DSGVO-Datenpanne § 33/34: 72-h-Meldung + Betroffenen-Information

# Context (C)
Rechtsstand: <heutiges Datum>. Du entwirfst ein DSGVO-Art.-33-Meldungs-
Paket für eine HR-Datenpanne + ggf. Art.-34-Betroffenen-Information.
Input: IT-Forensik-Bericht, HR-Auskunfts-Quelle (betroffene MA-Kategorien);
Betroffenen-Liste pseudonymisiert; ggf. geleakte Snippets pseudonymisiert.

# Role (R)
Du agierst als DSB-Drafting-Assistenz mit Kenntnis DSGVO (Art. 33 72-h-
Meldung, Art. 34 Betroffenen-Information, Art. 35 DPIA, Art. 83 Bußgelder),
§ 26 BDSG, ggf. Art. 9 DSGVO, BfDI-Tätigkeitsberichte zu HR-Datenpannen.

# Action (A)
1. **Art.-33-Vorfalls-Beschreibung**: Art der Verletzung (Vertraulichkeit /
   Integrität / Verfügbarkeit), Zeitpunkt, Entdeckung, Ursache.
   **NUR forensisch belegte Aussagen** — keine Spekulation.
2. **Betroffene Kategorien personenbezogener Daten**: welche Kategorien
   (Stammdaten, Gehalt, Krankheits-Daten, etc.); Anzahl betroffener
   Personen.
3. **Wahrscheinliche Folgen**: für Rechte und Freiheiten der Betroffenen
   (Identitätsdiebstahl, Diskriminierung, Reputations-Schaden, Phishing-
   Anschluss-Risiko, etc.).
4. **Ergriffene/geplante Abhilfe-Maßnahmen**:
   - Sofort: Account-Sperrung, System-Patches, Forensik-Sicherung.
   - Mittelfristig: Sicherheits-Schulung (→ UC-V-HR-HRC-017),
     System-Härtung.
   - Bei Art.-9-Datenpanne: zusätzliche Schutzmaßnahmen.
5. **DSB-Kontaktdaten**: Name, Position, Erreichbarkeit.
6. **Art.-34-Schwelle bewerten**: hohes Risiko für Rechte/Freiheiten?
   - Bei JA: Art.-34-Betroffenen-Information drafttieren — verständliche
     Sprache, Schutzmaßnahmen-Empfehlungen, Kontakt für Rückfragen.
   - Bei NEIN: Begründung dokumentieren.
7. **Pflicht-Auslassung**: keine spekulativen "wahrscheinlichen"
   Sachverhalte — nur Forensik-Belege. Bei Lücken `[[FEHLEND: Forensik
   prüfen]]`.
8. **AGG-/HinSchG-Cross-Check**: bei Diskriminierungs-relevanten Daten
   bzw. Whistleblower-Identitäten zusätzliche Sensitivität.

# Format (F)
- Strukturiertes Art.-33-Meldungs-Paket nach LfD-Online-Formular je
  Bundesland.
- Separat Art.-34-Betroffenen-Information falls Schwelle erreicht.
- Verständliche Sprache (Art. 34 für Laien).
- Bei jeder unsicheren Aussage `[[FEHLEND]]`.
- Keine spekulativen Aussagen.

# Target Audience (T)
- Art. 33: zuständige Aufsichtsbehörde (LfD); juristisch korrekt, vollständig.
- Art. 34: betroffene Beschäftigte; verständlich, schutz-handlungsfähig.

Vorfall: Fehlversand Gehaltsdatei per E-Mail
Eingangsdatum: 2026-05-11 09:15 (Selbst-Meldung durch HR-Sachbearbeiterin)
72-h-Frist: 2026-05-14 09:15
IT-Forensik:
- E-Mail-Versand 2026-05-10 17:32 von HR-Postfach an externen Empfänger [[Ext-Empfaenger-…]] (Verwechslung mit ähnlicher Adresse Steuerberater [[Steuerberater-…]]).
- Anhang: Lohnsteuer-Datei mit Daten von 42 MA: Klarname, SV-Nr., Steuer-ID, Brutto, Netto, Lohnsteuer-Klasse, Kirchensteuer-Status (Art. 9!).
- Externer Empfänger [[Ext-Empfaenger-…]] hat 2026-05-11 08:50 selbst gemeldet, E-Mail gelöscht ohne Weiterverarbeitung.
- IT-Forensik: keine weiteren Empfänger; E-Mail-Server-Log bestätigt Single-Recipient.

Betroffene: 42 MA; davon 3 mit SchwB-Status (Art. 9); 14 mit konfessioneller Kirchensteuer (Art. 9).
Risiko-Bewertung: durch Selbst-Löschung Empfänger niedrig bis mittel; aber Art.-9-Daten betroffen → Art.-34-Schwelle prüfen.

# DSGVO Art. 33-Meldung an Aufsichtsbehörde

[An: Landesbeauftragte/r für Datenschutz [[Bundesland-…]]]

[Datum 2026-05-11]

## 1. Art der Verletzung
**Vertraulichkeits-Verletzung** durch Fehlversand einer Lohnsteuer-Datei
per E-Mail an einen externen, unbeteiligten Empfänger.

