Die Meldung an die Aufsichtsbehörde muss unverzüglich erfolgen, möglichst binnen 72 Stunden nachdem Ihnen die Verletzung bekannt geworden ist. So steht es in Art. 33 Abs. 1 DSGVO. 72 Stunden sind drei Tage, nicht drei Arbeitstage — die Frist läuft über Wochenenden und Feiertage. Ein Vorfall, der am Freitagnachmittag bekannt wird, ist am Montagnachmittag fällig.
„Bekannt geworden“ meint die Kenntnis im Unternehmen, nicht die Kenntnis der Geschäftsführung. Erfährt eine Mitarbeiterin am Dienstag von dem Fehler und meldet es erst am Freitag intern, dann ist die Frist weitgehend verbraucht, bevor die Entscheidung überhaupt getroffen werden kann. Deshalb ist der interne Meldeweg der eigentliche Hebel: Er muss sofort, einfach und angstfrei sein.
Wenn Sie den Sachverhalt in 72 Stunden nicht vollständig aufklären können, melden Sie trotzdem. Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich die schrittweise Meldung: erst das, was Sie wissen, dann die Ergänzung. Das ist der übliche Weg bei IT-Vorfällen, deren Umfang erst nach Tagen feststeht. Wer auf vollständige Klarheit wartet, versäumt die Frist.
Wird später gemeldet, ist die Verzögerung zu begründen. Eine nachvollziehbare Begründung — der Vorfall wurde erst spät erkannt, die Bewertung erforderte eine forensische Untersuchung — wird akzeptiert. „Wir waren unsicher, ob wir müssen“ ist keine. Zuständig ist in der Regel die Aufsichtsbehörde des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat; die Behörden stellen dafür Online-Formulare bereit.
Fundstelle: Art. 33 Abs. 1, Art. 33 Abs. 4, Art. 55 DSGVO