Datenpanne im ERP: Meldepflicht innerhalb 72 Stunden (EU)
Kurz gesagt
Eine Datenpanne melden Sie als Verantwortlicher der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon Kenntnis erlangt haben; geht die Meldung nicht binnen 72 Stunden ein, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO). Die Pflicht trifft den Verantwortlichen, dessen Verarbeitung nach Art. 3 DSGVO unter die Verordnung fällt, also mit Niederlassung in der Union oder, ohne Niederlassung in der Union, beim Anbieten von Waren oder Dienstleistungen an Personen in der Union oder beim Beobachten ihres Verhaltens in der Union. Führt die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen, entfällt die Meldung, die Dokumentation bleibt (Art. 33 Abs. 5 DSGVO). Bei voraussichtlich hohem Risiko benachrichtigen Sie zusätzlich die betroffenen Personen unverzüglich (Art. 34 Abs. 1 DSGVO); die Benachrichtigung entfällt in den drei Fällen des Art. 34 Abs. 3 DSGVO (Daten für Unbefugte unzugänglich; hohes Risiko nachträglich beseitigt; unverhältnismäßiger Aufwand). Ist die Benachrichtigung unverhältnismäßig aufwendig, machen Sie den Vorfall stattdessen öffentlich bekannt oder ergreifen eine ähnliche Maßnahme, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
Das Wichtigste
- Die Pflicht trifft den Verantwortlichen, dessen Verarbeitung nach Art. 3 DSGVO unter die Verordnung fällt; der Auftragsverarbeiter informiert ihn unverzüglich (Art. 33 Abs. 2 DSGVO).
- Frist ab Kenntnis: unverzüglich und möglichst binnen 72 Stunden; wird sie nicht eingehalten, ist der Aufsichtsbehörde eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 DSGVO).
- Führt die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen, entfällt die Meldung; jede Verletzung wird dokumentiert, auch die nicht gemeldete (Art. 33 Abs. 1 und 5 DSGVO).
- Die Meldung enthält mindestens vier Angaben; fehlende Angaben liefern Sie in Phasen nach (Art. 33 Abs. 3 und 4 DSGVO).
- Bei voraussichtlich hohem Risiko benachrichtigen Sie die betroffenen Personen unverzüglich; die Benachrichtigung entfällt, wenn die Daten für Unbefugte unzugänglich sind, das hohe Risiko nachträglich beseitigt ist oder sie unverhältnismäßig aufwendig wäre — bei unverhältnismäßigem Aufwand machen Sie den Vorfall stattdessen öffentlich bekannt oder ergreifen eine ähnliche Maßnahme, durch die die betroffenen Personen vergleichbar wirksam informiert werden (Art. 34 Abs. 1 und 3 DSGVO).
- Verstoß gegen Art. 33 oder 34: Geldbuße bis 10.000.000 Euro oder, im Fall eines Unternehmens, bis 2 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).
Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 4 Nr. 12 DSGVO jede Sicherheitsverletzung, durch die personenbezogene Daten vernichtet werden, verloren gehen, verändert oder unbefugt offengelegt oder zugänglich gemacht werden; ob unbeabsichtigt oder unrechtmäßig, ändert daran nichts. Im ERP kann das ein falsch adressierter Kundenexport sein, ein überschriebener Datensatz oder eine nicht mehr erreichbare Datenbank. Die Meldepflicht gilt seit dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO).
Was im ERP als Datenpanne gilt
Die EDSA-Leitlinien 9/2022 in der Version 2.0 vom 28. März 2023 ordnen die Fälle in drei Gruppen: Verletzung der Vertraulichkeit (Unbefugte sehen oder erhalten Daten), der Integrität (Daten werden unbefugt oder unbeabsichtigt verändert) und der Verfügbarkeit (Daten sind verloren oder nicht mehr zugänglich; Nr. 18 und 19 der Leitlinien).
Drei Beispiele aus dem ERP-Betrieb:
- Vertraulichkeit: Eine Umsatzliste mit Kundennamen geht an eine falsche E-Mail-Adresse; Personalakten liegen in einem offenen Netzlaufwerk.
- Integrität: Ein fehlerhafter Import setzt fremde Anschriften in den Debitorenstamm; eine Stapelbuchung überschreibt die bei den Kunden hinterlegten Bankverbindungen.
- Verfügbarkeit: Schadsoftware verschlüsselt die Datenbank, und die jüngste Sicherung liegt Wochen zurück.
