Meldung von Datenschutzverletzungen nach der DSGVO

Meldung von Datenschutzverletzungen: die 72-Stunden-Regel

Die Meldung von Datenschutzverletzungen nach der Datenschutz-Grundverordnung (DSGVO) wird durch eine Verletzung des Schutzes personenbezogener Daten ausgelöst – eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Nach Art. 33 der DSGVO muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Erfolgt die Meldung später, ist ihr eine Begründung für die Verzögerung beizufügen. Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, muss der Verantwortliche zudem die betroffenen Personen unverzüglich benachrichtigen (Art. 34 DSGVO).

In Deutschland gehen Meldungen an die Datenschutzaufsichtsbehörde des Bundeslandes, in dem der Verantwortliche seine Hauptniederlassung hat, beziehungsweise für öffentliche Stellen des Bundes sowie Telekommunikations- und Postunternehmen an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Die meisten Behörden bieten Online-Formulare an, und Meldungen sollten nach Möglichkeit auf Deutsch eingereicht oder mit einer deutschen Zusammenfassung versehen werden.

Hinzu kommen für viele Unternehmen parallele Meldepflichten nach der deutschen Umsetzung der NIS2-Richtlinie, nach Sektorvorschriften für Finanzunternehmen und Telekommunikationsanbieter und künftig nach dem Cyber Resilience Act. Die Koordination dieser Pflichten mit der Meldung von Datenschutzverletzungen nach der DSGVO gehört zu den größten Herausforderungen bei der Reaktion auf Vorfälle, denn jedes Regime hat einen eigenen Auslöser, einen eigenen Empfänger, eine eigene Frist und eigene Inhalte, und die ersten Stunden nach der Entdeckung eines Vorfalls sind in der Regel die chaotischsten.

Wann die 72 Stunden beginnen

Die Frist beginnt, wenn dem Verantwortlichen die Verletzung „bekannt“ wird. Nach den Leitlinien des Europäischen Datenschutzausschusses (EDSA) gilt ein Verantwortlicher als informiert, wenn er mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall eingetreten ist, der zur Kompromittierung personenbezogener Daten geführt hat. Eine kurze erste Untersuchung zur Klärung der Frage, ob überhaupt eine Verletzung vorliegt, ist zulässig, muss aber zügig durchgeführt werden. Die Kenntnis eines Auftragsverarbeiters ist nicht automatisch Kenntnis des Verantwortlichen, der Auftragsverarbeiter muss den Verantwortlichen aber unverzüglich informieren, und Verträge sollten kurze interne Fristen vorsehen.

Meldungen können schrittweise erfolgen: Wenn nicht alle Informationen zur gleichen Zeit bereitgestellt werden können, dürfen sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung gestellt werden (Art. 33 Abs. 4 DSGVO). In der Praxis reichen viele Verantwortliche binnen 72 Stunden eine Erstmeldung mit den zu diesem Zeitpunkt bekannten Tatsachen ein und ergänzen sie im Laufe der Untersuchung.

Die Risikobewertung

Nicht jede Verletzung muss gemeldet werden; die Meldung von Datenschutzverletzungen hängt vielmehr von einer Risikobewertung im Einzelfall ab. Führt sie voraussichtlich nicht zu einem Risiko für natürliche Personen – etwa bei einem verlorenen verschlüsselten Laptop, dessen Schlüssel sicher ist, oder bei einer E-Mail an einen falschen internen Empfänger, der sie löscht –, ist eine Meldung an die Behörde möglicherweise nicht erforderlich. Die Bewertung berücksichtigt die Art der Verletzung – Vertraulichkeit, Integrität oder Verfügbarkeit –, Art, Sensibilität und Umfang der Daten, die Leichtigkeit der Identifizierung, die Schwere der Folgen, besondere Merkmale der betroffenen Personen (etwa Kinder) und des Verantwortlichen sowie die Zahl der betroffenen Personen.

Eine Benachrichtigung der betroffenen Personen ist nur erforderlich, wenn voraussichtlich ein hohes Risiko besteht. Sie ist nicht erforderlich, wenn die Daten durch Maßnahmen wie eine dem Stand der Technik entsprechende Verschlüsselung geschützt waren, wenn nachfolgende Maßnahmen sicherstellen, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht, oder wenn die individuelle Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden wäre; in diesem Fall kann eine öffentliche Bekanntmachung an ihre Stelle treten (Art. 34 Abs. 3 DSGVO). Die Benachrichtigung muss die Verletzung in klarer und einfacher Sprache beschreiben und Kontaktdaten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen enthalten, einschließlich der Schritte, mit denen sich die Betroffenen selbst schützen können.

