Kurz-Fakten
- Begriff in Art. 4 Nr. 12, Meldung an die Aufsichtsbehörde in Art. 33, Benachrichtigung der Betroffenen in Art. 34 DSGVO
- Die 72 Stunden laufen ab Kenntnis des Verantwortlichen, nicht ab dem Vorfall
- Ein Auftragsverarbeiter meldet nicht selbst an die Behörde, sondern unverzüglich an den Verantwortlichen (Art. 33 Abs. 2)
- Auch nicht gemeldete Vorfälle sind zu dokumentieren, einschließlich Wirkungen und Abhilfemaßnahmen (Art. 33 Abs. 5)
- Nicht nur Diebstahl zählt: Auch der Verlust der Verfügbarkeit und die versehentliche Offenlegung sind erfasst
Bedeutung in der Praxis
Die Frist ist kürzer, als sie klingt. Wer erst nach der vollständigen Aufklärung meldet, ist regelmäßig zu spät – vorgesehen ist die Meldung mit dem bekannten Stand, notfalls schrittweise ergänzt. Die häufigste Ursache für eine verspätete Meldung ist kein böser Wille, sondern eine fehlende Meldekette: Niemand weiß, wer angerufen wird, wenn ein Vorfall am Freitagnachmittag auffällt.
Beim Einsatz eines KI-Dienstes betrifft das die ganze Kette. Merkt der Dienst etwas, muss er es der Agentur sagen, und die dem Kunden – schnell genug, dass dessen Frist noch läuft. Diese Weitergabezeit gehört in den Vertrag zur Auftragsverarbeitung; steht sie dort nicht, wird sie im Ernstfall zwischen zwei Parteien ausgehandelt, die gerade Wichtigeres zu tun haben.