Was Art. 33 und 34 DSGVO in der Praxis wirklich bedeuten
Kaum ein Thema sorgt in Unternehmen für mehr Unsicherheit als die Frage, wie mit einer Datenschutzverletzung umzugehen ist. Muss sofort die Aufsichtsbehörde informiert werden? Müssen auch die Betroffenen benachrichtigt werden? Oder reicht eine interne Dokumentation?
In der Praxis wird häufig entweder zu spät reagiert — oder vorschnell alles gemeldet. Beides ist problematisch. Die DSGVO verlangt keine pauschale Maximalreaktion, sondern eine risikobasierte Bewertung.
Die Grundlogik ist einfach: Je nach Risikostufe unterscheiden sich die Pflichten. Entscheidend ist also nicht allein, dass eine Datenschutzverletzung vorliegt, sondern welches Risiko für die betroffenen Personen daraus folgt.
Was ist überhaupt eine Datenschutzverletzung?
Nicht jede IT-Störung ist automatisch ein Fall für Art. 33 oder 34 DSGVO. Eine Datenschutzverletzung liegt vor, wenn es zu einer Verletzung der Sicherheit kommt, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung bzw. zum unbefugten Zugang zu personenbezogenen Daten führt.
Klassische Beispiele sind Fehlversendungen, Hackerangriffe, verlorene Datenträger, unberechtigte Zugriffe, versehentliche Veröffentlichungen oder auch unzureichend gesicherte Systeme.
Die entscheidende Frage: Wie hoch ist das Risiko?
Für die Meldepflicht ist nicht jeder Vorfall gleich zu behandeln. Die deutschen Aufsichtsbehörden unterscheiden praktisch zwischen drei Stufen:
1. Geringes Risiko
Besteht nur ein geringes Risiko für die Rechte und Freiheiten der betroffenen Personen, ist keine Meldung an die Aufsichtsbehörde erforderlich. Auch eine Benachrichtigung der Betroffenen ist dann nicht notwendig. Die interne Dokumentation des Vorfalls bleibt aber weiterhin Pflicht.
Gerade dieser Punkt wird oft missverstanden: Keine Meldepflicht bedeutet nicht, dass der Vorfall folgenlos ignoriert werden darf. Auch nicht meldepflichtige Datenschutzverletzungen müssen dokumentiert und nachvollziehbar bewertet werden.
2. Risiko
Besteht ein Risiko für die betroffenen Personen, greift Art. 33 DSGVO. Dann muss die Datenschutzverletzung an die Aufsichtsbehörde gemeldet werden — und zwar unverzüglich, möglichst innerhalb von 72 Stunden.
Hier liegt der praktische Kern vieler Fälle. Nicht jeder Vorfall ist hochkritisch, aber sehr viele Vorfälle sind eben auch nicht völlig harmlos. Unternehmen müssen deshalb schnell bewerten, ob bereits ein meldepflichtiges Risiko vorliegt.
3. Hohes Risiko
Besteht sogar ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen, greift zusätzlich Art. 34 DSGVO. Dann reicht die Meldung an die Aufsichtsbehörde nicht mehr aus. In diesem Fall müssen auch die Betroffenen selbst informiert werden — und zwar unverzüglich und in klarer, verständlicher Sprache.
Der Zweck ist eindeutig: Betroffene sollen frühzeitig gewarnt werden, damit sie sich selbst schützen können, etwa durch Passwortänderungen, erhöhte Wachsamkeit oder andere Gegenmaßnahmen.
Risikobewertung heißt Prognose — nicht Gewissheit
Ein zentraler Punkt, der in der Praxis häufig übersehen wird: Das Risiko muss noch nicht bereits eingetreten sein. Es genügt, dass sich ein Risiko voraussichtlich realisieren kann.
Mit anderen Worten: Unternehmen dürfen nicht erst dann reagieren, wenn der Schaden bereits sichtbar ist. Maßgeblich ist die Lage zum Zeitpunkt der Bewertung. Genau deshalb braucht es bei Datenschutzverletzungen eine schnelle, strukturierte Ersteinschätzung.
Wann eine Meldung oder Benachrichtigung entfallen kann
Nicht jeder zunächst kritische Vorfall bleibt auch meldepflichtig. Es gibt Konstellationen, in denen durch geeignete Maßnahmen das Risiko beseitigt oder auf ein geringes Risiko reduziert werden kann.
Das ist etwa dann relevant, wenn:
- Daten wirksam verschlüsselt waren,
- schnelle Gegenmaßnahmen das Risiko beseitigen
Dann kann die Folge sein, dass weder eine Meldung an die Aufsichtsbehörde noch eine Benachrichtigung der Betroffenen erforderlich ist.
Das zeigt, wie wichtig eine saubere Einzelfallprüfung ist. Die Frage lautet also nicht nur: „Gab es einen Vorfall?“, sondern auch: „Welche tatsächlichen Risiken bestehen nach den bereits ergriffenen Maßnahmen noch?“
Was Unternehmen in der Praxis oft falsch machen
In der Praxis zeigen sich immer wieder dieselben Fehler:
- Datenschutzverletzungen werden zu spät erkannt.
- Die Risikobewertung erfolgt unsystematisch oder gar nicht.
- Es wird nur auf den technischen Vorfall geschaut, nicht auf die Folgen für Betroffene.
- Maßnahmen zur Risikominderung werden nicht sauber dokumentiert.
- Die 72-Stunden-Frist wird unterschätzt.
Gerade bei zeitkritischen Vorfällen ist deshalb ein klarer interner Prozess unverzichtbar. Wer erst im Ernstfall über Zuständigkeiten, Meldewege und Bewertungskriterien nachdenkt, verliert wertvolle Zeit.
Worauf es für die Compliance ankommt
Unternehmen brauchen für Datenschutzverletzungen belastbare Abläufe. Entscheidend sind insbesondere:
- klare interne Meldewege,
- schnelle datenschutzrechtliche Bewertung,
- dokumentierte Risikoeinschätzungen,
- abgestimmte Entscheidungsprozesse,
- und eine saubere Nachbereitung des Vorfalls.
Denn eines ist klar: Die DSGVO verlangt nicht, jeden Vorfall reflexhaft nach außen zu melden. Sie verlangt aber, jeden Vorfall ernst zu nehmen, strukturiert zu bewerten und nachvollziehbar zu dokumentieren.
Fazit
Die Logik von Art. 33 und 34 DSGVO lässt sich auf einen einfachen Grundsatz herunterbrechen:
- Geringes Risiko: keine Meldung
- Risiko: Meldung an die Aufsichtsbehörde
- Hohes Risiko: zusätzlich Information an die Betroffenen
Wird das Risiko jedoch durch geeignete Maßnahmen beseitigt oder auf ein geringes Maß reduziert, können Melde- und Benachrichtigungspflichten entfallen.