Ohne Bezug zu einer natürlichen Person fehlen personenbezogene Daten; ein Lagerbestand oder eine Artikelnummer ohne Personenbezug löst keine Meldung aus. Die Pflicht trifft den Verantwortlichen; sie knüpft an die Verarbeitung und diese Rolle an, nicht an die Beschäftigtenzahl. Die Verordnung gilt nach Art. 3 Abs. 1 DSGVO für die Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union und nach Art. 3 Abs. 2 DSGVO für Verantwortliche ohne Niederlassung in der Union, die Personen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten in der Union beobachten.
Entscheidungsbaum: Wann Sie melden müssen
Arbeiten Sie die Schritte der Reihe nach ab; Schritt 7 gilt auch dann, wenn die Meldung entfällt.
- Verletzung nach Art. 4 Nr. 12 DSGVO? Wurden personenbezogene Daten vernichtet, verloren, verändert oder unbefugt offengelegt? Wenn nein, endet die Prüfung.
- Verantwortlicher oder Auftragsverarbeiter? Ein Auftragsverarbeiter, etwa der SaaS-Anbieter Ihres ERP, meldet unverzüglich dem Verantwortlichen und nicht der Behörde (Art. 33 Abs. 2 DSGVO; Nr. 43 und 44).
- Haben Sie Kenntnis? Bekannt ist der Vorfall, sobald Sie hinreichende Gewissheit haben, dass personenbezogene Daten beeinträchtigt sind (Nr. 31). Nach einem ersten Hinweis dürfen Sie kurz untersuchen, ob überhaupt eine Verletzung vorliegt; während dieser Erstuntersuchung gilt sie noch nicht als bekannt (Nr. 34). Danach beginnt die Frist und läuft auch weiter, während der Vorfall eingehender untersucht wird (Nr. 35).
- Voraussichtlich kein Risiko? Dann entfällt die Meldung, die Dokumentation bleibt (Art. 33 Abs. 5 DSGVO). Dorthin führt wirksame Verschlüsselung mit unversehrtem Schlüssel und einer Sicherung, die die Daten zeitnah wiederherstellt (Nr. 76 bis 79); Pseudonymisierung allein genügt nicht (Nr. 112).
- Behörde informieren. Unverzüglich und möglichst binnen 72 Stunden ab Kenntnis (Art. 33 Abs. 1 Satz 1 DSGVO); melden Sie vollständig, sobald die Angaben vorliegen, und sonst in Phasen (Art. 33 Abs. 4 DSGVO; Nr. 56 und 57). Geht die Meldung nicht binnen 72 Stunden ein, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 Satz 2 DSGVO); sie muss die Verzögerung rechtfertigen und zeigen, dass sie nicht übermäßig war (Nr. 126). Im Zweifel rät der EDSA zur Meldung (Nr. 119).
- Voraussichtlich hohes Risiko? Dann benachrichtigen Sie die betroffenen Personen unverzüglich (Art. 34 Abs. 1 DSGVO); diese Schwelle liegt höher als bei der Behördenmeldung (Nr. 82). Die Benachrichtigung entfällt in den drei Fällen des Art. 34 Abs. 3 DSGVO (unzugänglich gemachte Daten, insbesondere durch Verschlüsselung; hohes Risiko durch nachfolgende Maßnahmen aller Wahrscheinlichkeit nach beseitigt; unverhältnismäßiger Aufwand, dann öffentliche Bekanntmachung oder eine ähnliche Maßnahme, die vergleichbar wirksam informiert).
- Dokumentieren. Halten Sie Fakten, Auswirkungen und Abhilfemaßnahmen fest, unabhängig vom Ergebnis der Schritte 1 bis 6 (Art. 33 Abs. 5 DSGVO).
Welche Aufsichtsbehörde ist zuständig?
Adressat ist die nach Art. 51 Abs. 1 DSGVO eingerichtete Aufsichtsbehörde Ihres Mitgliedstaats (Art. 55 Abs. 1 DSGVO). Verarbeiten Sie grenzüberschreitend und haben Sie eine Hauptniederlassung in der Union, melden Sie an die federführende Aufsichtsbehörde dieser Niederlassung; sie ist Ihr einziger Ansprechpartner (Art. 56 Abs. 1 und 6 DSGVO; Nr. 66 bis 69 der Leitlinien). Bei Zweifeln raten die Leitlinien zur Meldung mindestens an die örtliche Aufsichtsbehörde (Nr. 69).
