Die Frist beginnt bei Kenntnisnahme, nicht beim Vorfall
Art. 33 Abs. 1 DSGVO stellt auf die Kenntnisnahme ab. Deshalb sind interne Meldewege und schnelle Erkennung entscheidend: eine verspätete Entdeckung durch organisatorische Nachlässigkeit lässt sich vor der Aufsichtsbehörde nicht mit der 72-Stunden-Frist rechtfertigen.
Was der geführte Ablauf abdeckt
- 72-Stunden-Countdown ab Kenntnisnahme, mit Erinnerungen
- Internes Verzeichnis aller Verletzungen (Art. 33 Abs. 5)
- Vorlage für die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 3)
- Vorlage für die Benachrichtigung Betroffener bei hohem Risiko (Art. 34)
- Risikobewertung geführt, mit Begründung für Melde- oder Nichtmeldeentscheidung
- Archivierung in der Mandantenakte, verknüpft mit Verzeichnis und DSFA
Der Countdown läuft, die Vorlagen sind bereit
In DPO Workspace startet der 72-Stunden-Timer mit der Kenntnisnahme und bleibt mit dem Verzeichnis, den DSFA und den Dokumenten jedes Mandanten verknüpft. 30 Tage kostenlos testen, keine Kreditkarte nötig.
Kostenlos testenHäufige Fragen
Ab wann laufen die 72 Stunden für die Meldung?
Ab dem Zeitpunkt, an dem der Verantwortliche von der Verletzung KENNTNIS erlangt, nicht ab dem Zeitpunkt des eigentlichen Vorfalls (Art. 33 Abs. 1 DSGVO). Deshalb zählen interne Meldewege und schnelle Erkennung: verlorene Zeit vor der Entdeckung setzt die Frist nicht aus, eine verspätete Entdeckung durch organisatorische Nachlässigkeit ist selbst angreifbar.
Müssen alle Datenpannen gemeldet werden?
Nein, nur solche, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko kommt zusätzlich die Pflicht zur Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO hinzu.
Was gehört in die Meldung an die Aufsichtsbehörde?
Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Abhilfemaßnahmen (Art. 33 Abs. 3 DSGVO). Ist nicht alles innerhalb von 72 Stunden bekannt, kann die Meldung gestaffelt erfolgen.
Muss jede Datenpanne dokumentiert werden, auch wenn sie nicht gemeldet wird?
Ja. Art. 33 Abs. 5 DSGVO verlangt ein internes Verzeichnis aller Verletzungen, einschließlich der nicht meldepflichtigen, mit Fakten, Auswirkungen und ergriffenen Maßnahmen – als Nachweis der Rechenschaftspflicht gegenüber der Aufsichtsbehörde.
Wer ist zuständige Aufsichtsbehörde in Deutschland?
In der Regel die Landesdatenschutzbehörde am Sitz des Verantwortlichen; für Bundesbehörden und bestimmte bundesweite Bereiche der BfDI.
Datenpannen ohne Panik, mit den richtigen Fristen
Timer, Verzeichnis und Vorlagen für jeden Mandanten, an einem Ort.
Kostenlos starten