Datenpanne am Freitagnachmittag: die 72-Stunden-Uhr

Freitag, 16:30 Uhr: Eine Kollegin merkt, dass eine E-Mail mit der Gehaltsliste an einen externen Verteiler ging. Ab wann laufen jetzt die 72 Stunden aus Art. 33 DSGVO — ab dem Versand? Ab dem Bemerken? Und zählt das Wochenende mit?

Die Antworten: Die Frist beginnt, sobald die Verletzung dem Verantwortlichen „bekannt“ wird — also in dem Moment, in dem jemand im Unternehmen mit hinreichender Sicherheit von dem Vorfall weiß. Und ja, das Wochenende zählt mit. Wer freitags eine Panne entdeckt, kann nicht bis Montag warten und dann in Ruhe anfangen.

Nicht jede Panne ist meldepflichtig — aber jede ist dokumentationspflichtig

Gemeldet werden muss an die Aufsichtsbehörde, wenn die Verletzung voraussichtlich zu einem Risiko für die Betroffenen führt. Die verschlüsselte, sofort gesperrte Laptop-Festplatte ist typischerweise kein meldepflichtiger Fall — die versendete Gehaltsliste sehr wohl. Bei hohem Risiko kommt zusätzlich die Benachrichtigung der Betroffenen dazu (Art. 34 DSGVO).

Oft übersehen: Auch nicht meldepflichtige Vorfälle müssen intern dokumentiert werden (Art. 33 Abs. 5 DSGVO). Die Aufsichtsbehörde darf sich dieses Verzeichnis zeigen lassen — ein leeres Verzeichnis wirkt dabei selten glaubwürdig.

Was in die Meldung gehört

Die Meldung braucht vier Bausteine: die Art der Verletzung (was ist mit welchen Daten von ungefähr wie vielen Betroffenen passiert), Name und Kontakt der Anlaufstelle, die voraussichtlichen Folgen sowie die ergriffenen und geplanten Abhilfemaßnahmen. Wichtig: Sie dürfen schrittweise melden. Eine fristgerechte Erstmeldung mit dem, was Sie wissen, plus Nachlieferung schlägt eine perfekte, aber verspätete Meldung.

Übrigens gilt dieselbe Logik bei NIS2 noch schärfer: erhebliche Sicherheitsvorfälle erfordern eine Frühwarnung binnen 24 Stunden (§ 32 BSIG). Wer beide Regime bedienen muss, braucht zwingend einen Prozess statt zwei Formulare.

Der Prozess schlägt das Formular

In der Praxis scheitern Meldungen selten am Formular und fast immer am Ablauf: Wer erkennt eine Panne? Wer entscheidet über die Meldepflicht? Wer darf gegenüber der Behörde sprechen? Diese Fragen beantwortet man besser vor dem Ernstfall — und übt den Ablauf einmal durch.

Der Meldeassistent in Compliverse führt genau durch diesen Ablauf: Vorfall erfassen, Risikoeinschätzung, Fristen-Countdown für DSGVO (72 h) und NIS2 (24 h / 72 h / 1 Monat) parallel, Statusverfolgung bis zum Abschlussbericht.