Sind Sie außerhalb der Union niedergelassen und unterliegt Ihre Verarbeitung nach Art. 3 Abs. 2 DSGVO der Verordnung, melden Sie an jede Aufsichtsbehörde, in deren Mitgliedstaat betroffene Personen leben; ein Vertreter in der Union löst die einzige Anlaufstelle nicht aus (Nr. 73).
Was gehört in die Meldung?
Art. 33 Abs. 3 DSGVO verlangt mindestens vier Angaben.
| Buchstabe | Was anzugeben ist | Einschränkung |
|---|---|---|
| a | Beschreibung der Art der Verletzung | Kategorien und ungefähre Zahlen nur, soweit möglich |
| b | Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle | keine |
| c | Beschreibung der wahrscheinlichen Folgen der Verletzung | keine |
| d | Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und zur Abmilderung | keine |
Schätzen Sie, wo genaue Zahlen fehlen; ungefähre Angaben dürfen eine rechtzeitige Meldung nicht aufhalten (Nr. 52). Fehlt etwas, kündigen Sie bei der ersten Meldung die Nachlieferung an (Nr. 57). Halten Sie dafür die Zahl der betroffenen Sätze, die Datenkategorien und die Systembezeichnung bereit, bevor der Vorfall eintritt.
Wann Sie betroffene Personen informieren
Besteht voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten, benachrichtigen Sie die betroffenen Personen unverzüglich (Art. 34 Abs. 1 DSGVO). Die Nachricht beschreibt die Verletzung in klarer und einfacher Sprache und enthält mindestens die Angaben nach Art. 33 Abs. 3 Buchstaben b, c und d DSGVO (Art. 34 Abs. 2 DSGVO).
Art. 34 Abs. 3 DSGVO nennt drei Ausnahmen: unzugänglich gemachte Daten, insbesondere durch Verschlüsselung; nachfolgende Maßnahmen, die das hohe Risiko aller Wahrscheinlichkeit nach beseitigen; oder unverhältnismäßiger Aufwand; in diesem Fall genügt eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme, durch die die betroffenen Personen vergleichbar wirksam informiert werden. Die Aufsichtsbehörde kann die Benachrichtigung verlangen oder mit Beschluss feststellen, dass eine der Voraussetzungen des Absatzes 3 erfüllt ist (Art. 34 Abs. 4 DSGVO). Nach Nr. 89 der Leitlinien gehört sie in eine eigene Nachricht, nicht in einen Newsletter; nach Nr. 90 erreicht eine Pressemitteilung allein die Betroffenen nicht.
Wer meldet: Verantwortlicher oder Anbieter?
Ist Ihr ERP- oder Cloud-Anbieter Auftragsverarbeiter, muss er den Vorfall unverzüglich dem Verantwortlichen melden (Art. 33 Abs. 2 DSGVO) und braucht dafür keine eigene Risikoprüfung (Nr. 44 der Leitlinien). Nach Art. 28 Abs. 3 Buchstabe f DSGVO muss er Sie bei den Pflichten aus Art. 32 bis 36 DSGVO unterstützen; Meldeweg und Fristen gehören nach Nr. 45 und 46 der Leitlinien in den Vertrag. Betrifft derselbe Vorfall mehrere Kunden, muss er jeden Verantwortlichen einzeln informieren (Nr. 47). Eine Meldung in Ihrem Namen ist mit Bevollmächtigung möglich; verantwortlich bleiben Sie (Nr. 48).
Art. 32 Abs. 1 Buchstabe c DSGVO verlangt außerdem die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen; die Dauer der Wiederherstellung zählt zur Risikobeurteilung (Nr. 79). Wie Sie das prüfen, beschreibt Wiederherstellung im ERP testen, und wer bei einem Cloud-ERP welche Sicherung schuldet, steht in Backup-Verantwortung bei SaaS-ERP.
Protokollvorlage: Vorfallregister
Art. 33 Abs. 5 DSGVO verlangt Unterlagen, anhand derer die Aufsichtsbehörde die Einhaltung prüfen kann. Die Vorlage ist eine redaktionelle Empfehlung; sie deckt die Elemente aus Nr. 123 bis 126 der Leitlinien ab.
