I. Zwei Informationsadressaten, unterschiedliche Voraussetzungen
2Art. 33 Abs. 1 DSGVO sieht die unverzügliche Behördenmeldung möglichst binnen 72 Stunden nach Bekanntwerden vor. Sie entfällt, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Art. 34 Abs. 1 verlangt dagegen bei voraussichtlich hohem Risiko die unverzügliche Benachrichtigung der betroffenen Personen. Eine einheitliche 72-Stunden-Frist für beide Vorgänge verfehlt diese Unterscheidung.1
II. Unsicherheit rechtfertigt kein unbegrenztes Schweigen
3Gegen eine frühe Information spricht, dass voreilige Tatsachenbehauptungen unnötig beunruhigen können. Dieser Einwand verdient Gewicht. Er trägt jedoch kein generelles Zurückstellen bis zur vollständigen Rekonstruktion des Angriffs: Art. 33 Abs. 4 erlaubt ausdrücklich eine schrittweise Ergänzung, wenn Informationen nicht gleichzeitig bereitgestellt werden können. Die Vorschrift betrifft die Meldung an die Aufsichtsbehörde.2
4Als organisatorischer Ansatz bietet sich ein Entscheidungsprotokoll mit getrennten Angaben zu gesicherten Tatsachen, bewerteten Risiken und veranlassten Maßnahmen an. Jede offene Annahme erhält einen Verantwortlichen und einen erneuten Prüfzeitpunkt. Hypothesen dürfen dabei nicht unbemerkt zu Feststellungen werden. Der Nutzen liegt in der überprüfbaren Entwicklung des Erkenntnisstands, nicht in einer möglichst umfangreichen Sammlung ungeordneter Notizen.
5Eine Gegenposition könnte einwenden, dass zusätzliche Dokumentation in der akuten Krise Ressourcen bindet. Dem lässt sich durch ein knappes, fortschreibbares Protokoll begegnen. Es sollte die operative Ursachenklärung unterstützen, nicht durch doppelte Berichtspflichten verdrängen. Die vorgeschlagene Struktur ist keine gesetzlich vorgeschriebene Formularvorlage.
III. Konsequenz für Incident-Pläne und Beratung
6Behördenmeldung und Betroffeneninformation sind getrennt zu prüfen. Die Dokumentation nach Art. 33 Abs. 5 und die Ausnahmen des Art. 34 Abs. 3 haben unterschiedliche Funktionen. Eine ohne Risikoprüfung versandte Standardnachricht wäre ebenso unzureichend wie das pauschale Warten auf einen abschließenden Forensikbericht.3
7Für die praktische Vorbereitung sollten Ansprechpartner, Eskalationswege und Ergänzungszuständigkeiten bereits vor dem Vorfall feststehen. Im Einzelfall bleibt zu klären, wann eine relevante Verletzung bekannt wurde und welche Risiken tatsächlich bestanden. Der Beitrag schlägt hierfür einen Arbeitsablauf vor; er ersetzt weder diese Tatsachenfeststellung noch die vertiefte rechtliche Prüfung eines konkreten Sicherheitsvorfalls.
Fußnoten
Quelle und Einordnung
Normbezogene Einordnung der Art. 33 und 34 DSGVO. Anlass ist der Beitrag von Felix Glocker und Anna Lena Füllsack, Erstmal in Ruhe prüfen reicht nicht, beck-aktuell vom 11.09.2026. Der dort behandelte Berliner Sachverhalt wird hier nicht abschließend bewertet. Eine vertiefte Untersuchung umstrittener Grenzfälle des Bekanntwerdens bleibt mangels ausgewerteter Originalkommentierungen ausdrücklich außerhalb dieses Beitrags.