## 2. Zeitpunkt
- **Vorfall**: 2026-05-10 17:32
- **Entdeckung**: 2026-05-11 08:50 (Selbst-Meldung externer Empfänger)
- **Bestätigung intern**: 2026-05-11 09:15

## 3. Ursache (forensisch belegt)
Verwechslung der E-Mail-Adresse mit ähnlicher Adresse des regelmäßigen
Steuerberaters durch HR-Sachbearbeiterin. Keine Auto-Vervollständigungs-
Fehler — manuelles Eintippen, Tippfehler.

## 4. Betroffene Kategorien
- **42 Beschäftigte** mit Stammdaten (Name, SV-Nr., Steuer-ID), Gehalts-
  Daten (Brutto, Netto, Lohnsteuer-Klasse, Kirchensteuer).
- **Art. 9 DSGVO**: 3 MA mit SchwB-Status (Behinderung); 14 MA mit
  konfessioneller Kirchensteuer (Religion).

## 5. Wahrscheinliche Folgen
**Durch Selbst-Löschung niedrig bis mittel**, aber:
- Art.-9-Daten (Religion, Behinderung) sind besonders schutzwürdig.
- Identitätsdiebstahl-Risiko durch SV-Nr. + Steuer-ID begrenzt durch
  Empfänger-Kooperation.
- Phishing-Anschluss-Risiko gegen Beschäftigte: theoretisch, aber
  Empfänger hat versichert E-Mail gelöscht ohne Weiterverarbeitung.

## 6. Ergriffene Maßnahmen
- **Sofort 2026-05-11**: E-Mail-Löschungs-Bestätigung extern eingeholt;
  HR-System-Audit; IT-Forensik-Sicherung der Server-Logs.
- **Mittelfristig**: Lohnsteuer-Datei-Versand künftig nur über
  verschlüsseltes Portal (KEIN E-Mail-Versand); Sensibilisierungs-Schulung
  (→ UC-V-HR-HRC-017); Adress-Whitelist im HR-Postfach für Steuer-Empfänger.

## 7. DSB-Kontakt
[[DSB-Name]], [[DSB-Position]], [[DSB-E-Mail]], [[DSB-Telefon]]

## 8. Art.-34-Schwelle-Bewertung
**Hohes Risiko bejaht** wegen Art.-9-Daten (Religion + Behinderung) trotz
Selbst-Löschung. → Art.-34-Betroffenen-Information parallel.

---

# DSGVO Art. 34-Betroffenen-Information

Sehr geehrte/r [[MA-Name-empfaenger]],

am 10.05.2026 ist es zu einem Vorfall im Bereich Lohnabrechnung gekommen:
Eine Datei mit Ihren Lohnsteuer-Daten (Name, SV-Nr., Steuer-ID, Gehalt,
Lohnsteuer-Klasse, Kirchensteuer-Status, ggf. Schwerbehinderten-Status)
wurde versehentlich an einen externen Empfänger geschickt.

**Was ist passiert?**
Eine HR-Sachbearbeiterin hat die Datei an eine falsche E-Mail-Adresse
gesendet — durch eine Adress-Verwechslung mit einem ähnlichen Empfänger.
Der externe Empfänger hat den Vorfall sofort gemeldet und versichert, die
E-Mail gelöscht zu haben, ohne sie an Dritte weiterzugeben.

**Welche Daten sind betroffen?**
- Name, SV-Nummer, Steuer-ID
- Brutto- und Netto-Gehalt, Lohnsteuer-Klasse
- Bei einigen Beschäftigten: Kirchensteuer-Status (Religion)
- Bei wenigen Beschäftigten: Schwerbehinderten-Status

**Was haben wir getan?**
- Sofortige Bestätigung der E-Mail-Löschung beim externen Empfänger.
- IT-Forensik-Sicherung der Server-Logs.
- Meldung an die Aufsichtsbehörde DSGVO Art. 33.
- Künftiger Versand von Lohnsteuer-Dateien nur über verschlüsseltes Portal.

**Was empfehlen wir Ihnen?**
- Sollten Sie verdächtige Phishing-E-Mails oder unbekannte Kreditkarten-
  Transaktionen bemerken, melden Sie sich umgehend bei uns.
- Bei Fragen oder Sorgen: DSB-Kontakt [[DSB-E-Mail]] oder [[DSB-Telefon]].

**Ihre Rechte (DSGVO)**:
- Auskunft über Ihre Daten (Art. 15) — siehe UC-V-HR-HRC-014.
- Beschwerde bei der Aufsichtsbehörde [[Bundesland-LfD]].
- Schadensersatz-Anspruch (Art. 82 DSGVO) — bei nachweislichem Schaden.

Wir entschuldigen uns für den Vorfall und nehmen die Sicherheit Ihrer
Daten sehr ernst.

Mit freundlichen Grüßen
[[DSB-Name]]
Datenschutzbeauftragte/r [[AG-Name]]