Datenpanne im Onlineshop (DSGVO): Meldepflichten und Ablauf

Was die DSGVO bei einer Datenpanne verlangt

Sobald in Ihrem Shop personenbezogene Daten betroffen sind, greift Art. 33 der Datenschutz-Grundverordnung (DSGVO), der Verordnung (EU) 2016/679. Die Verordnung gilt in Deutschland und Österreich unmittelbar und ist ab dem 25. Mai 2018 anzuwenden (Art. 99 Abs. 2 DSGVO).

Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 4 Nr. 12 DSGVO jede Sicherheitsverletzung, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst ist damit auch der bloße unbefugte Zugriff: Eine Verletzung liegt schon vor, wenn sich jemand Zugang zu Daten verschafft hat, ohne sie offenzulegen oder zu verändern (Art. 4 Nr. 12 DSGVO). Für den Shop sind drei Formen zu unterscheiden: Daten sind an Unbefugte gelangt (Vertraulichkeit), sie wurden unbemerkt verändert (Integrität) oder sie stehen nicht mehr zur Verfügung (Verfügbarkeit).

Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde; die Frist läuft damit ab dem Bekanntwerden und nicht ab dem Beginn des Vorfalls, und als Zielzeit nennt die Vorschrift 72 Stunden. Bekannt ist die Verletzung nach Auffassung des Europäischen Datenschutzausschusses (EDSA) nicht schon beim ersten Verdacht, sondern wenn hinreichende Gewissheit über einen Sicherheitsvorfall mit Beeinträchtigung personenbezogener Daten besteht. Eine kurze erste Untersuchung darf vorausgehen; sie soll schnellstmöglich klären, ob eine Verletzung vorliegt (EDSA-Leitlinien 9/2022, Version 2.0 vom 28. März 2023, Rn. 31 bis 34).

Zwei Fälle zeigen die Grenze. Beispiel: Ist die Kundendatenbank nach einem Konfigurationsfehler zwei Stunden lang ohne Anmeldung erreichbar und verzeichnen die Protokolle Abrufe unbekannter Adressen, besteht ein Risiko; die Meldung ist fällig. Stand der Warenwirtschaft dagegen für eine geplante Wartung still, liegt keine Verletzung vor (EDSA-Leitlinien 9/2022, Rn. 21). Ein ungeplanter Ausfall, durch den Bestell- und Kundendaten nicht verfügbar sind, ist dagegen zu bewerten und zu dokumentieren (Rn. 22).

Wen die Meldepflicht trifft

Adressat der Pflicht ist der Verantwortliche nach Art. 4 Nr. 7 DSGVO, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet: der Shopbetreiber. Wer Daten nur im Auftrag verarbeitet, ist Auftragsverarbeiter. Innerhalb des Anwendungsbereichs der Verordnung trifft die Pflicht jeden Shop, unabhängig von seiner Größe; Art. 33 Abs. 1 DSGVO knüpft allein an die Verletzung an.

Die Pflicht hängt an personenbezogenen Daten, nicht am Geschäftsvorgang. Namen, Anschriften, E-Mail-Adressen, Kontodaten und Zugangsdaten der Kundschaft sind personenbezogene Daten, ebenso die Kontaktdaten der Ansprechpersonen im Geschäftskundenbereich; eine Umsatzstatistik ohne Bezug zu Personen fällt nicht darunter (Art. 1 Abs. 1 und Art. 4 Nr. 1 DSGVO).

Räumlich folgt die Anwendung aus Art. 3 DSGVO. Ein Shop mit Niederlassung in Deutschland oder Österreich ist erfasst, gleichgültig wo die Verarbeitung stattfindet (Abs. 1). Ein Shop ohne Niederlassung in der Union, etwa mit Sitz in der Schweiz, ist erfasst, wenn die Verarbeitung damit zusammenhängt, dass er betroffenen Personen in der Union Waren oder Dienstleistungen anbietet, unabhängig davon, ob eine Zahlung zu leisten ist (Abs. 2 Buchst. a), oder dass er das Verhalten betroffener Personen in der Union beobachtet (Abs. 2 Buchst. b). Auf einen abgeschlossenen Kauf kommt es dabei nicht an; schon das Anbieten genügt. Soweit weder eine Niederlassung in der Union noch eine dieser Anknüpfungen vorliegt, ist die Verordnung nicht anwendbar; für die Bearbeitung durch einen Schweizer Verantwortlichen gilt dann das dortige Recht (Meldung an den EDÖB in der Schweiz).

Zuständig ist die Aufsichtsbehörde nach Art. 55 DSGVO, bei grenzüberschreitender Verarbeitung die federführende nach Art. 56. Näher bestimmt sie das nationale Recht: in Deutschland die nach Landesrecht zuständigen Behörden (§ 40 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Verarbeitet ein Dienstleister Daten für Ihren Shop, etwa ein Hoster oder ein Newsletter-Versand, muss er Ihnen jede Verletzung, von der er Kenntnis erlangt, unverzüglich melden (Art. 33 Abs. 2 DSGVO). Der Auftragsverarbeitungsvertrag soll diese Meldung regeln; die Verordnung verlangt außerdem, dass der Dienstleister Sie bei den Pflichten aus den Artikeln 32 bis 36 unterstützt (Art. 28 Abs. 3 Buchst. f DSGVO). Was zu regeln ist, steht im Artikel Auftragsverarbeitungsvertrag für Shop-Dienstleister.

