HR-Datenpanne § 33 DSGVO Meldung mit 72-Stunden-Behörden-Kommunikation an BfDI/Aufsichtsbehörde

# Context (C)
Rechtsstand: <heutiges Datum>. Du unterstützt den Erstentwurf einer DSGVO-Art.-33-Meldung einer HR-Datenpanne an die zuständige Aufsichtsbehörde innerhalb der 72-Stunden-Frist. Input: pseudonymisierter Sachverhalt — MA-Namen, IBANs, Diagnose-Codes durch [[Kategorie-Hash]]-Platzhalter; betroffene Datenkategorien, Zeitfenster, Anzahl Betroffene in Klartext.

# Role (R)
Du agierst als Datenschutzbeauftragter mit Incident-Response-Erfahrung und DSGVO-Art.-33-/-34-Kompetenz. Du kennst DSGVO Art. 33 (SRC-0241) + Art. 34 (SRC-0242), Art. 32 TOMs, Art. 5, BfDI Konkretisierungs-Schreiben (SRC-0309), EuGH C-340/21 Bulgarian Posts (SRC-0268), BetrVG § 87 (SRC-0211), § 26 BDSG (SRC-0215).

# Action (A)
1. **Sachverhalts-Beschreibung**: zeitlicher Ablauf, betroffene Systeme, technische/organisatorische Ursache (Art. 33 Abs. 3 lit. a).
2. **Betroffene Datenkategorien** (Art. 33 Abs. 3 lit. a): Personalstammdaten, Vergütung, Gesundheitsdaten (Art. 9), Bewerber-Daten — präzise auflisten.
3. **Anzahl Betroffene** und **Anzahl Datensätze** (Art. 33 Abs. 3 lit. b).
4. **Risiko-Bewertung** (Art. 33 Abs. 3 lit. c): wahrscheinliche Folgen für Betroffene; Hochrisiko-Schwelle? EuGH C-340/21 berücksichtigen.
5. **Mitigation** (Art. 33 Abs. 3 lit. d): ergriffene Maßnahmen.
6. **Art.-34-Prüfung**: Hochrisiko erfüllt? → Betroffenen-Benachrichtigung Pflicht.
7. **Frist-Konformität**: T+0 zu Behörden-Einreichung-Differenz; Begründung falls > 72 h (Art. 33 Abs. 1 Satz 2).
8. **Zuständige Behörde identifizieren**: BfDI vs. Landesaufsichtsbehörde; bei One-Stop-Shop Lead-Authority.
9. Kennzeichnung: jede Aussage mit [Forensik], [HRIS] oder [Manuelle Aufklärung] taggen.

# Format (F)
- Sachverhalts-Beschreibung — 5–8 Sätze
- Betroffene-Daten-Tabelle (Datenkategorie × Sensibilität × Betroffenenanzahl)
- Risiko-Bewertung-Matrix
- Mitigation-Bullets
- Art.-34-Empfehlung-Zeile (ja/nein + Begründung)
- Frist-Konformitäts-Zeile
- Behörden-Zuständigkeits-Zeile
- ALLE Aussagen sind anwaltlich zu prüfen

# Target Audience (T)
Behörden-Sachbearbeiter:in (BfDI/LDSB); intern DSB + Rechtsabteilung + CHRO. Fakten-strikt, fristen-konform, juristisch belastbar.

HR-Datenpanne Unternehmen [[UN-a3f9]] (Konzern, 8.500 MA, Hauptsitz Frankfurt)
Datum Vorfall (T+0): [[Datum-b2e7]] 14:30 MEZ
Datum Kenntnis DSB: [[Datum-b2e7]] 18:00 MEZ
Aktuelles Datum Drafting: T+24h

Sachverhalt:
HR-Mitarbeiter [[MA-c4d1]] sendete versehentlich Excel-Liste mit Vergütungsdaten 142 Sales-MA an externe E-Mail-Adresse statt internem Verteiler. Empfänger ist Drittunternehmen [[Drittfirma-d8a3]]. E-Mail nach 30 Min vom Empfänger zurückgemeldet; schriftliche Löschungs-Bestätigung. Forensik via [[Microsoft-365-Audit-e1f5]] bestätigt: 1 Versand, 1 Öffnung, keine Weiterleitung.

Betroffene Daten (142 MA):
- Name, Vorname (Klasse A)
- Funktion, Karrierestufe (Klasse B)
- Jahresgehalt brutto + Variable + Bonus 2025 (Klasse A, höchste Sensibilität)
- Standort, Geschlecht (Klasse B)
KEINE Gesundheitsdaten, KEINE IBAN, KEINE Schwerbehinderten-Information.

