Art. 33 DSGVO gibt Ihnen 72 Stunden ab Kenntnisnahme, um eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde zu melden. Diese Frist läuft auch am Wochenende. Deshalb berechnet SimpleAct sie beim Anlegen des Vorfalls automatisch aus dem Zeitpunkt der Entdeckung – und sortiert die Vorfallliste danach.

Auf einen Blick

Enthalten ab: Professional
Wo in der App: Datenschutz → Datenpannen
Ergebnis: Vorfallakte mit Meldefristen, Ursachenanalyse und Lessons Learned
Rechtsbezug: Art. 33, 34 DSGVO
API: /api/v1/data-breaches

Zwei Zeitpunkte, ein Unterschied mit Folgen

Ein Vorfall trägt zwei getrennte Zeitangaben: wann er entdeckt wurde und wann er tatsächlich passiert ist. Nur der erste ist fristrelevant – die 72 Stunden laufen ab Kenntnisnahme, nicht ab dem Ereignis. Die Unterscheidung ist wichtig, weil zwischen beiden Monate liegen können und die Behörde beide wissen will.

Wird der Entdeckungszeitpunkt nachträglich korrigiert, wird die Frist neu berechnet. Sie können also einen Vorfall erst grob erfassen und später präzisieren, ohne dass die Fristangabe falsch stehenbleibt.

Status-Modell

Der Status bildet den tatsächlichen Ablauf ab – erst eindämmen, dann melden, dann Betroffene informieren, dann schließen.

Status	Bedeutung
OPEN	Erfasst, Bearbeitung läuft.
CONTAINED	Eingedämmt – der Datenabfluss ist gestoppt, die Aufarbeitung läuft noch.
AUTHORITY_NOTIFIED	Der Aufsichtsbehörde gemeldet, mit Zeitpunkt und Aktenzeichen.
SUBJECTS_NOTIFIED	Betroffene Personen informiert (Art. 34), mit Zeitpunkt.
RESOLVED	Fachlich abgeschlossen.
CLOSED	Endgültig geschlossen, inklusive Lessons Learned.

Was ein Vorfall festhält

Bereich	Felder
Umfang	Betroffene Datenkategorien, Zahl der betroffenen Personen und die Einschätzung des Risikos für diese Personen (niedrig, mittel, hoch, unbekannt).
Meldepflichten	Je ein Kennzeichen für Behörden- und Betroffenenmeldung, mit Zeitpunkt, Behördenname und Aktenzeichen. Auch die Entscheidung, nicht zu melden, wird damit dokumentiert.
Bearbeitung	Eindämmungs- und Abhilfemaßnahmen, Ursachenanalyse, meldende Person, zuständige Person, Zeitpunkte für Lösung und Abschluss.
Verknüpfungen	Betroffenes KI-System und betroffener VVT-Eintrag. Damit beantwortet sich die Frage „welche Verarbeitung war betroffen" ohne Recherche.
Lessons Learned	Was sich ändern muss, damit es nicht wieder passiert. Das ist der Teil, den Behörden bei Wiederholungsfällen lesen.

Eine Datenpanne ist nicht automatisch ein KI-Vorfall

Datenpannen nach DSGVO und schwerwiegende Vorfälle nach EU AI Act haben unterschiedliche Auslöser, Adressaten und Fristen. Ein Vorfall kann beides sein – dann führen Sie ihn in beiden Registern, jeweils mit eigener Frist und eigenem Adressaten. Er in einem Register zu erfassen und im anderen zu vergessen, ist der häufigste Fehler an dieser Schnittstelle.

Auch melden, wenn Sie unsicher sind

Art. 33 verlangt die Meldung, es sei denn, ein Risiko für die Rechte und Freiheiten ist unwahrscheinlich. Die Beweislast für „unwahrscheinlich" liegt bei Ihnen. Erfassen Sie deshalb auch Vorfälle, bei denen Sie am Ende nicht melden – die dokumentierte Begründung ist die eigentliche Absicherung.