72-Stunden-Frist bei Datenschutzverletzungen: Beginn des Countdowns

Die 72-Stunden-Frist bei Datenschutzverletzungen beginnt in dem Moment zu laufen, in dem Sie hinreichende Gewissheit haben, dass eine Verletzung des Schutzes personenbezogener Daten eingetreten ist. Dies ist nicht gleichbedeutend damit, dass auch das letzte Detail bestätigt sein muss. Wenn Sie eine Verletzung vermuten, aber auf einen vollständigen forensischen Bericht warten, haben Sie die Frist bereits versäumt. Die GDPR nennt zunächst „unverzüglich“ und ergänzt dann die äußerste Frist von 72 Stunden. Selbst wenn Sie Ihre Untersuchung nicht abschließen können, müssen Sie daher die Aufsichtsbehörde innerhalb von drei Tagen nach der ersten Kenntnis davon benachrichtigen, dass etwas nicht stimmt.

Um nicht in die Falle zu tappen, denken Sie daran, dass die Schwelle für das „Bekanntwerden“ niedrig ist. Wenn eine Systemwarnung auf ungewöhnliche Zugriffe auf eine Datenbank mit personenbezogenen Daten hinweist, reicht dies aus, um die Frist in Gang zu setzen. Sie benötigen keinen Nachweis dafür, dass Daten tatsächlich exfiltriert wurden. Ein nützlicher Merksatz: Betrachten Sie das 72-Stunden-Zeitfenster als einen Countdown, der bei einem begründeten Verdacht beginnt, nicht erst bei einem bestätigten Vorfall. Ein weiterer Hinweis: Wird in einer Frage eine am Freitagnachmittag entdeckte Verletzung beschrieben, läuft die Frist auch am Wochenende weiter. Wochenenden und gesetzliche Feiertage unterbrechen die 72 Stunden nicht.

Um sich diesen Punkt einzuprägen, verbinden Sie die Zahl 72 mit dem Ausdruck „hinreichende Gewissheit“. Stellen Sie sich einen Sicherheitsanalysten vor, der sagt: „Ich bin hinreichend sicher, dass eine Datenschutzverletzung vorliegt“, und sofort einen 72-Stunden-Timer stellt. Wenn Sie ein Szenario sehen, in dem der Verantwortliche vor der Meldung eine vollständige Untersuchung abwartet, liegt eindeutig ein Verstoß vor. Die Frist beginnt beim Verdacht, nicht erst bei absoluter Gewissheit.