NIS2-Meldungen und andere parallele Pflichten

Seit dem Inkrafttreten der deutschen NIS2-Umsetzung müssen besonders wichtige und wichtige Einrichtungen erhebliche Sicherheitsvorfälle an eine gemeinsame Meldestelle des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) melden. Nach § 32 des BSI-Gesetzes (BSIG) muss die Einrichtung unverzüglich, spätestens aber binnen 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall eine frühe Erstmeldung abgeben, binnen 72 Stunden eine Meldung mit einer ersten Bewertung, auf Ersuchen Zwischenmeldungen und binnen eines Monats eine Abschlussmeldung – oder eine Fortschrittsmeldung, wenn der Vorfall noch andauert. Betreiber kritischer Anlagen müssen zusätzliche Angaben machen.

Ein Cyberangriff, der personenbezogene Daten betrifft, kann daher sowohl DSGVO- als auch NIS2-Meldungen auslösen, mit unterschiedlichen Empfängern, Schwellen und Inhalten. Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle nach dem Digital Operational Resilience Act (DORA), Telekommunikationsanbieter haben sektorspezifische Pflichten, und Hersteller von Produkten mit digitalen Elementen müssen ab dem 11.9.2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle nach dem Cyber Resilience Act melden. Siehe unsere Beiträge zu NIS2 und Geschäftsleiterhaftung und zu den Pflichten nach dem Cyber Resilience Act.

Verwertung von Meldungen in Bußgeldverfahren

Das deutsche Recht enthält eine Schutzvorschrift: Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO darf in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen oder seine Angehörigen nur mit Zustimmung des Meldepflichtigen verwendet werden (§ 43 Abs. 4 Bundesdatenschutzgesetz, BDSG). Das hindert die zuständigen Behörden allerdings nicht daran, die Verletzung zu untersuchen oder gegen das Unternehmen auf Grundlage anderer Beweismittel ein Bußgeld zu verhängen, unterstützt aber offene Meldungen.

Meldung von Datenschutzverletzungen bei Ransomware und Auftragsverarbeitern

Ransomware-Angriffe sind heute der häufigste Auslöser für die Meldung von Datenschutzverletzungen. Selbst wenn Angreifer Systeme nur verschlüsseln, ist der Verlust der Verfügbarkeit personenbezogener Daten eine Verletzung, und die meisten modernen Angriffe umfassen zudem einen Datenabfluss und die Drohung mit einer Veröffentlichung. Verantwortliche müssen auf Grundlage ihres Kenntnisstands binnen 72 Stunden melden und die Behörde informieren, sobald die forensische Analyse zeigt, welche Daten abgeflossen sind. Zahlungen an die Angreifer beseitigen die Meldepflicht nicht, und veröffentlichte Daten müssen beobachtet werden. Siehe unseren Beitrag zur Reaktion auf einen Cyberangriff.

Verletzungen bei Auftragsverarbeitern – Cloud-Anbietern, Lohnabrechnungsdienstleistern, Softwareanbietern – sind in der Praxis ebenso häufig anzutreffen. Der Verantwortliche bleibt für die Meldung von Datenschutzverletzungen zuständig, ist aber auf Informationen des Auftragsverarbeiters angewiesen. Auftragsverarbeitungsverträge sollten eine Benachrichtigung innerhalb kurzer Frist (häufig 24 bis 48 Stunden), die Mitwirkung an der Untersuchung des Verantwortlichen und Unterstützung bei der Benachrichtigung betroffener Personen vorsehen. Betrifft ein einzelner Vorfall bei einem Auftragsverarbeiter viele Verantwortliche, muss jeder Verantwortliche seine eigene Verletzung bewerten und melden.

Benachrichtigung betroffener Personen in der Praxis

Benachrichtigungen an betroffene Personen sollten konkret und hilfreich sein: was passiert ist, welche ihrer Daten betroffen sind, was das Unternehmen unternimmt und was sie selbst tun können – etwa Passwörter ändern, auf Phishing achten, Kontoauszüge prüfen oder Karten sperren lassen. Allgemeine Erklärungen ohne konkrete Hinweise genügen den Anforderungen des Art. 34 DSGVO möglicherweise nicht. Unternehmen sollten für diese Phase rechtzeitig Leitfäden für das Callcenter und FAQ vorbereiten, den Zeitpunkt mit den Meldungen an Behörden und mit Medienerklärungen abstimmen und, wenn Finanzdaten betroffen sind, eine Bonitätsüberwachung oder andere Unterstützung anbieten.

