art. 55 DSGVO; für Unternehmen mit Sitz in Hessen ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), der für Meldungen nach Art. 33 DSGVO einen eigenen Meldeweg bereitstellt. Vier Angaben sind Pflicht:

• Art der Verletzung, soweit möglich mit Kategorien und Zahl der betroffenen Personen sowie der betroffenen Datensätze.
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen.
• Beschreibung der wahrscheinlichen Folgen der Verletzung.
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und, wo angebracht, zur Abmilderung der Folgen.

Fehlen Angaben noch, dürfen Sie nachliefern. Die Frist wartet nicht auf Vollständigkeit.

Wann Sie zusätzlich die Betroffenen informieren müssen

Von der Meldung an die Behörde zu unterscheiden ist die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO. Sie ist fällig, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten mit sich bringt, und dann unverzüglich. Art. 34 Abs. 3 DSGVO nennt drei Fälle, in denen sie unterbleiben kann:

• Die Daten waren durch geeignete technische Maßnahmen geschützt, insbesondere wirksam verschlüsselt (lit. a). Der praktisch wichtigste Grund, in Verschlüsselung zu investieren.
• Nachfolgende Maßnahmen stellen sicher, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht (lit. b).
• Die Einzelbenachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden. Dann tritt eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme an ihre Stelle (lit. c).

Die Aufsichtsbehörde kann eine unterlassene Benachrichtigung nachträglich anordnen oder feststellen, dass eine der Ausnahmen greift (Art. 34 Abs. 4 DSGVO). Die Entscheidung liegt also nicht endgültig bei Ihnen.

Dokumentationspflicht auch ohne Meldung (Art. 33 Abs. 5 DSGVO)

Der am häufigsten übersehene Absatz: Nach Art. 33 Abs. 5 DSGVO dokumentiert der Verantwortliche jede Verletzung einschließlich aller im Zusammenhang stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen, ausdrücklich damit die Aufsichtsbehörde die Einhaltung des Artikels überprüfen kann. Das gilt auch für Vorfälle, die Sie als nicht meldepflichtig einstufen. Ohne dieses Verzeichnis stehen Sie bei einer Prüfung ohne Beleg für Ihre Risikoeinschätzung da, und der Verstoß gegen die Dokumentationspflicht ist selbst bußgeldbewehrt.

Der Bußgeldrahmen: 2 Prozent, nicht 4

In vielen Beiträgen zum Thema stehen pauschal „bis zu 4 % des weltweiten Jahresumsatzes“. Für die Meldepflicht ist das falsch. Art. 83 Abs. 4 lit. a DSGVO erfasst die Pflichten der Verantwortlichen und Auftragsverarbeiter „gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43“, und Art. 33 DSGVO und Art. 34 DSGVO liegen in diesem Bereich. Der Rahmen beträgt daher bis zu 10 Mio. Euro oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, wobei der höhere Wert gilt.

Die 20 Mio. Euro beziehungsweise 4 % aus Art. 83 Abs. 5 DSGVO greifen bei anderen Verstößen, etwa gegen die Grundsätze aus Art. 5 DSGVO. Das ist keine akademische Unterscheidung: Führt ein Vorfall auf unzureichende Sicherheit zurück, prüfen Aufsichtsbehörden regelmäßig auch Art. 32 DSGVO (Sicherheit der Verarbeitung, Rahmen: 2 %) und Art. 5 Abs. 1 lit. f DSGVO (Integrität und Vertraulichkeit, Rahmen: 4 %). Der Vorfall selbst kann also teurer werden als seine verspätete Meldung.

Die ersten Stunden: worauf es praktisch ankommt

Wer die Zuständigkeiten erst im Ernstfall klärt, verliert den größten Teil der 72 Stunden. Diese Punkte sollten vorher feststehen:

• Eine feste Meldeadresse im Unternehmen, an die jeder Mitarbeitende einen Verdacht meldet, ohne Umweg über Hierarchien.
• Ein Bewertungsschema für die Risikoprognose nach Art. 33 Abs. 1 DSGVO, damit die Einschätzung nicht ad hoc entsteht.
• Vorbereitete Textbausteine für Behördenmeldung und Betroffenenbenachrichtigung mit den Pflichtangaben aus Art. 33 Abs. 3 DSGVO.
• Ein geführtes Verzeichnis nach Art. 33 Abs. 5 DSGVO, in dem auch die nicht gemeldeten Vorfälle mit Begründung stehen.
• Klare Meldeketten mit allen Auftragsverarbeitern, inklusive Erreichbarkeit außerhalb der Bürozeiten. Die Frist läuft auch am Wochenende.

Technische Vorsorge senkt das Risiko und kann im Ernstfall die Benachrichtigungspflicht entfallen lassen: Wirksame Verschlüsselung ruhender Daten ist nach Art. 34 Abs. 3 lit. a DSGVO der praktisch relevanteste Hebel, dazu kommen Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, getrennt aufbewahrte Backups und Schulungen zu den Fehlern, die tatsächlich passieren: falsche Empfänger, offenes CC, unverschlüsselte Datenträger.