Dokumentieren und Fehlerkultur

Nach Art. 33 Abs. 5 DSGVO ist jede Verletzung zu dokumentieren — auch die, die nicht gemeldet wurde. Und die wirksamste Maßnahme ist keine technische: ein Betrieb, in dem Fehler gemeldet werden, ohne dass jemand getadelt wird.

Warum das wichtig ist

Die Dokumentationspflicht trifft auch die nicht meldepflichtigen Fälle — der Wortlaut macht keine Ausnahme. Genau diese Liste ist das Erste, was eine Aufsichtsbehörde sehen will: Wer kein Verzeichnis der Vorfälle führt, kann nicht belegen, dass er die nicht gemeldeten richtig bewertet hat.

Der zweite Teil ist Kultur und nicht Recht, entscheidet aber über alles andere. Die Frist beginnt mit der Kenntnis des Unternehmens — also mit Ihrer Meldung. In einem Betrieb, in dem Fehler Konsequenzen für den Melder haben, erfährt die Leitung zuletzt davon.

Was das Gesetz sagt

Art. 33 Abs. 5 S. 1 DSGVO

„Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und der ergriffenen Abhilfemaßnahmen."

Art. 83 Abs. 2 S. 2 lit. c DSGVO

„jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens"

So macht man es richtig

1. Jeden Vorfall eintragen — auch den, der am Ende nicht gemeldet wird, mit der Begründung dafür.
2. Festhalten, was unternommen wurde, um den Schaden zu mindern. Das zählt bei der Bemessung mit.
3. Als Führungskraft: Wer einen Fehler meldet, wird dafür nicht getadelt. Sonst wird beim nächsten Mal gehofft statt gemeldet.
4. Nach jedem Vorfall eine Sache ändern, die ihn beim nächsten Mal verhindert.

Stand: 11.10.2026