Geplante Änderungen: der Digital Omnibus

Der Vorschlag der Europäischen Kommission für einen Digital Omnibus vom 19.11.2025 (COM(2025) 837) würde die Meldung von Datenschutzverletzungen nach der DSGVO ändern: Eine Meldung an die Behörde wäre nur noch erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat, die Frist würde auf 96 Stunden verlängert, und Meldungen würden über eine zentrale Anlaufstelle für die Meldung von Vorfällen gebündelt, die auch nach anderen EU-Cybersicherheitsvorschriften genutzt wird. Es handelt sich um Vorschläge; bis sie angenommen sind und gelten, bleibt die derzeitige 72-Stunden-Regel in Kraft. Siehe unseren Beitrag zum Digital Omnibus.

Aufbau eines Prozesses für Datenschutzverletzungen

1. Erkennung und Eskalation: klare interne Meldewege, damit IT, Informationssicherheit, Fachbereiche und Auftragsverarbeiter mutmaßliche Verletzungen sofort eskalieren.
2. Krisenteam: Rechtsabteilung, Datenschutzbeauftragter, IT-Sicherheit, Kommunikation und Geschäftsleitung mit festgelegten Rollen, Vertretungen und offline verfügbaren Kontaktdaten.
3. Bewertungsvorlagen: strukturierte Formulare für Sachverhalt, Datenkategorien, betroffene Personen und Risiko, die eine schnelle und einheitliche Entscheidung über die Meldung von Datenschutzverletzungen ermöglichen.
4. Meldevorlagen: vorformulierte deutsche Texte für Behörden und betroffene Personen, die an den Einzelfall angepasst werden können.
5. Meldematrix: eine Übersicht über alle Meldepflichten – DSGVO, NIS2, DORA, Sektorvorschriften, vertragliche Benachrichtigungen an Kunden und Versicherer – mit Fristen und Empfängern.
6. Beweissicherung: forensische Sicherung von Protokollen und Systemen, ohne den Datenschutz oder die Rechte der Beschäftigten zu beeinträchtigen.
7. Übungen: regelmäßige Planspiele zur Erprobung des Prozesses, auch mit Szenarien an Wochenenden und Feiertagen, an denen die 72 Stunden ebenso laufen.
8. Lessons Learned: eine strukturierte Nachbetrachtung nach jedem Vorfall, um Maßnahmen, Vorlagen und Schulungen zu aktualisieren.

Folgen einer unterlassenen Meldung

Die unterlassene Meldung einer meldepflichtigen Verletzung oder eine verspätete oder unvollständige Meldung ist selbst ein Verstoß, der nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden kann. Die Aufsichtsbehörden erfahren von nicht gemeldeten Verletzungen in der Praxis häufig durch betroffene Personen, Medienberichte, Veröffentlichungen auf Leak-Seiten oder andere Behörden, einschließlich des BSI.

Eine später entdeckte, nicht gemeldete Verletzung führt typischerweise zu einer kritischeren Bewertung der gesamten Compliance des Unternehmens, einschließlich seiner Sicherheitsmaßnahmen; die Entscheidung gegen eine Meldung sollte daher stets sorgfältig begründet und dokumentiert werden. Eine verspätete oder fehlende Benachrichtigung der betroffenen Personen erhöht zudem das Risiko von Schadensersatzansprüchen. Siehe unsere Beiträge zu DSGVO-Bußgeldern in Deutschland und zum DSGVO-Schadensersatz.

So unterstützt TRW & Co bei der Meldung von Datenschutzverletzungen

Wir begleiten Unternehmen bei Datenschutzverletzungen und Cybervorfällen: Wir prüfen, ob und an wen eine Meldung von Datenschutzverletzungen erforderlich ist, erstellen DSGVO- und NIS2-Meldungen fristgerecht, entwerfen Benachrichtigungen an betroffene Personen, koordinieren die Zusammenarbeit mit Forensikern, Versicherern und Behörden und verteidigen gegen anschließende Bußgelder und Ansprüche. Im Vorfeld gestalten wir Prozesse für Datenschutzverletzungen, Meldematrizen und Vorlagen und führen Übungen durch. Siehe unsere Seite zu Cybersicherheit und NIS2 und unseren Beitrag zur Reaktion auf einen Cyberangriff oder kontaktieren Sie uns.