meldung-art-33-pflichtangaben

Meldung nach Art. 33 DSGVO — Pflichtangaben generisch

Triage — kläre vor der Bearbeitung

1. Welche Aufsichtsbehörde ist zuständig (Sitzland-Prinzip nach Art. 55; Lead Authority Art. 56)?
2. Welches Online-Formular oder welcher Postweg ist vorgegeben?
3. Welche Fristberechnung — wann begann die qualifizierte Kenntnis?
4. Liegen Daten Art. 9 DSGVO oder § 203 StGB-Geheimnisse vor?
5. Ist eine vorläufige Meldung sinnvoll und welche Nachmeldungen sind geplant?

• Was will der Mandant wirklich erreichen? (Behördentauglicher Erstmelde-Text in 72 h; Vermeidung von Rückfragen)

Rechtsgrundlagen

• Art. 33 Abs. 1 DSGVO Meldepflicht binnen 72 Stunden.
• Art. 33 Abs. 3 DSGVO Pflichtangaben.
• Art. 33 Abs. 4 DSGVO schrittweise Übermittlung.
• Art. 33 Abs. 5 DSGVO Dokumentationspflicht.
• Art. 55; 56 DSGVO Zuständigkeit.
• § 51 BlnDSG / Landesdatenschutzgesetze für öffentliche Stellen.

Aktuelle Rechtsprechung

Nicht aus Modellwissen; aktuelle Bußgeldfälle wegen unvollständiger oder verspäteter Meldungen vor Ausgabe verifizieren.

Zentrale Normen

Art. 33 Abs. 1; Art. 33 Abs. 3 lit. a-d; Art. 33 Abs. 4; Art. 33 Abs. 5; Art. 55; Art. 56 DSGVO; § 51 BlnDSG.

Berliner Struktur als Goldstandard

Die Meldeformular-Vorlage der Berliner Beauftragten für Datenschutz und Informationsfreiheit deckt strukturell alle Pflichtangaben nach Art. 33 Abs. 3 DSGVO ab und wird als inhaltliche Prüfliste verwendet. Die Meldung gliedert sich in sechs Bloecke:

I. Wo ist die Datenpanne passiert?

• Verantwortliche Stelle (Unternehmen, Verein, Praxis, Behörde) — Name, Anschrift, Webseite, Branche.
• Angaben zur meldenden Person — Name, Funktion, dienstliche E-Mail, Telefon.

II. Was ist passiert?

• Art der Datenpanne (Vertraulichkeit, Integritaet, Verfuegbarkeit; konkrete Kategorie).
• Beschreibung — was ist passiert; welche Fehler oder Sicherheitsluecken; welche technischen Systeme und Dienste.
• Auftragsverarbeiter beteiligt — falls ja Name und Anschrift.
• Beginn und Dauer der Datenpanne; ggf. fruehestmoeglichen Zeitpunkt.
• Datum der Kenntnisnahme (loest 72-Stunden-Frist aus).
• Betroffene Datenarten — Namen; Adressen; E-Mail-Adressen; Standort; Geburtsdatum; Passwoerter; Personalausweisnummer; Pass; Steuernummer; Bankdaten; wirtschaftliche Verhältnisse; Straftaten; politische Meinungen; religioese Ueberzeugungen; Gewerkschaftszugehoerigkeit; Gesundheit; Sexualitaet; ethnische Herkunft; Biometrie; Identifikationsnummern; Fotos/Videos; unbekannt.
• Art. 9 DSGVO-Daten ja/nein/nicht bekannt.
• Kategorien betroffener Personen — Mitarbeiter; Nutzer; Kunden; Patienten; Politiker; Kinder/Minderjaehrige; Personen öffentlichen Lebens; andere.
• Anzahl betroffener Personen (Obergrenze).
• Anzahl betroffener Datensaetze.
• Wahrscheinliche Folgen für Betroffene — Geheimnisoffenbarung; wirtschaftliche Nachteile; finanzieller Schaden; Bloss­stellung; Rufschaedigung; Verlust des Arbeitsplatzes; Existenzgefaehrdung; Lebensgefaehrdung; Diskriminierung; gesellschaftliche Nachteile; Identitaetsdiebstahl; Aufhebung Pseudonymisierung; andere.

III. Welche Gegenmassnahmen wurden ergriffen oder werden vorgeschlagen?

• Bereits eingeleitete und geplante Gegenmassnahmen zur Schadensminderung und zur kuenftigen Verhinderung.
• Vorbestehende technische und organisatorische Maßnahmen sowie Begruendung, weswegen sie nicht ausgereicht haben.
• Information der Betroffenen ja/nein; wie und wann; welche Empfehlungen; bei nein Begruendung zu Art. 34 DSGVO.

IV. Sonstige Mitteilungen an die Aufsichtsbehoerde

• Andere Behörden eingeschaltet (mit Aktenzeichen).
• Strafanzeige (Dienststelle, Aktenzeichen).
• Sonstige Hinweise.

V. Dokumente

• Forensischer Untersuchungsbericht.
• Auflistung der technischen und organisatorischen Maßnahmen.
• Muster Benachrichtigungsschreiben Art. 34 DSGVO.
• Schlüsselmaterial (PGP).

VI. Abschluss

• Vorlaeufige Meldung ja/nein; bei vorläufiger Meldung Ergaenzung binnen 14 Tagen.

Diese sechs Bloecke werden in jeder Behörden-spezifischen Meldung adressiert; die Reihenfolge kann je nach Formular variieren.

Praxisformulierung — Meldungstext Reihenfolge Meldung-vor-Bewertung

Die Meldung wird als Fließtext oder als ausgefülltes Online-Formular eingereicht. Reihenfolge der Inhalte:

1. Verantwortliche Stelle und meldende Person (Block I).
2. Was ist passiert — Beschreibung der Verletzung; Beginn und Kenntnisnahme; Datenarten; Anzahl Betroffener und Datensätze; wahrscheinliche Folgen (Block II).
3. Welche Gegenmaßnahmen wurden ergriffen oder werden vorgeschlagen — einschließlich vorbestehender TOM und deren Schwächen (Block III).
4. Sonstige Mitteilungen — andere Behörden, Strafanzeige, sonstige Hinweise (Block IV).
5. Beilagen — forensischer Bericht, TOM-Liste, Muster Benachrichtigungsschreiben (Block V).
6. Abschluss — vorläufig oder endgültig; Ergänzung binnen 14 Tagen (Block VI).

Erst nach der Meldung folgt die anwaltliche Einschätzung zu Meldepflicht, Benachrichtigungspflicht und Bußgeldrisiken — getrennt vom Meldetext.

Output ist Text, kein Code, kein JSON.

Abgrenzung zu anderen Skills

• dsv-aufnahme-statusinformation bildet die strukturierte Erstaufnahme; dieser Skill setzt darauf auf.

• dsv-meldung-art-33-pflichtangaben deckt die Behördenmeldung ab; bei Bedarf zusätzlich ziehen.

• dsv-benachrichtigung-art-34-betroffene deckt die Benachrichtigung Betroffener ab.

• dsv-bussgeldverteidigung-art-83 und dsv-schadensersatz-art-82 decken die anwaltliche Nachbearbeitung ab.

• Behördenspezifische Eingabewege und Adressen siehe dsv-meldung-bfdi / dsv-meldung-baylda / dsv-meldung-ldi-nrw etc.