When in the EU…
Art 4 Z 12 DSGVO definiert die „Verletzung des Schutzes personenbezogener Daten“ (aka „Data Breach“) als Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang zu ihnen führt, ob unbeabsichtigt oder unrechtmäßig.
Der Upload von Daten in ein fremdes Cloud-Konto fällt jedenfalls darunter.
In 72 Stunden zur Datenschutzbehörde
Sobald dem Verantwortlichen die Verletzung bekannt wird, hat er sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden, in Österreich also der DSB. Ausgenommen sind Fälle, in denen die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt, was bei Kundendaten fast nie zutrifft. Eine Ausschlussfrist sind die 72 Stunden nicht. Wer später meldet, muss die Verzögerung freilich begründen.
Zwei Punkte gehen in der Praxis regelmäßig unter.
- Phasenmeldung: Art 33 Abs 4 DSGVO erlaubt Folgemeldungen. Es müssen gerade nicht alle Angaben zum Vorfall auf einmal gemacht werden – eine Entschuldigung für Fristversäumung kann man mit dem Zuwarten auf weitere Informationen nicht begründen. Ein häufiger Fehler ist, verspätet und vollständig zu melden statt rechtzeitig und vorläufig. Dazu ein Punkt, der operativ schmerzt: die 72-Stunden-Frist kennt kein Wochenende, sie läuft kalendarisch durch. Ein Vorfall, der Freitagnachmittag bestätigt wird, muss Montagnachmittag gemeldet sein. Viele Angreifer timen nicht ganz zufällig entsprechend.
- Auftragsverarbeitervertrag (AVV): Der Dienstleister meldet grundsätzlich nicht an die Behörde, sondern an den Verantwortlichen, und dessen Frist beginnt mit dem Einlangen der Verständigung. Was „unverzüglich“ in Art 33 Abs 2 DSGVO bedeutet, sollte im AVV stehen. Der EDSA empfiehlt eine konkrete Stundenzahl und eine benannte Kontaktstelle. Werfen Sie mal einen Blick in Ihre Verträge!
Information der Betroffenen
Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen, etwa weil Konto-, Ausweis- oder Gesundheitsdaten abgeflossen sind, sind die Betroffenen unverzüglich und in klarer, einfacher Sprache zu informieren. Das ist der Moment des maximalen Reputationsrisikos und genau der Moment, in dem die meisten Unternehmen zu lange zögern. Blank Rome brauchte fünf Wochen, in Österreich wäre das erklärungsbedürftig.
Art 34 Abs 3 DSGVO kennt Ausnahmen, und eine davon ist das beste Argument für jedes Verschlüsselungsprojekt, das gerade im Budget hängt. Waren die betroffenen Daten wirksam verschlüsselt und ist der Schlüssel nicht kompromittiert, entfällt die Benachrichtigung der Betroffenen. Die Meldung an die Datenschutzbehörde bleibt davon unberührt.
Drama, Baby, Drama!
Der Bußgeldrahmen für Verstöße gegen Art 33 und 34 DSGVO reicht bis EUR 10 Mio oder 2 % des weltweiten Jahresumsatzes (Art 83 Abs 4 DSGVO). Das ist noch die „moderate“ Bedrohung. Wer im selben Vorfall zusätzlich gegen Art 5 oder Art 6 DSGVO verstoßen hat, etwa weil die abgeflossenen Daten gar nicht (mehr) hätten verarbeitet werden dürfen, landet im oberen Rahmen von EUR 20 Mio oder 4 % vom weltweiten Jahresumsatz.
Der – verständliche – Fokus auf Geldbußen stellt oft in Schatten, welch andere behördliche Sanktionen drohen und welche sonstigen Folgen ein Data Breach haben kann. Die weitreichenden Abhilfebefugnisse der Datenschutzbehörde nach Art 58 DSGVO werden in der Risikoanalyse oft unterschätzt. Die DSB kann nämlich weit mehr tun, als „nur“ Strafen zu verhängen: Sie kann Verantwortliche anweisen, Verarbeitungsvorgänge anzupassen, oder als schärfstes Schwert eine vorübergehende oder endgültige Beschränkung der Verarbeitung bis hin zu einem kompletten Verbot der Datenverarbeitung aussprechen (Art 58 Abs 2 lit f DSGVO). Für jedes Unternehmen, dessen operatives Geschäft auf Kundendaten angewiesen ist, gleicht eine solche behördliche Untersagung einem operativen Herzstillstand.
