Eine falsch adressierte E-Mail, ein verlorenes Notebook, ein verschlüsselter Server. Ab dem Moment, in dem Sie davon erfahren, läuft eine Frist. Dieser Ablaufplan hält die wichtigsten Schritte in der richtigen Reihenfolge fest.
Eine Verletzung des Schutzes personenbezogener Daten liegt nach Art. 4 Nr. 12 DSGVO vor, wenn Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert, offengelegt oder zugänglich gemacht werden. Der Begriff ist weiter, als die meisten vermuten – er umfasst auch den reinen Verlust der Verfügbarkeit.
Die häufigsten Fälle im Mittelstand:
Zuerst geht es nicht um Meldung, sondern um Schadensbegrenzung. Zugang sperren, Freigabe zurücknehmen, betroffenes System vom Netz nehmen, Empfänger zur Löschung auffordern. Parallel dazu: Beweise sichern. Logdateien, Screenshots, betroffene Systeme nicht vorschnell neu aufsetzen. Bei Verdacht auf eine Straftat kommt eine Anzeige bei der Zentralen Ansprechstelle Cybercrime NRW in Betracht.
Informieren Sie unverzüglich die Geschäftsführung und den Datenschutzbeauftragten. Ab hier läuft die Uhr.
Drei Fragen entscheiden über alles Weitere:
Waren die Daten wirksam verschlüsselt und ist der Schlüssel sicher, sinkt das Risiko erheblich – das ist der praktische Grund, warum Festplattenverschlüsselung auf mobilen Geräten so wichtig ist.
Ergibt die Bewertung ein Risiko, geht die Meldung an die zuständige Aufsichtsbehörde – für Unternehmen in Nordrhein-Westfalen an die LDI NRW, die dafür ein Onlineformular bereitstellt. Inhalt nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Kontaktstelle, wahrscheinliche Folgen, ergriffene Maßnahmen.
Ist die Frist nicht zu halten, gehört eine Begründung der Verzögerung in die Meldung.
Art. 34 DSGVO verlangt zusätzlich die unverzügliche Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko besteht – etwa bei offengelegten Zugangsdaten, Gesundheitsdaten oder Bankverbindungen. Die Information muss in klarer, einfacher Sprache erfolgen und einen Ansprechpartner nennen. Sie entfällt, wenn die Daten wirksam verschlüsselt waren oder das hohe Risiko durch nachträgliche Maßnahmen abgewendet wurde.
Auch wenn Sie nach Prüfung nicht melden, verlangt Art. 33 Abs. 5 DSGVO eine interne Dokumentation: Sachverhalt, Auswirkungen, Abhilfemaßnahmen und – besonders wichtig – die Begründung, warum keine Meldung erfolgte. Genau diese Begründung ist es, die bei einer späteren Prüfung den Unterschied macht.
Die 72 Stunden sind knapp, wenn erst im Ernstfall geklärt wird, wer wen informiert. Was vorher stehen sollte:
Der letzte Punkt ist der wirksamste. Die meisten Fristverstöße entstehen nicht durch Zögern der Geschäftsführung, sondern dadurch, dass ein Vorfall tagelang niemanden erreicht.
Ab dem Zeitpunkt, zu dem Ihr Unternehmen hinreichende Gewissheit über den Vorfall hat – nicht erst, wenn alle Details geklärt sind. Kenntnis eines Beschäftigten wird dem Unternehmen zugerechnet. Deshalb ist die interne Meldekette der kritische Punkt: Wenn ein Vorfall drei Tage in einem Postfach liegt, ist die Frist bereits verstrichen.
Dann melden Sie trotzdem. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich eine schrittweise Meldung. Eine unvollständige fristgerechte Meldung ist deutlich besser als eine vollständige verspätete.
Nein. Meldepflichtig ist sie nur, wenn ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Dokumentationspflichtig ist dagegen jeder Vorfall – auch der, den Sie nach Prüfung nicht melden. Diese interne Dokumentation nach Art. 33 Abs. 5 DSGVO wird bei Prüfungen regelmäßig verlangt.
Gegebenenfalls beides, und an unterschiedliche Stellen. Die DSGVO-Meldung geht an die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, die NIS-2-Meldung an das BSI mit einer Erstmeldung binnen 24 Stunden. Die Fristen laufen parallel, nicht nacheinander.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.