Meldepflicht bei Datenpannen
Die Meldepflicht bei Datenpannen nach Art. 33 und 34 DSGVO verpflichtet Verantwortliche, eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht.
Was zählt als Datenpanne?
| Beispiel | Meldepflichtig? |
|---|---|
| Unbefugter Zugriff auf eine Kundendatenbank | Ja, in der Regel |
| Versehentlich versendete E-Mail mit sichtbaren Adressen | Meist ja, je nach Umfang |
| Verlorener, verschlüsselter Laptop | Meist nein, wegen Verschlüsselung |
| Kurzzeitiger Serverausfall ohne Datenverlust | Nein, keine Datenschutzverletzung |
Die zwei Meldewege
Art. 33 DSGVO regelt die Meldung an die Aufsichtsbehörde, Art. 34 DSGVO die zusätzliche Benachrichtigung der betroffenen Personen selbst, bei hohem Risiko. Beide Pflichten sind unabhängig voneinander zu prüfen: Eine Meldung an die Behörde bedeutet nicht automatisch, dass auch Betroffene informiert werden müssen, und umgekehrt.
Was, wenn die Frist abläuft?
Wird die 72-Stunden-Frist überschritten, muss die Meldung trotzdem erfolgen, mit einer Begründung für die Verspätung. Eine verspätete Meldung ist rechtlich besser als gar keine Meldung. Aufsichtsbehörden bewerten bei der Frage nach einem Bußgeld auch, wie kooperativ und transparent ein Unternehmen im Nachgang gehandelt hat.
Praxisbeispiel
Ein Freiberufler stellte fest, dass sein Newsletter-Tool durch einen Konfigurationsfehler versehentlich alle Empfänger-Adressen im “An”-Feld statt in “Bcc” versendet hatte. Er bewertete das Risiko als gering bis moderat, da nur E-Mail-Adressen, keine sensiblen Daten betroffen waren, dokumentierte den Vorfall und informierte die zuständige Aufsichtsbehörde vorsorglich innerhalb der Frist, inklusive der eingeleiteten technischen Korrektur.
Meldung über das Formular der Aufsichtsbehörde
Die meisten Landesdatenschutzbehörden bieten mittlerweile ein eigenes Online-Formular für die Meldung einer Datenpanne an. Das beschleunigt den Prozess erheblich gegenüber einer formlosen E-Mail und stellt sicher, dass alle nach Art. 33 Abs. 3 DSGVO geforderten Angaben von Anfang an vollständig sind.
Setze das korrekt in deiner Datenschutzerklärung um
Unser Generator erstellt solche Klauseln automatisch, rechtssicher in 3 Minuten.
Häufige Fragen zu meldepflicht bei datenpannen
Konkrete Antworten auf die Fragen, die uns dazu am häufigsten gestellt werden.