Flankiert werden diese behördlichen Eingriffe oft von einem massiven Reputationsschaden (insbesondere, wenn man den Vorfall nicht professionell begleitet). Der Moment, in dem man Kunden oder Geschäftspartnern erklären muss, dass ihre sensiblen Daten – womöglich aus vermeidbaren Gründen – in falsche Hände geraten sind, bedeutet einen fundamentalen Vertrauensbruch. Ein solches beschädigtes Image am Markt lässt sich nicht durch ein IT-Backup wiederherstellen und führt oft zu dauerhaften Kundenverlusten, deren wirtschaftlicher Schaden das eigentliche Bußgeld langfristig sogar übersteigen kann.
Schadenersatz und kollektive Rechtsdurchsetzung
Hier setzt der Fall der U.S.-amerikanischen Anwaltskanzlei an, und hier ist der Unterschied zur EU wohl am größten. Nach Art 82 DSGVO hat jede Person Anspruch auf Ersatz des materiellen oder immateriellen Schadens, der ihr durch einen Verstoß entstanden ist. Die Rechtsprechung des EuGH hat diese Bestimmung mit der Zeit etwas geformt und es zeigt sich ein differenziertes Bild, das in Schlagzeilen kam festzunageln ist. Grundsätzlich gibt es keine Bagatell- oder Erheblichkeitsschwelle (EuGH C-300/21). Auch negative Gefühle wie Sorge oder Ärger als Folge eines Kontrollverlusts können einen ersatzfähigen immateriellen Schaden bedeuten (EuGH C-655/23, Quirin Privatbank). Selbst die begründete Befürchtung eines künftigen Missbrauchs reicht (EuGH C-340/21), ein rein hypothetisches Risiko dagegen nicht (EuGH C-687/21).
Der bloße Verstoß genügt für einen Schadenersatzanspruch nicht. Der OGH hat die Linie für Österreich zusammengefasst (6 Ob 113/24x): Es braucht einen Verstoß, einen tatsächlich eingetretenen Schaden und die Kausalität dazwischen, wobei der Schaden konkret darzulegen ist und Behauptungen ohne Substrat scheitern. Art 82 DSGVO hat reine Ausgleichsfunktion, Strafschadenersatz nach US-Muster gibt es nicht. Auch der Grad des Verschuldens des Verantwortlichen wirkt sich auf die Höhe der Ansprüche nicht aus. Das relativiert die Einzelsumme, die ein Betroffener erhalten kann, macht einen Data Breach aus schadenersatzrechtlicher Sicht aber nicht risikolos. Zugesprochen werden im DACH-Raum meist eher niedrige drei- bis mittlere vierstellige Beträge, aber multipliziert mit zigtausenden (bei dem Einstiegsfall: 57.554) Betroffenen ergibt sich auch eine Zahl, die man intern erst mal unversehrt erklären muss. Einzupreisen in die Risikobeurteilung ist in diesem Zusammenhang auch die Beweislast. Dass die Sicherheitsmaßnahmen angemessen waren, hat im Prozess nämlich der Verantwortliche nachzuweisen (Art 5 Abs 2, Art 24, Art 32 DSGVO, EuGH C-340/21).
Für die Bündelung solcher Schadenansprüche gibt es seit 18.07.2024 EU-weit und damit auch in Österreich ein eigenes Instrument: die Verbandsklage auf Abhilfe (§§ 623 ff ZPO iVm QEG). Eine Qualifizierte Einrichtung, neben AK und VKI etwa auch noyb, kann Ansprüche von mindestens 50 Verbraucherinnen und Verbrauchern gebündelt beim Handelsgericht Wien geltend machen, die Teilnahme erfolgt per Opt-in, Drittfinanzierung ist zulässig. Von U.S.-Verhältnissen ist Österreich damit noch weit entfernt. Die Infrastruktur für die Sammelklage steht aber und sie wird mit der Zeit sicher besser funktionieren, damit zur relevanteren Bedrohung im Falle eines Data Breach.