Die ersten 72 Stunden: Zeitplan

Die Verordnung verlangt vorbeugend geeignete technische und organisatorische Maßnahmen, mit denen Sie die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit Ihrer Systeme auf Dauer sicherstellen und die Verfügbarkeit der Daten bei einem physischen oder technischen Zwischenfall rasch wiederherstellen können (Art. 32 Abs. 1 Buchst. b und c DSGVO); für den Ablauf danach empfiehlt der EDSA ein dokumentiertes Meldeverfahren (EDSA-Leitlinien 9/2022, Rn. 128).

Zeitfenster	Was Sie tun	Grundlage
Bei Kenntnis (Stunde 0)	Vorfall und Zeitpunkt der Kenntnis festhalten; Zugänge sperren, Passwörter und Schlüssel wechseln, Angriffszugang schließen	Art. 33 Abs. 1 und 5 DSGVO
Erste Stunden	Umfang abgrenzen: Datenkategorien, Zahl der Kunden und Datensätze; Protokolle und Sicherungen sichern	Art. 33 Abs. 3 Buchst. a DSGVO
Bis etwa 24 Stunden nach Kenntnis	Risiko bewerten: Art der Verletzung, Sensibilität der Daten, Identifizierbarkeit, Schwere und Dauer der Folgen, Zahl der Betroffenen	EDSA-Leitlinien 9/2022, Rn. 105 bis 118
Bis 72 Stunden nach Kenntnis	Meldung absenden, wenn ein Risiko nicht ausgeschlossen ist; offene Punkte nachreichen	Art. 33 Abs. 1, 3 und 4 DSGVO
Parallel, ohne Frist	Bei voraussichtlich hohem Risiko die Kunden unverzüglich und in klarer, einfacher Sprache benachrichtigen, außer in den Fällen des Art. 34 Abs. 3 DSGVO	Art. 34 Abs. 1 bis 3 DSGVO
Nach der Meldung	Abhilfemaßnahmen nachziehen, Nachmeldungen absenden, Entscheidungen begründen und dokumentieren	Art. 33 Abs. 5 DSGVO; EDSA-Leitlinien 9/2022, Rn. 121 bis 129

Eine spätere Meldung muss die Verzögerung begründen (Art. 33 Abs. 1 Satz 2 DSGVO); nach Auffassung des EDSA kann eine verzögerte Meldung zulässig sein, sie darf aber nicht zur regelmäßigen Vorgehensweise werden (EDSA-Leitlinien 9/2022, Rn. 62 und 65). Die beigefügte Begründung macht die Verspätung nicht automatisch zulässig.

Was in den Meldetext gehört

Art. 33 Abs. 3 DSGVO verlangt mindestens vier Angaben. Die Verordnung schreibt keinen Formulartext vor; verlangt Ihre Aufsichtsbehörde ein eigenes Formular, tragen Sie diese Angaben in dessen Felder ein.

Punkt	Was Sie eintragen	Grundlage
Art der Verletzung	Was geschehen ist, wann es bemerkt wurde, betroffene Datenkategorien, ungefähre Zahl der Personen und Datensätze	Art. 33 Abs. 3 Buchst. a DSGVO
Ansprechstelle	Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle	Art. 33 Abs. 3 Buchst. b DSGVO
Wahrscheinliche Folgen	Was den Betroffenen droht, etwa Kontozugriff, Identitätsmissbrauch oder Werbeansprache	Art. 33 Abs. 3 Buchst. c DSGVO
Maßnahmen	Was Sie zur Behebung unternommen oder vorgeschlagen haben und wie Sie die Folgen abmildern	Art. 33 Abs. 3 Buchst. d DSGVO

Eine Vorlage entlang dieser vier Punkte, mit erfundenen Angaben:

Meldung einer Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO)

1. Verantwortlicher: Muster Handel GmbH, Musterstraße 1, 10115 Berlin, vertreten durch die Geschäftsführung
2. Ansprechstelle: Datenschutzbeauftragte/r, datenschutz@muster-handel.example, Telefon ...
3. Art der Verletzung: Am [Datum, Uhrzeit] wurde festgestellt, dass ... Betroffen sind Name, Anschrift,
   E-Mail-Adresse und Bestellhistorie von ungefähr [Zahl] Kundinnen und Kunden, insgesamt ungefähr
   [Zahl] Datensätze. Kenntnis entstand am [Datum, Uhrzeit].
4. Wahrscheinliche Folgen: ... (etwa Zugriff auf Kundenkonto, Werbeansprache, Identitätsmissbrauch)
5. Ergriffene und vorgeschlagene Maßnahmen: Zugang gesperrt, Passwörter zurückgesetzt, Protokolle
   gesichert, Sicherung eingespielt, ...; die Kunden werden am [Datum] benachrichtigt.
6. Fehlende Angaben werden bis [Datum] nachgereicht (Art. 33 Abs. 4 DSGVO).
7. Begründung für eine Überschreitung der 72 Stunden: ... (nur wenn die Meldung später erfolgt)

Der Text ist eine Struktur, kein amtliches Muster. Zahlen dürfen ungefähr sein, und fehlende Angaben sind kein Grund, die Meldung aufzuschieben (EDSA-Leitlinien 9/2022, Rn. 52). Erweist sich eine Meldung später als gegenstandslos, reichen Sie die neuen Erkenntnisse nach; der EDSA sieht darin keinen Sanktionsfall (Rn. 60).