Mitigation T+0 bis T+24h:
- E-Mail-Rückruf via Outlook Recall (extern nicht erfolgreich)
- Empfänger schriftliche Löschungs-Bestätigung erhalten
- Microsoft-365-Audit-Forensik: keine Weiterleitung, kein Download
- HR-Prozess-Audit eingeleitet
- BR-Information vorbereitet (BetrVG § 87 Abs. 1 Nr. 6)
- Externe Anwaltskanzlei [[Kanzlei-f7c2]] eingeschaltet

Hauptsitz Frankfurt → zuständige Behörde: Hessischer Datenschutzbeauftragter (HBDI).

## Meldung nach Art. 33 DSGVO an Hessischen Datenschutzbeauftragten (HBDI)

**Verantwortlicher**: [[UN-a3f9]], Hauptsitz Frankfurt am Main.
**Vorfalls-Zeitpunkt** (T+0): [[Datum-b2e7]] 14:30 MEZ.
**Kenntnis DSB**: [[Datum-b2e7]] 18:00 MEZ.
**Meldung an Behörde**: T+36h (innerhalb 72-h-Frist).

### 1. Sachverhalts-Beschreibung
Am [[Datum-b2e7]] um 14:30 MEZ versendete ein HR-Mitarbeiter eine Excel-Liste mit Vergütungs-Daten von 142 MA der Sales-Funktion irrtümlich an eine externe E-Mail-Adresse eines Drittunternehmens. Der Empfänger meldete den Eingang nach 30 Minuten zurück, bestätigte die Löschung schriftlich. Microsoft-365-Audit-Forensik bestätigt: eine Versand-Aktion, eine Öffnung, keine Weiterleitung [Forensik].

### 2. Betroffene Datenkategorien
| Kategorie | Sensibilität | Betroffene |
|---|---|---|
| Name, Vorname | Klasse A | 142 |
| Funktion, Karrierestufe | Klasse B | 142 |
| Jahresgehalt brutto + Variable + Bonus 2025 | **Klasse A (höchste Sensibilität)** | 142 |
| Standort, Geschlecht | Klasse B | 142 |
| Gesundheitsdaten (Art. 9 DSGVO) | — | 0 |
| Finanzkontodaten (IBAN) | — | 0 |

### 3. Risiko-Bewertung
**Wahrscheinliche Folgen für Betroffene**:
- **Verlust der Vertraulichkeit Vergütungs-Information**: erheblich.
- **Identitätsdiebstahl-Risiko**: eingeschränkt (keine Finanz-/Ausweisdaten).
- **Reputations-/Belästigungs-Risiko**: eingeschränkt; Empfänger Geschäftspartner mit Datenverarbeitungs-Reputation.

EuGH C-340/21 (SRC-0268) berücksichtigt: Schadensersatz für immaterielle Schäden möglich; Mitigation-Maßnahmen wirksam.

**Hochrisiko-Schwelle Art. 34 DSGVO**: anwaltliche Einschätzung [[Kanzlei-f7c2]] erforderlich.

### 4. Mitigation
- E-Mail-Rückruf (Outlook Recall, extern nicht erfolgreich).
- Empfänger-Kontakt + schriftliche Löschungs-Bestätigung erhalten.
- Microsoft-365-Audit-Forensik: keine Weiterleitung, kein Download.
- HR-Prozess-Audit eingeleitet (Vier-Augen-Prinzip Sales-Comp-Daten).
- BR-Information BetrVG § 87 Abs. 1 Nr. 6 erfolgt (SRC-0211).
- Externe Anwaltskanzlei [[Kanzlei-f7c2]] eingeschaltet.

### 5. Art.-34-Empfehlung
**Vorläufig: keine Art.-34-Benachrichtigung** wegen wirksamer Mitigation (Bestätigung Empfänger-Löschung + Forensik), eingeschränkter Risiko-Konstellation. Anwaltliche Letzt-Prüfung steht aus.

### 6. Frist-Konformität
Vorfall T+0; Behörden-Meldung T+36h → innerhalb 72-h-Frist Art. 33 Abs. 1 DSGVO.

### 7. Zuständige Behörde
**Hessischer Datenschutzbeauftragter (HBDI)** wegen Hauptsitz Frankfurt am Main. One-Stop-Shop nicht einschlägig.

---

**Anwaltliche Verifikation erfolgt durch [[Kanzlei-f7c2]] vor Behörden-Einreichung.**