Bald kommt ein weiteres Fristenregime dazu
Wer glaubt, mit einer DSGVO-Meldung sei es nachhaltig getan, der hat beim Thema Cyber-Security in den letzten Monaten wohl gezielt weggehört. Mit dem NISG 2026 (BGBl I 94/2025) setzt Österreich die seit Jahren vieldiskutierte NIS-2-RL um, rund zwei Jahre nach Ablauf der Umsetzungsfrist.
Ab 01.10.2026 gelten für etwa 4.000 wesentliche und wichtige Einrichtungen aus 18 Sektoren verbindliche Risikomanagement- und Meldepflichten, die nochmal enger getaktet sind als jene der DSGVO:
- Frühwarnung binnen 24 Stunden,
- Meldung binnen 72 Stunden,
- Abschlussbericht binnen eines Monats (§ 34 NISG 2026).
Meldungsadressat ist das neu geschaffene Bundesamt für Cybersicherheit (Cybersicherheitsbehörde). Wichtig ist es bei der Anwendung des NISG 2026 sich mit folgenden Daten nicht zu vertun:
- Mit 01.10.2026 gelten die inhaltlichen Pflichten, also Risikomanagement, Governance (dazu sogleich) und Meldepflichten, und zwar ohne weitere Schonfrist.
- Bis 31.12.2026 kommt die Registrierung bei der Cybersicherheitsbehörde dazu (§ 29), ein Verwaltungsschritt, der über den Umsetzungsstand nichts aussagt.
- Bis 30.09.2027 ist sodann eine strukturierte Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen zu übermitteln (§ 33). Diese letzte Frist ist keine Umsetzungsfrist, sondern eine Berichtsfrist. Wer erst im Sommer 2027 zu arbeiten beginnt, teilt der Behörde schriftlich mit, dass er elf Monate lang gesetzwidrig gearbeitet hat.
Für Geschäftsführer und Vorstände sind die Regelungen unter dem Titel „Governance“ in § 31 NISG 2026 (Art 20 NIS-2-RL) eine bedeutende Neuerung. Leitungsorgane haben die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst Schulungen zu absolvieren. Cybersicherheit ist damit endgültig keine Frage der IT-Abteilung mehr, sondern eine Sorgfaltspflicht der Geschäftsleitung.
Praktisch stehen zwei Meldelogiken nebeneinander, und sie sind nicht deckungsgleich. Die DSGVO knüpft an personenbezogene Daten an, das NISG 2026 an erhebliche Cybersicherheitsvorfälle. Ein Fall wie Blank Rome wäre klar ein Data Breach im Sinne der DSGVO, aber wohl kein meldepflichtiger Vorfall nach NISG 2026. Umgekehrt kann ein Systemausfall bei einem vom Anwendungsbereich erfassten Unternehmen auch ohne jeden Datenabfluss allein nach NISG 2026 meldepflichtig sein. Wer beides in einen Prozess gießt, muss zwei Schwellen abfragen und zwei unterschiedliche Berichte erzeugen.
Es ist also im Ernstfall doppelt zu melden. Und wer nicht direkt erfasst ist, wird häufig über die Lieferkettenpflichten seiner NIS-2-pflichtigen Auftraggeber vertraglich in dieselben Standards gezogen.
Fazit
Ein exzellenter Ruf schützt weder vor Angreifern noch vor den Klagen danach. Die DSGVO verlangt keine fehlerfreie IT, sie verlangt geeignete technische und organisatorische Maßnahmen und ein funktionierendes Krisenmanagement. Auf das Argument, es habe eben ein einzelner Mitarbeiter versagt, sollte man sich dann nicht verlassen. Geldbußen treffen die juristische Person unmittelbar, auch ohne dass eine konkrete natürliche Person benannt wird. Im Anwendungsbereich der DSGVO besteht für § 11 DSG (Verwarnen statt Strafen) und § 33a VStG kein Raum, weil das Unionsrecht Anwendungsvorrang genießt (BVwG 24.3.2026, W298 2323263-1). Wer auf nationale Milderungsmechanismen hofft, hofft also vergeblich.
