Die 72 Stunden des Artikels 33 sind die bekannteste Zahl der Verordnung und die am häufigsten falsch gelesene. Unternehmen starten die Frist im falschen Moment, senden den falschen Inhalt und verwechseln die Pflicht des Auftragsverarbeiters mit der des Verantwortlichen. Dieser Artikel liest die Artikel 33 und 34 aus Sicht eines Softwareunternehmens und gibt Ihnen die Meldefrist-Seite, die rechnet und die Meldung schreibt.

Wann die Frist beginnt: Kenntnis, nicht Alarm

Artikel 33 Absatz 1 verlangt vom Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Frist beginnt mit der Kenntnis, und die Leitlinien des Europäischen Datenschutzausschusses zu Datenpannen sagen, was das heißt: der Verantwortliche gilt als in Kenntnis, wenn er mit hinreichender Gewissheit weiß, dass ein Sicherheitsvorfall eingetreten ist, der personenbezogene Daten kompromittiert hat. Ein Monitoring-Alarm um 03:00 Uhr ist keine Kenntnis; der Moment, in dem der Bereitschaftsingenieur bestätigt, dass Kundendatensätze von jemandem gelesen wurden, der sie nicht hätte lesen dürfen, ist es. Die Untersuchung, die diese Gewissheit herstellt, soll kurz sein, und Erwägungsgrund 87 sagt es: es sollte sichergestellt sein, dass die Maßnahmen vorhanden sind, um unverzüglich festzustellen, ob eine Verletzung eingetreten ist.

Die 72 Stunden sind kein Ziel, sie sind eine Obergrenze. Erfolgt die Meldung nicht binnen 72 Stunden, verlangt Artikel 33 Absatz 1, dass ihr eine Begründung für die Verzögerung beigefügt wird. Die Meldefrist-Seite berechnet die Frist ab dem Moment, den Sie eingeben, und sagt, sobald sie verstrichen ist, dass die Begründungspflicht nun für alles gilt, was Sie senden.

Was die Meldung enthält, und die Phasen

Artikel 33 Absatz 3 legt den Mindestinhalt in vier Punkten fest: (a) die Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; (b) Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle; (c) die wahrscheinlichen Folgen der Verletzung; (d) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen. Artikel 33 Absatz 4 nimmt dann die Ausrede, nach der die meisten Unternehmen greifen: wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, können sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt werden. Eine unvollständige Meldung rechtzeitig schlägt eine vollständige zu spät.

Artikel 33 Absatz 5 ist der Teil, der den Vorfall überdauert: der Verantwortliche dokumentiert jede Verletzung, ihre Fakten, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen, ob gemeldet oder nicht, in einer Form, die der Aufsichtsbehörde die Überprüfung der Einhaltung ermöglicht. Diese Dokumentation ist die Vorfallaufzeichnung, und sie ist das Erste, was eine Behörde nach einer Beschwerde verlangt.

Die eigene Frist des Auftragsverarbeiters

Artikel 33 Absatz 2 gibt dem Auftragsverarbeiter eine andere Pflicht: er meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde. Es gibt keine Stundenzahl. Für ein SaaS-Unternehmen ist das die Pflicht, die am meisten zählt, denn jeder Kunde, dessen Daten im Produkt liegen, ist ein Verantwortlicher, dessen 72 Stunden mit Ihrer Meldung beginnen, und der Auftragsverarbeitungsvertrag legt meist fest, wie schnell diese Meldung gesendet wird; Bedingung (f) von Artikel 28 Absatz 3 ist der Ort, an dem sie steht. Ein Auftragsverarbeiter, der erst seine eigene Untersuchung abschließt, bevor er den Kunden informiert, verbraucht die Stunden des Kunden.

Die betroffenen Personen: Artikel 34 und seine drei Ausnahmen

Artikel 34 Absatz 1 verlangt vom Verantwortlichen, die betroffenen Personen unverzüglich zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat: Identitätsdiebstahl, Betrug, finanzieller Verlust, Diskriminierung, Rufschädigung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden Daten, Erwägungsgrund 85 zählt sie auf. Artikel 34 Absatz 2 legt den Inhalt fest: die Art der Verletzung in klarer und einfacher Sprache und zumindest die Informationen nach Artikel 33 Absatz 3 Buchstaben b, c und d. Artikel 34 Absatz 3 nennt die drei Fälle, in denen die Benachrichtigung nicht erforderlich ist: die Daten waren durch Maßnahmen wie Verschlüsselung geschützt, die sie für jede unbefugte Person unverständlich machen; der Verantwortliche hat nachfolgende Maßnahmen ergriffen, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht; oder die Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden, dann informiert eine öffentliche Bekanntmachung die betroffenen Personen vergleichbar wirksam. Artikel 34 Absatz 4 lässt die Aufsichtsbehörde die Benachrichtigung verlangen, wenn der Verantwortliche sie nicht vorgenommen hat.

Die Fristen daneben: NIS2, CRA und DORA

Ein Softwareunternehmen unter NIS2, dem CRA oder mit einem Bankkunden unter DORA lässt ab demselben Moment der Kenntnis eine zweite Frist laufen, mit anderem Empfänger und anderer Schwelle. NIS2 Artikel 23 gibt einer wesentlichen oder wichtigen Einrichtung 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung und einen Monat für den Abschlussbericht, an das CSIRT oder die zuständige Behörde, bei einem erheblichen Sicherheitsvorfall. Der CRA gibt einem Hersteller 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung und 14 Tage für den Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle, an die ENISA-Plattform. DORA gibt einem Finanzunternehmen 4 Stunden ab Einstufung und 24 Stunden ab Kenntnis für die Erstmeldung, 72 Stunden für den Zwischenbericht und einen Monat für den Abschlussbericht zu einem schwerwiegenden IKT-bezogenen Vorfall, was seinen Softwareanbieter über die Klausel zur Unterstützung bei Vorfällen im Vertrag erreicht. Die DSGVO-Frist ist die einzige der vier, die allein auf personenbezogene Daten anspringt; der Beitrag zu den NIS2- und CRA-Fristen liest die anderen Schwellen, und ein Verfahren mit zwei Auslösern und zwei Empfängern erfüllt sie alle.

Das Bußgeld, und die Aufzeichnung

Artikel 83 Absatz 4 Buchstabe a setzt die Obergrenze für einen Verstoß gegen die Artikel 33 und 34 auf EUR 10 Millionen oder 2 % des weltweiten Jahresumsatzes. Die veröffentlichten Entscheidungen der Behörden zu verspäteten Meldungen drehen sich jedes Mal um dieselben drei Feststellungen: wann die Kenntnis begann, ob die Meldung rechtzeitig oder begründet war und ob die Aufzeichnung nach Artikel 33 Absatz 5 existiert. Die Meldefrist-Seite schreibt die ersten beiden ab dem Moment auf, den Sie eingeben, und die Meldung, die sie erzeugt, ist die dritte.