| Feld | Eintrag |
|---|---|
| Vorgangsnummer | fortlaufend, etwa DSV-2026-004 |
| Erfasst von, mit Datum und Uhrzeit | Person und Rolle, die den Vorfall aufnimmt |
| Zeitpunkt der Kenntnisnahme | Datum und Uhrzeit, ab dem hinreichende Gewissheit bestand |
| System und Modul | etwa ERP Verkauf, Lager, Lohn; Produktiv-, Test- oder Sicherungssystem |
| Art der Verletzung | Vertraulichkeit, Integrität oder Verfügbarkeit |
| Betroffene Datenkategorien | etwa Kundenstamm, Rechnungsdaten, Personalakte, Zugangsdaten |
| Betroffene Personen und Datensätze | ungefähre Zahl und Grundlage der Schätzung |
| Risikobeurteilung | kein Risiko, Risiko oder hohes Risiko, mit Begründung und Datum |
| Meldung an die Aufsichtsbehörde | ja oder nein, Behörde, Datum, Uhrzeit, Aktenzeichen |
| Begründung einer Verspätung | Grund, falls die Meldung nach 72 Stunden erfolgt |
| Nachlieferungen | Datum, Inhalt und Aktenzeichen jeder Ergänzung |
| Information der Betroffenen | ja oder nein, Datum, Kanal, Ausnahme nach Art. 34 Abs. 3 DSGVO |
| Sofortmaßnahmen | Zugang gesperrt, Kennwörter zurückgesetzt, Sicherung eingespielt, mit Zeitpunkt |
| Ursache, Vorbeugung, Abschluss | Analyseergebnis, Maßnahme mit Termin und Verantwortlichem, Datum der Ablage |
Die DSGVO nennt keine Aufbewahrungsfrist für diese Unterlagen (Nr. 124 der Leitlinien). Enthalten die Aufzeichnungen personenbezogene Daten, bestimmen Sie die Dauer nach Art. 5 Abs. 1 Buchstabe e DSGVO. Ein separates Register ist nicht nötig, wenn die Angaben im Verzeichnis der Verarbeitungstätigkeiten klar erkennbar und auswertbar sind (Nr. 122).
Was droht bei einem Verstoß?
Ein Verstoß gegen Art. 33 oder Art. 34 DSGVO gehört zu den Pflichten nach Art. 25 bis 39 DSGVO und fällt damit unter Art. 83 Abs. 4 DSGVO: Geldbuße bis 10.000.000 Euro oder, im Fall eines Unternehmens, bis 2 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Bei der Bemessung zählen nach Art. 83 Abs. 2 DSGVO Maßnahmen zur Schadensminderung (Buchstabe c) und die Zusammenarbeit mit der Behörde (Buchstabe f) mit.
Neben der Geldbuße kann die Aufsichtsbehörde nach Art. 58 Abs. 2 Buchstabe e DSGVO anordnen, dass Sie die betroffenen Personen benachrichtigen (Art. 34 Abs. 4 DSGVO). Eine Meldung, die sich später als unnötig erweist, ist nicht mit einer Strafe belegt (Nr. 60 der Leitlinien). Pflichten aus anderen Rechtsinstrumenten können daneben bestehen (Nr. 134 bis 138).
Checkliste für Ihren Betrieb
- Legen Sie fest, wer den Vorfall aufnimmt, die Risikobeurteilung vornimmt und die Meldung auslöst.
- Regeln Sie im Auftragsverarbeitungsvertrag, wie schnell Ihr ERP- oder Cloud-Anbieter nach Art. 33 Abs. 2 DSGVO informiert.
- Rechnen Sie die 72 Stunden ab dem Zeitpunkt hinreichender Gewissheit, nicht ab dem Beginn weiterer Untersuchungen.
- Prüfen Sie zuerst Personenbezug und Verschlüsselung, dann die Risikohöhe.
- Melden Sie innerhalb der Frist auch mit unvollständigen Angaben und liefern Sie nach (Art. 33 Abs. 4 DSGVO).
- Führen Sie das Vorfallregister laufend und begründen Sie jede Entscheidung gegen eine Meldung.
- Lassen Sie sich vom Anbieter zeigen, welche Zugriffe protokolliert werden und wie Sie sie abrufen.
Klären Sie die Risikobeurteilung im Einzelfall mit Ihrer Datenschutzberatung. Für Betriebe in der Schweiz steht die Meldung an den EDÖB daneben; die Unterschiede stellt Datenpanne in der Schweiz zusammen. Fällt die Verarbeitung eines Schweizer Verantwortlichen nach Art. 3 DSGVO unter die Verordnung, etwa weil er Personen in der Union Waren oder Dienstleistungen anbietet, gilt die Meldepflicht nach Art. 33 DSGVO daneben. Für Cloud-ERP mit Dienstleistern in Drittländern kommt die Übermittlungsprüfung hinzu (Cloud-ERP mit US-Bezug).