Wer Maßnahmen, Schulungen und einen dokumentierten Meldeprozess vorweisen kann, steht nach einem Vorfall deutlich besser da als jener, der nur beteuert, Pech gehabt zu haben. Der Unterschied kostet vorher ein paar Tage Arbeit und danach oft eine Größenordnung mehr.
Häufige bzw. relevante Fragen (FAQs)
Ab wann laufen die 72 Stunden?
Ab Kenntnis des Verantwortlichen. Kenntnis liegt vor, sobald mit hinreichender Sicherheit feststeht, dass ein Sicherheitsvorfall zu einer Verletzung personenbezogener Daten geführt hat. Eine kurze Verifikationsphase ist zulässig, sie darf aber nicht zur Verzögerungstaktik werden. Erlangt ein Auftragsverarbeiter Kenntnis, hat er den Verantwortlichen unverzüglich zu informieren. Nach den EDSA-Leitlinien 9/2022 beginnt die Frist des Verantwortlichen dann mit der Information durch den Auftragsverarbeiter.
Muss jede Datenpanne gemeldet werden?
Nein. Die Meldung entfällt, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen führt, etwa bei einem an die falsche interne Stelle gesendeten Dokument ohne sensiblen Inhalt. Dokumentiert werden muss der Vorfall trotzdem, samt der Begründung, warum nicht gemeldet wurde (Art 33 Abs 5 DSGVO).
Wann müssen wir zusätzlich die Betroffenen informieren?
Wenn ein voraussichtlich hohes Risiko besteht, insbesondere bei Ausweis-, Konto-, Gesundheits- oder Zugangsdaten. Die Information hat unverzüglich und in klarer, einfacher Sprache zu erfolgen. Sie kann unter gewissen risikomindernden Umständen entfallen (Art 34 Abs 3 DSGVO).
Ist unser Unternehmen vom NISG 2026 erfasst?
Maßgeblich sind Sektor und Größe. Erfasst sind Einrichtungen aus 18 Sektoren, die im Regelfall mindestens 50 Beschäftigte oder mehr als 10 Mio Euro Umsatz beziehungsweise Bilanzsumme aufweisen; einige wenige Tätigkeiten sind unabhängig der Unternehmensgröße erfasst. Die Einstufung ist selbst vorzunehmen, eine behördliche Verständigung gibt es nicht. Auch wer nicht direkt erfasst ist, sollte prüfen, ob NIS-2-pflichtige Kunden die Anforderungen über Lieferkettenklauseln weitergeben.
Mit welchen Schadenersatzforderungen ist in Österreich im Falle eines Data Breach (auf Grundlage bisheriger Erfahrungen) realistisch zu rechnen?
Im Einzelfall meist mit niedrigen drei- bis mittleren vierstelligen Beträgen, abhängig von Datenkategorie, Intensität und Dauer der Beeinträchtigung. Der Anspruch setzt einen konkret dargelegten Schaden voraus, der bloße Verstoß genügt nicht (OGH 6 Ob 113/24x). Das eigentliche Risiko liegt in der Multiplikation über eine große Betroffenenzahl und in der Beweislast, denn die Angemessenheit der Sicherheitsmaßnahmen hat der Verantwortliche nachzuweisen.
Sind Sie auf den Ernstfall vorbereitet oder stecken Sie schon mittendrin?
ATB.LAW unterstützt Sie bei der DSGVO-Compliance, prüft Ihre Verträge mit IT-Dienstleistern und steht Ihnen im Ernstfall zur Seite, von der Meldung an die Datenschutzbehörde bis zur Abwehr von Schadenersatzforderungen. Sprechen Sie uns an, bevor der Teufel bei Ihnen anklopft. Kontaktieren Sie Stefan Knotzer und Roman Taudes jederzeit unter office@atb.law bzw. telefonisch unter 01 39 12345 für ein unverbindliches Erstgespräch.
