Meldepflicht bei Datenpannen in der Dateifreigabe

DSGVO Artikel 33 gibt Verantwortlichen 72 Stunden ab Kenntnisnahme einer Datenschutzverletzung, um die zuständige Aufsichtsbehörde zu benachrichtigen — sofern die Verletzung nicht voraussichtlich zu einem Risiko für natürliche Personen führt. Artikel 34 schreibt zusätzlich die direkte Benachrichtigung betroffener Personen vor, wenn das Risiko voraussichtlich hoch ist, und zwar unverzüglich. Für Dateifreigabeplattformen kann eine Datenpanne bedeuten: ein über Protokolle exponierter Download-Link, ein falsch konfigurierter S3-Bucket, ein kompromittiertes Admin-Konto oder ein verlorener Laptop mit unverschlüsseltem Cache. Wer das 72-Stunden-Fenster ohne Begründung verpasst, riskiert Bußgelder nach Artikel 83 Abs. 4 von bis zu 2 % des weltweiten Umsatzes.

Was als „Datenschutzverletzung" gilt

Artikel 4 Nr. 12 definiert sie als Verletzung der Sicherheit, die zur versehentlichen oder rechtswidrigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Die EDSA-Leitlinien 9/2022 (angenommen Oktober 2022, WP250 ersetzend) kategorisieren Verletzungen als Vertraulichkeitsverletzung (unbefugte Offenlegung oder Zugang), Integritätsverletzung (unbefugte Veränderung) oder Verfügbarkeitsverletzung (Verlust oder Vernichtung). Ein aus Versehen auf Twitter geteilter Dateiübertragungslink: Vertraulichkeitsverletzung. Ransomware, die die Übertragungs-Datenbank verschlüsselt: Verfügbarkeitsverletzung. Ein Insider, der Rechnungs-PDFs vor der Zustellung abändert: Integritätsverletzung. Alle drei lösen die Prüfung nach Artikel 33 aus.

Wann die 72-Stunden-Frist beginnt

Die Frist beginnt, wenn der Verantwortliche „Kenntnis" erlangt — wenn ein hinreichender Grad an Gewissheit besteht, dass ein Sicherheitsvorfall eingetreten ist, der zur Kompromittierung geführt hat. Ermittlungszeit vor Erreichen dieser Gewissheit zählt nicht gegen die Frist, aber Sie können die Ermittlung nicht verzögern, um die Frist hinauszuschieben. ICO und CNIL haben Verantwortliche bereits für übermäßige Ermittlungsverzögerungen mit Bußgeldern belegt. Faustregel: 24 Stunden vom ersten Signal (SIEM-Alarm, Mitarbeitermeldung, externe Benachrichtigung) bis zur Kenntnisnahme-Entscheidung. Wird mehr Zeit benötigt, dokumentieren Sie warum. Die Benachrichtigung des Auftragsverarbeiters an den Verantwortlichen ist davon getrennt — typischerweise 24–48 Stunden nach dem AVV.

Datenpannen ohne Meldepflicht

Artikel 33 Abs. 1 nimmt Verletzungen aus, bei denen ein Risiko für Rechte und Freiheiten voraussichtlich unwahrscheinlich ist. Der Verantwortliche entscheidet auf Basis einer Risikobewertung. Die EDSA-Leitlinien 9/2022 geben Beispiele: gestohlene verschlüsselte Daten, bei denen die Verschlüsselung stark und der Schlüssel nicht kompromittiert ist (kein Offenlegungsrisiko), vorübergehender Verfügbarkeitsverlust mit schneller Wiederherstellung und ohne Datenbeschädigung. Ein Dateiübertragungsdienst mit clientseitiger AES-256-GCM-Verschlüsselung, der Chiffretext an Diebe verliert, hat keine Offenlegungsverletzung, weil der Dieb nutzlose Blobs hält. Dokumentieren Sie die Bewertung — Regulatoren wollen die Begründung sehen, nicht nur das Ergebnis.

Der Inhalt der Meldung nach Artikel 33 Abs. 3

Die Meldung an die Aufsichtsbehörde muss enthalten: Art der Verletzung einschließlich Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, Name und Kontaktdaten des DSB oder anderer Ansprechpartner, wahrscheinliche Folgen der Verletzung, ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Abmilderung der Auswirkungen. Wenn nicht alle Tatsachen innerhalb von 72 Stunden vorliegen, erlaubt Artikel 33 Abs. 4 eine gestufte Meldung. Reichen Sie zunächst mit vorhandenen Informationen ein, kennzeichnen Sie die Meldung als vorläufig und ergänzen Sie sie im Laufe der Ermittlung. Die meisten Datenschutzbehörden (BfDI, CNIL, ICO) stellen Online-Portale mit strukturierten Formularen bereit.

Benachrichtigung betroffener Personen nach Artikel 34

Wenn die Verletzung voraussichtlich ein hohes Risiko für betroffene Personen mit sich bringt, verlangt Artikel 34 deren direkte Benachrichtigung in klarer und verständlicher Sprache. Ausnahmen nach Artikel 34 Abs. 3: Die Daten waren verschlüsselt (stark genug, um sie unlesbar zu machen), nachfolgende Maßnahmen machen das hohe Risiko unwahrscheinlich, oder eine individuelle Benachrichtigung würde unverhältnismäßigen Aufwand erfordern (öffentliche Bekanntmachung tritt an die Stelle). Bei einem Dateileck mit unverschlüsselten HR-Dateien ist eine direkte Benachrichtigung Pflicht. Bei einem Chiffretext-Leak ohne kompromittierte Schlüssel ist eine Benachrichtigung in der Regel nicht erforderlich — verweisen Sie auf Artikel 34 Abs. 3 lit. a.

