Datenpanne im Unternehmen: die 72-Stunden-Frist läuft ab Kenntnis

Die meisten Datenschutzverletzungen sind keine Hackerangriffe, sondern alltägliche Vorfälle: eine E-Mail mit offenem Verteiler, ein verlorenes Notebook, ein falsch berechtigter Ordner im Netzlaufwerk. Rechtlich macht das keinen Unterschied; die Meldepflicht knüpft nicht an die Ursache an.

Was die Frist auslöst

Eine Verletzung des Schutzes personenbezogener Daten ist der Datenschutzbehörde binnen 72 Stunden ab Kenntnis zu melden, sofern ein Risiko für die betroffenen Personen besteht. Die Frist beginnt zu dem Zeitpunkt, zu dem im Unternehmen mit hinreichender Sicherheit feststeht, dass ein Vorfall vorliegt, nicht erst mit dem Abschluss der internen Aufklärung. Wer erst die vollständige Analyse abwartet, ist regelmäßig zu spät; die Meldung kann ausdrücklich schrittweise ergänzt werden.

Bei hohem Risiko sind zusätzlich die Betroffenen zu verständigen, und zwar unverzüglich und in klarer, einfacher Sprache.

Auch der nicht meldepflichtige Fall gehört dokumentiert

Jeder Vorfall ist intern zu dokumentieren, auch dann, wenn er nicht gemeldet wird. Diese Dokumentation ist der Nachweis, dass die Bewertung stattgefunden hat. Fehlt sie, setzt sich das Unternehmen im Prüfungsfall dem Vorwurf aus, der Vorfall sei nicht bewertet worden.

Ein Ablauf, den es vorher geben muss

72 Stunden reichen nicht, um erst zu klären, wer zuständig ist. Sinnvoll ist ein knapper, geübter Ablauf:

• Wer meldet intern an wen? Eine benannte Stelle, erreichbar auch am Freitagnachmittag.
• Wer bewertet das Risiko? Nach Art der Daten, Zahl der Betroffenen und möglichen Folgen.
• Wer entscheidet über die Meldung und wer formuliert sie?
• Wer informiert Betroffene und über welchen Kanal?
• Wo wird dokumentiert? Ein einfaches Formular reicht; es muss nur existieren und benutzt werden.

Auftragsverarbeiter einbeziehen

Passiert der Vorfall beim Dienstleister (Lohnverrechnung, IT-Betreuung, Cloud-Speicher), muss dieser Sie unverzüglich informieren; die Meldepflicht gegenüber der Behörde bleibt bei Ihnen. Deshalb gehört diese Informationspflicht in jeden Auftragsverarbeitungsvertrag, und zwar mit einer konkreten Frist statt der üblichen Formel „unverzüglich".