Wann Sie die Kunden informieren müssen

Zusätzlich zur Meldung müssen Sie die betroffenen Personen unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat (Art. 34 Abs. 1 DSGVO). Diese Schwelle liegt höher als die der Meldung (EDSA-Leitlinien 9/2022, Rn. 82).

Die Benachrichtigung beschreibt in klarer und einfacher Sprache die Art der Verletzung und enthält mindestens die Angaben nach Art. 33 Abs. 3 Buchstaben b, c und d DSGVO, also Ansprechstelle, wahrscheinliche Folgen und Maßnahmen (Art. 34 Abs. 2 DSGVO). Der EDSA hält es für sinnvoll, den Betroffenen eigene Schutzmaßnahmen zu empfehlen, etwa das Zurücksetzen von Passwörtern (Rn. 87). Der EDSA empfiehlt eine eigene Mitteilung statt eines Newsletters und hält eine ausschließliche Pressemitteilung für kein wirksames Mittel (Rn. 89 und 90).

Art. 34 Abs. 3 DSGVO befreit in drei Fällen: wenn Sicherheitsvorkehrungen wie eine wirksame Verschlüsselung die Daten für Unbefugte unzugänglich machen (Buchst. a), wenn spätere Maßnahmen das hohe Risiko beseitigen (Buchst. b) oder wenn der Aufwand unverhältnismäßig wäre, dann mit öffentlicher Bekanntmachung (Buchst. c). Diese Ausnahmen betreffen nur die Benachrichtigung. Ob auch die Meldung entfällt, entscheidet die Risikobewertung; fehlt die Sicherungskopie, ist die Datenverfügbarkeit beeinträchtigt und das Risiko neu zu bewerten (EDSA-Leitlinien 9/2022, Rn. 79). Die Behörde kann eine unterlassene Benachrichtigung nachholen lassen (Art. 34 Abs. 4 DSGVO).

Was bei einem Verstoß droht

Verstöße gegen Art. 33 und 34 DSGVO fallen unter Art. 83 Abs. 4 Buchst. a DSGVO: Geldbuße bis 10.000.000 Euro oder im Fall eines Unternehmens bis 2 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Nach Auffassung des EDSA sind die unterlassene Meldung und fehlende Sicherheitsmaßnahmen nach Art. 32 DSGVO zwei getrennte Verstöße, die die Behörde nebeneinander ahnden kann (EDSA-Leitlinien 9/2022, Rn. 28).

Die Aufsichtsbehörde kann außerdem verwarnen und Maßnahmen anordnen, etwa die Verarbeitung beschränken oder Sie anweisen, die Betroffenen zu benachrichtigen (Art. 58 Abs. 2 Buchst. b, d, e, f und i DSGVO). Auch unvollständige Unterlagen zur Verletzung können eine Maßnahme nach Art. 58 DSGVO oder eine Geldbuße nach sich ziehen (EDSA-Leitlinien 9/2022, Rn. 129).

Checkliste für den Notfall

• Notfallplan mit Ansprechpersonen, Erreichbarkeiten außerhalb der Geschäftszeiten, dokumentiertem Meldeverfahren und der Vorlage nach Art. 33 Abs. 3 DSGVO (EDSA-Leitlinien 9/2022, Rn. 128).
• Im Auftragsverarbeitungsvertrag die unverzügliche Meldung jeder Verletzung an Sie vereinbaren (Art. 28 Abs. 3 Buchst. f, Art. 33 Abs. 2 DSGVO).
• Verletzungsverzeichnis führen, auch für nicht gemeldete Fälle, mit Fakten, Folgen und Abhilfemaßnahmen (Art. 33 Abs. 5 DSGVO).
• Für ein voraussichtlich hohes Risiko einen eigenen Mitteilungstext und einen Kontaktweg zu den Kunden vorbereiten, der nicht über den Newsletter läuft, und die Ausnahmen des Art. 34 Abs. 3 DSGVO prüfen: wirksame Verschlüsselung, nachträgliche Beseitigung des hohen Risikos, öffentliche Bekanntmachung bei unverhältnismäßigem Aufwand (Art. 34 Abs. 1 bis 3 DSGVO).
• Entscheidungen begründen, besonders wenn Sie auf eine Meldung verzichten (EDSA-Leitlinien 9/2022, Rn. 125).