Verpassen Sie nie das 72-Stunden-Fenster für DSGVO-Datenpannen . Hier erfahren Sie genau, wann die Frist beginnt

Der vollständige Leitfaden: 72-Stunden-Meldung von DSGVO-Datenpannen nach Artikel 33

Artikel 33 der DSGVO verpflichtet Verantwortliche, Aufsichtsbehörden Verletzungen des Schutzes personenbezogener Daten "unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde" zu melden. Diese wenigen Worte haben mehr aufsichtsbehördliche Leitlinien, Durchsetzungsmassnahmen und Compliance-Angst erzeugt als fast jede andere Bestimmung der Verordnung.

Die entscheidende Frage ist nicht "Wie schnell müssen wir melden?" . sie lautet "Wann beginnt die Frist tatsächlich?"

Was "Kenntnis" nach Artikel 33 bedeutet

Das 72-Stunden-Fenster beginnt nicht, wenn die Datenpanne eintritt. Es beginnt, wenn der Verantwortliche von der Datenpanne "Kenntnis erlangt". Der Europäische Datenschutzausschuss (EDSA) hat dies in seinen Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten klargestellt:

Das bedeutet, dass die Frist nicht in dem Moment beginnt, in dem jemand in Ihrer Organisation vermutet, dass etwas nicht stimmen könnte. Sie beginnt, wenn Sie mit einem "hinreichenden Grad an Gewissheit" davon ausgehen können, dass personenbezogene Daten kompromittiert wurden. Allerdings , und genau hier geraten Organisationen in Schwierigkeiten , können Sie die Kenntnis nicht hinauszögern, indem Sie sich entscheiden, nicht zu untersuchen.

Der Massstab "Hätte wissen müssen"

Aufsichtsbehörden haben durchgängig festgehalten, dass Organisationen sich nicht auf Unwissenheit berufen können, wenn sie keine angemessenen Erkennungsmassnahmen umgesetzt haben. Wenn eine Datenpanne durch standardmässige Überwachung erkennbar gewesen wäre und Ihre Organisation sie übersehen hat, weil die Überwachung unzureichend war, behandeln die Aufsichtsbehörden den Zeitpunkt, zu dem die Datenpanne hätte erkannt werden müssen, als den Zeitpunkt der Kenntnis.

Dieser Grundsatz wurde in mehreren bemerkenswerten Durchsetzungsmassnahmen geprüft:

• Die niederländische Datenschutzbehörde verhängte gegen Booking.com eine Geldbusse wegen verspäteter Meldung und stellte fest, dass die Kenntnis eintrat, als einzelne Hotels unbefugten Zugriff meldeten , nicht als das zentrale Team von Booking.com Wochen später seine interne Untersuchung abschloss.
• Das britische ICO stellte fest, dass die Kenntnis von Marriott verzögert eintrat, weil das Unternehmen die kompromittierten Systeme von Starwood übernahm und keine angemessene Sorgfaltsprüfung durchführte, wodurch es faktisch den Zeitplan der Kenntnis von der Datenpanne mit übernahm.
• Die spanische AEPD hat durchgängig festgehalten, dass die Kenntnis eines Verantwortlichen beginnt, wenn ein Mitarbeitender mit Handlungsbefugnis die Information erhält , nicht wenn der Datenschutzbeauftragte förmlich benachrichtigt wird.

Wann beginnt die Frist für Auftragsverarbeiter?

Artikel 33(2) legt Auftragsverarbeitern eine gesonderte Pflicht auf: Sie müssen den Verantwortlichen "unverzüglich, nachdem ihnen eine Verletzung des Schutzes personenbezogener Daten bekannt wurde" benachrichtigen. Für Auftragsverarbeiter ist keine 72-Stunden-Frist festgelegt, aber "unverzüglich" wurde eng ausgelegt.

Für Verantwortliche schafft dies einen sich kaskadierenden Zeitplan. Wenn Ihr Auftragsverarbeiter am Montag Kenntnis erlangt und Sie am Mittwoch benachrichtigt, beginnt Ihre 72-Stunden-Frist am Mittwoch , aber wenn die Verzögerung des Auftragsverarbeiters unangemessen war, kann die Aufsichtsbehörde den gesamten Zeitplan dennoch prüfen.

Was zählt als "unverzüglich"?

Die 72 Stunden sind ein Maximum, kein Ziel. Die DSGVO sagt "unverzüglich und möglichst binnen 72 Stunden". Das bedeutet:

• Wenn Sie binnen 24 Stunden melden können, sollten Sie das tun. Bis zur 71. Stunde zu warten, obwohl Sie bereits in der 12. Stunde über ausreichende Informationen verfügten, ist selbst ein Compliance-Versagen.
• Wenn Sie Ihre Bewertung tatsächlich nicht binnen 72 Stunden abschliessen können, können Sie eine schrittweise Meldung einreichen , aber Sie müssen Gründe für die Verzögerung angeben und die ersten Informationen innerhalb des 72-Stunden-Fensters übermitteln.
• Wochenenden und Feiertage halten die Frist nicht an. Wenn die Kenntnis um 23 Uhr an einem Freitag eintritt, haben Sie bis 23 Uhr am Montag Zeit.