Aufbau eines Notfallreaktions-Handbuchs

Ein funktionierendes Handbuch umfasst: (1) Erkennungsquellen (SIEM-Alarme, Nutzermeldungen, externe Benachrichtigungen) und Eskalationspfade; (2) Triage-Checkliste zur Schweregrad-Klassifizierung; (3) Eindämmungsmaßnahmen (Schlüssel widerrufen, IPs sperren, Systeme isolieren); (4) Beweissicherung (Festplattenabbilder, Log-Exporte) für Forensik und Behördenanfragen; (5) Entscheidungsbaum für Meldepflichten gemäß Artikel-33-Kriterien; (6) Kommunikationsvorlagen für die Datenschutzbehörde, betroffene Personen, Kunden und die Öffentlichkeit; (7) Nachbesprechung mit dokumentierten Lektionen. Überprüfen Sie das Handbuch vierteljährlich und testen Sie es jährlich in einer Tabletop-Übung.

Nachweise für die Aufsichtsbehörde

BfDI, CNIL und ICO stellen nach einer Datenpanne konsistente Fragen: Zeitstrahl von Erkennung und Reaktion, Umfang der betroffenen Daten, vorhandene technische und organisatorische Maßnahmen vor der Verletzung, danach ergriffene Maßnahmen, Kommunikation mit Betroffenen und ob die Verletzung hätte verhindert werden können. Bewahren Sie folgende Unterlagen auf: SIEM-Protokolle rund um das Vorfallsfenster, Änderungsprotokolle der betroffenen Systeme, Zugriffsprotokolle mit auffälligen Aktivitäten, Sicherheits-Dokumentation (ISO-27001-Erklärung zur Anwendbarkeit, DSFA) und ein detaillierter Nachbericht. Behörden verhängen besonders hohe Bußgelder bei unvollständigen Protokollen — das signalisiert generell schwache Sicherheit.

Benachrichtigung vom Auftragsverarbeiter an den Verantwortlichen

Wenn Ihr Dateiübertragungsdienst ein Auftragsverarbeiter ist, verpflichtet Artikel 33 Abs. 2 Sie, den Verantwortlichen nach Kenntnisnahme einer Verletzung „unverzüglich" zu benachrichtigen. Die meisten AVVs legen 24–48 Stunden fest. Die Benachrichtigung des Auftragsverarbeiters sollte dem Verantwortlichen genügend Informationen liefern, um selbst eine Artikel-33-Abs.-1-Meldung zu erstellen: Was ist passiert, wann, Umfang, betroffene Datenkategorien, erste Reaktion. Der Verantwortliche reicht dann die behördliche Meldung ein. Ein AVV, der die Auftragsverarbeiter-Benachrichtigung über 48 Stunden hinaus verzögert oder den Verantwortlichen zum Anfragen verpflichtet, ist nicht DSGVO-konform.

Grenzüberschreitende Koordination bei Datenpannen

Für multinationale Verantwortliche identifizieren Sie die federführende Aufsichtsbehörde nach Artikel 56 (die Behörde der Hauptniederlassung). Reichen Sie bei der federführenden Behörde ein, die dann über den One-Stop-Shop-Mechanismus mit den betroffenen Behörden koordiniert. Für Nicht-EU-Verantwortliche ohne Niederlassung in der EU, die aber Waren oder Dienstleistungen an EU-Bewohner anbieten, reichen Sie bei jeder betroffenen Behörde ein, wo betroffene Personen ansässig sind. Das wird schnell unübersichtlich — erwägen Sie die Bestellung eines Vertreters nach Artikel 27, der die Kommunikation zentralisiert. Halten Sie eine aktuelle Liste der Datenschutzbehörden mit ihren Online-Meldungsportalen im Handbuch bereit.

Behebung und das Folgebußgeld-Risiko

Die Meldung ist kein Abschluss. Artikel 83 Abs. 2 legt Faktoren für Bußgelder fest, darunter den Grad der Verantwortlichkeit des Verantwortlichen, ergriffene Präventivmaßnahmen und Kooperationsbereitschaft. Nachsorgende Maßnahmen — verbesserte Verschlüsselung, Zugriffskontrollen, DSFA-Überprüfung, Mitarbeiterschulungen — reduzieren Bußgelder direkt. Dienste mit solider Architektur von Anfang an (clientseitige Verschlüsselung, kurze Aufbewahrungsfristen, dokumentierte AVVs) — wie HexaTransfers Ansatz — minimieren sowohl die Angriffsfläche als auch die Bußgeldexposition.

Ein 72-Stunden-Compliance-Kalender

Stunde 0: Panne-Signal eingetroffen. Stunde 4: Erste Triage abgeschlossen, Vorfallsverantwortlicher bestimmt. Stunde 12: Umfangsbewertung abgeschlossen, vorläufige Artikel-33-Entscheidung getroffen. Stunde 24: Auftragsverarbeiter benachrichtigt Verantwortliche (falls zutreffend). Stunde 48: Entwurf der Artikel-33-Meldung von DSB und Rechtsabteilung geprüft. Stunde 72: Meldung bei der federführenden Datenschutzbehörde eingereicht. Tag 5–7: Betroffenenbenachrichtigungen nach Artikel 34 versandt. Tag 30: Nachbericht intern veröffentlicht. Tag 90: Behebungsplan abgeschlossen und dokumentiert.

Früh melden, regelmäßig melden und den Nachweispfad sauber halten. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.