¶ Meldung an die Aufsichtsbehörde
Beispieldokument: Nicht freigegebenes Muster für die fiktive „Muster GmbH“. Zuständige Behörde, Portal, Zugang, Zeichnungsbefugnis und Ausfallweg sind nicht organisationsbezogen eingetragen oder getestet.
Schwelle: Eine Datenschutzverletzung wird gemeldet, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen.
Frist: Ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden. Bei Verspätung wird die Verzögerung begründet; fehlende Angaben können stufenweise nachgereicht werden.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-VF-06-03 |
| Dokumentenart | Musterverfahren für Behördenmeldung und Nachmeldung |
| Wiki.js-Pfad | /DSGVO/06-Datenschutzverletzungen/Meldung-an-die-Aufsichtsbehoerde |
| Verantwortlich | festzulegende Datenschutzkoordination / befugte Melderolle |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Recht, Incident Lead und betroffene Fachrollen |
| Freigabe durch | dokumentierte befugte Rolle gemäß Eskalationsmatrix |
| Status | Entwurf – Behörde, Portal, Zugänge, Vertretungen und Freigaben nicht organisationsbezogen bestätigt |
| Version | 1.0 |
| Stand | 09.08.2026 |
| Gültig ab | Nach Zuständigkeitsprüfung, Portalfunktionstest und formaler Freigabe |
| Nächste Prüfung | Mindestens halbjährlich sowie bei Behörden-, Portal-, Rollen- oder Rechtsänderungen |
| Schutzklasse | Vertraulich; Meldungsinhalte, Behördenkorrespondenz und Nachweise geschützt |
| DSGVO-Bezug | Erwägungsgründe 85, 87 und 88 sowie Artikel 33, 55 und 56 DSGVO |
| Schnittstellen | Bewertung, Register, Kontakte, Betroffenenbenachrichtigung, Auftragsverarbeiter und parallele Meldepflichten |
Eine fristgerechte Erstmeldung kann auf dem bestätigten Kenntnisstand beruhen; offene Angaben werden ohne weitere unangemessene Verzögerung nachgereicht. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Entscheidungsvoraussetzungen
Vor der Meldung sind soweit verfügbar dokumentiert:
- Incident-ID und Kenntniszeitpunkt,
- bestätigte Datenschutzverletzung nach Artikel 4 Nummer 12,
- Bewertung des Risikos für Rechte und Freiheiten,
- zuständiger Verantwortlicher und betroffene Verarbeitung,
- zuständige Aufsichtsbehörde beziehungsweise federführende Behörde,
- Mindestinhalt, offene Fakten und geplante Nachmeldungen,
- befugte Freigabe und sicherer Übermittlungsweg.
¶ 2. Zuständige Behörde
Die Zuständigkeit wird vorab im Kontaktregister dokumentiert. Für viele private Unternehmen in Deutschland ist eine Landesaufsichtsbehörde zuständig; besondere Zuständigkeiten und grenzüberschreitende Verarbeitung werden gesondert geprüft. Eine allgemeine BfDI-Adresse wird nicht pauschal verwendet.
Bei grenzüberschreitender Verarbeitung werden Hauptniederlassung, federführende und betroffene Behörden geprüft. Bei berechtigten Zweifeln wird mindestens die lokale Behörde am Ort der Verletzung rechtzeitig einbezogen; das weitere Vorgehen wird dokumentiert.
¶ 3. Fristensteuerung
| Zeitpunkt | Dokumentation |
|---|---|
| hinreichende Gewissheit | Fristbeginn, Faktenbasis und verantwortliche Rolle |
| sofortige Eskalation | Bewertungsteam, Priorität und nächste Entscheidung |
| vor 72 Stunden | Erstmeldung oder begründete Nichtmeldung |
| nach Erstmeldung | offene Punkte, Owner, Termin und Nachmeldung |
| verspätete Meldung | konkrete Gründe, Zeitraum und Abhilfemaßnahmen |
| Abschluss | Behördenreferenz, Antworten und vollständiger Registerstand |
Interne Freigaben werden so gestaltet, dass sie die rechtzeitige Meldung nicht verhindern.
¶ 4. Mindestinhalt nach Artikel 33 Absatz 3
Die Meldung enthält mindestens:
- Art der Verletzung sowie, soweit möglich, Kategorien und ungefähre Zahl betroffener Personen,
- Kategorien und ungefähre Zahl betroffener personenbezogener Datensätze,
- Name und Kontaktdaten der oder des Datenschutzbeauftragten oder einer anderen Anlaufstelle,
- Beschreibung der wahrscheinlichen Folgen,
- ergriffene oder vorgeschlagene Abhilfemaßnahmen einschließlich Folgenminderung.
Zusätzlich werden Incident-ID, Zeitlinie, Erkenntnisstand, Ursache, betroffene Systeme, Unsicherheiten und Nachmeldeplan aufgenommen, soweit das Behördenformular dies ermöglicht.
¶ 5. Stufenweise Meldung
Sind innerhalb der Frist nicht alle Informationen verfügbar:
- wird eine belastbare Erstmeldung mit gekennzeichneten Schätzungen abgegeben,
- werden fehlende Punkte und ihre Klärung benannt,
- erhalten Nachmeldungen Versionsnummer und Bezug zur Behördenreferenz,
- werden wesentliche neue Tatsachen ohne weitere unangemessene Verzögerung übermittelt,
- wird der Abschlussstand ausdrücklich dokumentiert.
¶ 6. Freigabe und Übermittlung
Die befugte Rolle prüft Empfänger, Incident-ID, Tatsachen, Bewertung, Pflichtinhalt, Schutz sensibler Details und klare Sprache. Die Meldung wird über das vorgesehene Behördenportal oder den getesteten Ausfallkanal übertragen.