Welche Informationen muss die Meldung enthalten?

Artikel 33(3) legt Mindestangaben für Meldungen von Datenpannen fest:

• Die Art der Verletzung des Schutzes personenbezogener Daten, einschliesslich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
• Eine Beschreibung der wahrscheinlichen Folgen der Datenpanne
• Eine Beschreibung der ergriffenen oder vorgeschlagenen Massnahmen zur Bewältigung der Datenpanne, einschliesslich der Schadensbegrenzung

Für Organisationen mit mehreren Einheiten schafft dies eine Koordinationsherausforderung. Wenn die Datenpanne betroffene Personen über mehrere Tochtergesellschaften in unterschiedlichen Rechtsordnungen betrifft, müssen Sie möglicherweise bei mehreren Aufsichtsbehörden einreichen , es sei denn, Sie haben eine federführende Behörde im Rahmen des One-Stop-Shop-Mechanismus.

Das Koordinationsproblem bei mehreren Einheiten

Die 72-Stunden-Frist ist für eine einzelne Organisation schon herausfordernd genug. Für Unternehmensgruppen, die Compliance über 10, 20 oder mehr als 50 Einheiten verwalten, wird sie exponentiell schwieriger:

• Welche Einheit ist der Verantwortliche , die Tochtergesellschaft, in der die Datenpanne auftrat, oder die Muttergesellschaft?
• Wenn mehrere Einheiten ein Datenverarbeitungssystem teilen, stellt die Kenntnis bei einer Einheit eine Kenntnis für alle dar?
• Wer ist befugt, die Meldung einzureichen , der lokale Datenschutzbeauftragte, der Konzern-Datenschutzbeauftragte oder die Rechtsabteilung?
• Welche Aufsichtsbehörde erhält die Meldung, wenn betroffene Personen über mehrere Mitgliedstaaten verteilt sind?

Diese Fragen können nicht während einer Datenpanne beantwortet werden. Sie müssen im Voraus geklärt, in Ihrem Plan zur Reaktion auf Vorfälle dokumentiert und durch regelmässige Planspielübungen getestet werden.

Wann eine Meldung nicht erforderlich ist

Nicht jede Datenpanne löst die 72-Stunden-Frist aus. Artikel 33(1) enthält einen wichtigen Vorbehalt: Eine Meldung ist erforderlich, "es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt".

Diese Risikobewertung ist der Punkt, an dem viele Organisationen straucheln. Der EDSA hat Beispiele bereitgestellt:

• Ein verschlüsselter Laptop wird gestohlen, und der Verschlüsselungsschlüssel wurde nicht kompromittiert , wahrscheinlich kein Risiko, wahrscheinlich keine Meldung erforderlich
• Ein kurzer Stromausfall führt zu einer vorübergehenden Unmöglichkeit, auf Patientendaten zuzugreifen , das Risiko hängt vom Kontext ab (Notfallversorgung vs. Routineaufzeichnungen)
• Eine E-Mail mit personenbezogenen Daten wird an den falschen Empfänger gesendet, der die Löschung bestätigt, ohne sie zu lesen , geringes Risiko, aber dennoch eine Datenpanne, die intern dokumentiert werden muss

Auch wenn eine Meldung an die Aufsichtsbehörde nicht erforderlich ist, verpflichtet Artikel 33(5) Sie, die Datenpanne, ihre Auswirkungen und die ergriffenen Abhilfemassnahmen zu dokumentieren. Diese Dokumentation muss der Aufsichtsbehörde auf Anfrage zur Überprüfung zur Verfügung stehen.

So machen Sie das 72-Stunden-Fenster beherrschbar

Die Organisationen, die die 72-Stunden-Frist durchgängig einhalten, weisen gemeinsame Merkmale auf:

• Sie verfügen über ein zentralisiertes System zur Vorfallerfassung, das Datenpannen aus jeder Einheit, von jedem Mitarbeitenden, aus jeder Zeitzone aufnimmt , und so die organisatorische Reibung beseitigt, die die Kenntnis verzögert
• Sie nutzen strukturierte Risikobewertungsrahmen (keine Ad-hoc-Ermessensentscheidungen), um die Meldepflicht innerhalb von Minuten nach der Erfassung zu bestimmen
• Sie führen aktuelle, präzise Verarbeitungsverzeichnis-Aufzeichnungen, sodass die Bewertung des Umfangs einer Datenpanne nicht tagelanges manuelles Zusammentragen von Daten erfordert
• Sie verfügen über vorkonfigurierte Meldevorlagen für jede relevante Aufsichtsbehörde, wodurch sich die Erstellungszeit von Stunden auf Minuten reduziert
• Sie dokumentieren jede Entscheidung mit Zeitstempeln und schaffen so die Audit-Spur, die Compliance belegt, selbst wenn der Zeitplan eng ist

Die 72-Stunden-Frist ist von ihrer Konzeption her anspruchsvoll. Sie zwingt Organisationen dazu, die operative Infrastruktur aufzubauen, die das Datenschutzmanagement nachhaltig macht , nicht nur auf dem Papier konform, sondern unter Druck belastbar.