Gespeichert werden Versandzeit, Einreichungsbestätigung, Referenznummer, übermittelte Fassung, Anlagen, Nachmeldungen und Behördenkommunikation. Zugangsdaten und forensische Originale bleiben geschützt.
¶ 7. Nichtmeldung
Eine Nichtmeldung ist nur mit dokumentierter Begründung zulässig, weshalb ein Risiko voraussichtlich nicht besteht. Die Entscheidung enthält Fakten, wirksame Schutzmaßnahmen, Unsicherheiten, Entscheider und Review-Auslöser. Sie bleibt im Datenschutzverletzungsregister nachweisbar.
¶ 8. Nach der Meldung
- weitere Eindämmung und Abhilfe nicht unterbrechen,
- Rückfragen fristgerecht und abgestimmt beantworten,
- neue Erkenntnisse und geänderte Risikobewertung nachmelden,
- Betroffenenbenachrichtigung unabhängig prüfen,
- parallele Pflichten und Vertragsmeldungen steuern,
- Abschluss, Lessons Learned und Wirksamkeitskontrolle durchführen.
¶ 9. Praktische 72-Stunden-Steuerung
Die 72 Stunden sind kein Bearbeitungsziel, sondern eine äußere Vorgabe für die Meldung nach Kenntnis, sofern die Verletzung voraussichtlich zu einem Risiko führt. Interne Abläufe setzen deshalb wesentlich frühere Zielpunkte.
| Zeitraum ab interner Meldung | Erwartete Aktivität |
|---|---|
| sofort | Fall-ID, Eindämmung, Beweissicherung und zuständige Rollen aktivieren |
| erste Stunden | Personenbezug, Verletzungsart, betroffene Systeme, Daten und Gruppen eingrenzen |
| früher interner Entscheidungspunkt | Kenntniszeitpunkt, Risikostufe, Behörde und Meldeweg bestätigen |
| vor Ablauf | Erstmeldung freigeben und technisch erfolgreich übermitteln |
| danach | offene Fakten nachermitteln, Nachmeldungen senden und Angaben konsistent halten |
Fehlende Details sind kein Grund, die Erstmeldung bis zur Vollständigkeit aufzuschieben. Artikel 33 erlaubt stufenweise Informationen, wenn sie nicht gleichzeitig bereitgestellt werden können. Bekannte Fakten, Unsicherheiten und nächste Schritte werden klar getrennt.
¶ 9.1 Kenntniszeitpunkt
Der Kenntniszeitpunkt wird anhand hinreichender Gewissheit bestimmt, dass eine Sicherheitsverletzung zu einer Beeinträchtigung personenbezogener Daten geführt hat. Er ist nicht frei wählbar und wird nicht automatisch auf Abschluss der Forensik verschoben. Bei Auftragsverarbeitern beginnt deren Pflicht zur unverzüglichen Information des Verantwortlichen nach eigener Kenntnis; die Meldepflicht des Verantwortlichen wird gesondert gesteuert.
¶ 10. Meldungsqualität und Konsistenz
Die Meldung verwendet denselben freigegebenen Faktenstand wie Register, Risikobewertung und mögliche Betroffenenbenachrichtigung. Zahlen werden als bestätigt, geschätzt oder Bandbreite gekennzeichnet. Technische Ursachen werden verständlich beschrieben, ohne unnötig neue Angriffsmöglichkeiten offenzulegen.
¶ 10.1 Verspätete Meldung
Ist die Frist überschritten, wird die Meldung nicht weiter verzögert. Sie enthält nachvollziehbare Gründe, Zeitlinie und bereits getroffene Maßnahmen. Interne Überlastung oder Freigabeschleifen werden nicht beschönigt; sie führen zusätzlich zu Korrekturmaßnahmen.
¶ 10.2 Korrektur und Nachmeldung
Neue Erkenntnisse erhalten Referenz auf die ursprüngliche Meldung und erklären, welche Angaben geändert oder ergänzt werden. Widersprüche zwischen Versionen werden begründet. Rückfragen der Aufsicht werden mit Owner, Frist, Freigabe und übermittelter Fassung geführt.
¶ 10.3 Übermittlungsnachweis
Portalbestätigung, Referenznummer, übermittelte Dateien, Zeitpunkt und verwendetes Konto werden geschützt gesichert. Ein Screenshot der Eingabemaske allein beweist nicht den erfolgreichen Eingang. Bei technischem Fehler greift der dokumentierte Ausfallweg; wiederholte Versuche und Kontaktaufnahme werden protokolliert.
¶ 11. Verknüpfte Seiten
- Bewertung von Datenschutzverletzungen
- Datenschutzverletzungsregister
- Kontakt- und Eskalationslisten
- Benachrichtigung betroffener Personen
- Auftragsverarbeitung
¶ 12. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 33, 55 und 56 – EUR-Lex
- EDSA-Leitlinien 9/2022 – finale Version 2.0
- BfDI-Kontaktfinder und Hinweise zur Zuständigkeit
¶ 13. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Meldeentscheidungen, Behördenkommunikation, Fristensteuerung und Nachweisen
Erstgespräch unter info@smct-management.de vereinbaren
¶ 14. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 09.08.2026 | 72-Stunden-Ablauf, Kenntniszeitpunkt, stufenweise Meldung, Verspätung, Nachmeldung und Übermittlungsnachweis ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren mit Zuständigkeit, 72-Stunden-Steuerung, Mindestinhalt, stufenweiser Meldung, Freigabe, Nichtmeldung und Behördennachweis erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |