GDPR Breach Detected: The 72-Hour Reporting Duty in Practice
DSGVO-Verletzung erkannt: Die 72-Stunden-Meldepflicht praktisch
(English version below.)
TL;DR — Bei einer DSGVO-Verletzung startet die 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde nicht wenn du sicher bist, dass ein Vorfall vorliegt — sondern sobald du davon Kenntnis erhalten hast. Das ist deutlich früher als die meisten Founder denken. Was in den ersten 72 Stunden passiert, entscheidet ob du eine Standard-Meldung machst oder in ein Verfahren mit Bußgeld gerätst. Geschrieben von einem Founder-CEO, der als DSGVO-Beauftragter bei mehreren Vorfällen den Prozess durchgeführt hat.
Kurzantwort
Wenn du eine Verletzung des Schutzes personenbezogener Daten feststellst, gilt Art. 33 DSGVO: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden ab Kenntnisnahme — außer die Verletzung führt "voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen." Die Ausnahme ist eng auszulegen. Die häufigsten Founder-Fehler sind: die Frist zu spät starten, die Ausnahme zu großzügig auslegen, und die Dokumentation vergessen (die auch bei Nicht-Meldung Pflicht ist).
Warum die meisten Founder das falsch angehen
Der typische Fehler ist Verwechslung von "Vorfall festgestellt" mit "Vorfall verstanden". Konkretes Beispiel: Ein Ex-Mitarbeiter hat 3 Tage vor Kündigung große Datenexporte gemacht. Die Info kommt am Freitagabend beim CTO an. Der CTO sagt: "Lass uns das über das Wochenende prüfen." Am Montag wird geprüft, am Dienstag wird der externe Datenschutzbeauftragte informiert, am Mittwoch die Meldung entworfen, am Donnerstag abgeschickt. Das sind 6 Tage — doppelt so lange wie erlaubt.
Die 72-Stunden-Uhr begann Freitagabend mit der Info an den CTO. Kenntnisnahme innerhalb der Organisation reicht. Es ist egal, ob der Datenschutzbeauftragte informiert wurde oder ob die Prüfung abgeschlossen ist.
Drei typische Fehler in diesem Zusammenhang:
- "Wir sind uns nicht sicher, ob es überhaupt eine Verletzung ist." Das ist kein Grund zur Verzögerung — die Meldung kann provisorisch erfolgen, mit Nachträgen. Art. 33 (4) DSGVO sieht explizit gestufte Meldung vor.
- "Der Vorfall ist so klein, das müssen wir nicht melden." Möglich, aber die Beweislast liegt bei dir. Und die Ausnahme ("keine Risiko") ist eng: schon die theoretische Möglichkeit von Diskriminierung, Identitätsdiebstahl, Reputationsverlust, oder finanziellem Schaden reicht für Meldepflicht.
- "Wir warten, bis wir alle Details kennen." Führt zu Fristversäumnis. Die Meldung darf provisorisch sein — und muss provisorisch sein, wenn du nicht in 72 Stunden vollständig aufklären kannst.
(Für den Kontext einer typischen Vorfallsituation im Startup: Wenn ein Mitarbeiter kündigt und dein größter Kunde bei ihm landet.)
Wann startet die 72-Stunden-Uhr wirklich?
Die genaue Formulierung in Art. 33 (1) DSGVO: "unverzüglich und möglichst binnen 72 Stunden, nachdem ihr die Verletzung bekannt geworden ist." Was heißt "bekannt geworden"?
Die deutsche Aufsichtspraxis (koordiniert über den DSK-Kurzpapier Nr. 18) definiert das relativ streng:
Die Uhr startet, wenn:
- Eine Person mit relevanter Verantwortungsposition in der Organisation Kenntnis erhält (Geschäftsführer, IT-Verantwortlicher, Datenschutzbeauftragter, HR-Leitung)
- Die Kenntnis so konkret ist, dass eine Verletzung mit hinreichender Wahrscheinlichkeit vorliegt
- Nicht erst nach abgeschlossener Prüfung — sondern bereits bei der ersten begründeten Annahme
Die Uhr startet NICHT durch:
- Anonyme Hinweise ohne konkrete Angabe
- Reine Systemwarnungen ohne inhaltliche Bewertung
- Unbestätigte Presseberichte
- Zufällige Beobachtungen von Mitarbeitern ohne strukturierte Meldung
Der häufigste Fehler: Die interne Meldung an einen "unwichtigen" Ansprechpartner (z.B. an einen Junior-Mitarbeiter) mit der Annahme, dass die Uhr erst startet, wenn der Datenschutzbeauftragte informiert ist. Falsch. Kenntnisnahme in der Organisation zählt — nicht die formale Weiterleitung.
Was du in den ersten 72 Stunden tun musst
Stunde 0-4: Feststellung und Perimeter
Was ist passiert? Konkrete Faktenlage: welche Daten, welche Betroffenen, welcher Zeitraum, welches Ausmaß. Diese vier Dimensionen sind das Minimum, um überhaupt melden zu können.
Wer ist betroffen? Nicht die Anzahl der Datensätze, sondern die Kategorien der betroffenen Personen. Kunden, Mitarbeiter, Bewerber, Ex-Kunden. Wenn möglich: konkrete Namensliste (auch wenn die Meldung selbst später erfolgt).
Wer hat Zugriff bekommen? Interner Personenkreis, externe Angreifer, unbekannt. Bei "unbekannt" wird die Meldepflicht immer schärfer, weil das Risiko der Weiterverbreitung höher ist.
Stunde 4-24: Datenschutzbeauftragter und Rechtsanwalt
Wenn dein Startup einen Datenschutzbeauftragten hat (Pflicht bei >20 Personen, die regelmäßig personenbezogene Daten verarbeiten): sofort einbinden. Wenn nicht: einen externen Datenschutzberater einschalten.
Wichtig: Der interne Datenschutzbeauftragte ist rechtlich unabhängig von der Geschäftsführung. Seine Empfehlung ist nicht bindend, aber juristisch relevant. Wenn er meldet und du nicht — hast du im Ernstfall ein Problem in der Dokumentation.
Rechtsanwalt kommt dazu, wenn:
- Die Verletzung strafrechtliche Dimensionen hat (Datenschutzstraftaten nach § 42 BDSG)
- Ein Datenexport durch einen Ex-Mitarbeiter vorliegt (siehe Interne Ermittlung im Startup)
- Kunden bereits informiert werden müssen (Art. 34 DSGVO)
- Ein Cyber-Angriff mit Ransomware oder ähnlichem passiert ist
- Presse oder Wettbewerber bereits davon wissen
Stunde 24-72: Meldung entwerfen und einreichen
Die Meldung an die Aufsichtsbehörde muss mindestens enthalten (Art. 33 (3) DSGVO):
- Beschreibung der Verletzung — was ist passiert, wann, in welchem Umfang
- Kategorien und Zahl der betroffenen Personen (auch als Schätzung möglich)
- Kategorien und Zahl der betroffenen Datensätze
- Wahrscheinliche Folgen — was kann realistisch aus der Verletzung entstehen (Diskriminierung, Identitätsdiebstahl, Reputationsschaden, finanzieller Schaden)
- Getroffene und geplante Maßnahmen — was hast du bereits gemacht, was folgt in welcher Zeit
- Kontaktdaten des Datenschutzbeauftragten oder einer verantwortlichen Person
Die Meldung erfolgt an die für dein Bundesland zuständige Aufsichtsbehörde. Für Hamburg z.B. der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), für Berlin die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Wenn dein Unternehmen bundesweit tätig ist, meldest du bei der Behörde des Hauptsitzes.
Provisorische Meldung ist explizit erlaubt — und in Startup-Kontext meist notwendig. Du meldest, was du weißt, und ergänzt später mit Nachträgen. Das ist besser als eine perfekte Meldung nach 6 Tagen.
Wann du zusätzlich die Betroffenen informieren musst
Art. 34 DSGVO regelt die Benachrichtigung der betroffenen Personen. Diese ist Pflicht, wenn "die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat."
"Hohes Risiko" — was heißt das konkret? Die Aufsichtspraxis in Deutschland unterscheidet:
Betroffenenbenachrichtigung Pflicht, wenn:
- Passwörter, Zahlungsdaten oder Sozialversicherungsnummern betroffen sind
- Gesundheitsdaten, sexuelle Orientierung, religiöse Überzeugungen oder andere besondere Kategorien nach Art. 9 DSGVO betroffen sind
- Die Verletzung zu direkter Identifizierung mit möglichem Schadenspotenzial führen kann
- Ein Verlust in wirksam verschlüsselter Form vorliegt, aber die Verschlüsselung möglicherweise gebrochen werden kann
Betroffenenbenachrichtigung nicht Pflicht, wenn:
- Die Daten wirksam verschlüsselt waren und der Schlüssel nicht kompromittiert wurde
- Der Verantwortliche Maßnahmen ergriffen hat, die das hohe Risiko voraussichtlich verhindern
- Die individuelle Benachrichtigung unverhältnismäßig aufwändig wäre (dann öffentliche Bekanntmachung)
Praktische Formulierungshinweise für die Betroffenenbenachrichtigung:
- Klare, verständliche Sprache — keine Rechtsanwaltssprache
- Konkrete Angabe was passiert ist, welche Daten, welche Folgen
- Konkrete Angabe was der Betroffene tun sollte (Passwort ändern, Konten überwachen)
- Kontaktmöglichkeit für Rückfragen
- Wenn möglich: keine Übermittlung im gleichen Kanal wie die kompromittierte Kommunikation (also nicht per E-Mail, wenn E-Mails betroffen sind — sondern per Brief)
Was passiert nach der Meldung
Kurzfristig (24-72 Stunden nach Meldung):
Die Aufsichtsbehörde bestätigt den Eingang. Bei einfachen Fällen (klarer Perimeter, geringes Ausmaß) meist keine weitere Reaktion. Bei mittleren Fällen: Rückfragen zu Details oder Nachbesserungen.
Mittelfristig (1-6 Monate):
Bei größeren Fällen: förmliche Prüfung. Die Behörde kann Auskunft verlangen, Unterlagen prüfen, ggf. eine Vor-Ort-Prüfung durchführen. Deine Kooperationsbereitschaft und die Qualität deiner internen Dokumentation entscheiden viel über den Ausgang.
Langfristig (6-18 Monate):
Bei Fällen mit potenziellem Bußgeld: Anhörungsverfahren, dann ggf. Bußgeldbescheid. Bußgeld nach DSGVO bis 20 Mio EUR oder 4% des weltweiten Jahresumsatzes — je nachdem was höher ist. In der Praxis wird für Startups deutlich niedriger angesetzt: typische Range bei mittleren Vorfällen: 5.000-50.000 EUR, bei gröberen Vorfällen: 50.000-500.000 EUR. Bußgelder werden reduziert bei aktiver Kooperation, guter interner Dokumentation, und schneller Meldung.
Interne Dokumentation — auch wenn du nicht meldest
Ein häufiger Fehler: Wenn du entscheidest "das ist keine meldepflichtige Verletzung", denkst du du bist fertig. Falsch. Art. 33 (5) DSGVO verlangt eine interne Dokumentation aller Verletzungen — auch derjenigen, die nicht gemeldet werden. Diese Dokumentation muss enthalten:
- Zeitpunkt der Feststellung
- Beschreibung des Vorfalls
- Kategorien und ungefähre Zahl der betroffenen Personen
- Bewertung der Risikolage
- Begründung für Nicht-Meldung (falls zutreffend)
- Ergriffene Maßnahmen zur Behebung
Diese Dokumentation muss verfügbar sein, wenn die Behörde später prüft. Fehlende Dokumentation ist selbst ein Verstoß und kann zu Bußgeld führen — auch wenn der ursprüngliche Vorfall harmlos war.
Wann du wirklich Hilfe brauchst
Diese Signale sagen: hol dir sofort externe Unterstützung:
- Ein Cyber-Angriff mit unklarer Perimeter (Ransomware, Datenleck durch Angreifer)
- Ein Datenverlust betrifft Kunden mehrerer EU-Mitgliedsstaaten (dann läuft Ganzeu-Verfahren mit Lead Authority)
- Presse berichtet bereits über den Vorfall
- Der Vorfall wurde durch einen internen Whistleblower gemeldet (dann greift ggf. auch HinSchG)
- Es liegen strafrechtliche Aspekte vor (Datenklau, unbefugter Zugriff)
- Die potenzielle Bußgeldhöhe wird die Runway relevant beeinflussen
Coaching hilft in der strategischen und kommunikativen Ebene: Was kommunizierst du wann an Board, Team, Kunden, Presse. Wie triffst du die Entscheidung über Betroffenenbenachrichtigung. Wie erhältst du die operative Handlungsfähigkeit unter Zeitdruck. Rechtsberatung und Datenschutz-Beratung sind parallel notwendig.
Wenn du gerade in dieser Situation bist: → Coaching bei BFC anfragen. Kleine Kohorte. Nicht jede Anfrage wird angenommen, aber jede wird gelesen.
Weiterlesen
DSGVO-Verletzungen berühren fast immer andere Themen. Die relevantesten Vertiefungen:
- → Interne Ermittlung im Startup: Was tun, wenn der Vorwurf im Raum steht
- → Wenn ein Mitarbeiter kündigt und dein größter Kunde bei ihm landet
- → Directors' Liability in Deutschland: Wann haftest du persönlich
FAQ
Was ist überhaupt eine "Verletzung des Schutzes personenbezogener Daten"?
Nach Art. 4 Nr. 12 DSGVO: jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, Verlust, Änderung oder unbefugten Offenlegung von personenbezogenen Daten führt. Das umfasst mehr als nur Datenklau — auch versehentliche E-Mail-Fehlversendung, verlorene Laptops, gestohlene Geräte, oder unbefugter Zugriff durch Mitarbeiter.
Muss ich melden, wenn nur E-Mail-Adressen betroffen sind?
Kommt drauf an. E-Mail-Adressen von Bewerbern oder Kunden mit sensiblen Zusatzinfos: ja, in der Regel Meldepflicht. E-Mail-Adressen aus einer bereits öffentlich zugänglichen Newsletter-Anmeldung ohne Zusatzdaten: möglicherweise nicht meldepflichtig, aber dokumentationspflichtig.
Was passiert, wenn ich zu spät melde?
Verspätete Meldung ist selbst ein Verstoß nach Art. 33 DSGVO und kann eigenständig mit Bußgeld belegt werden — unabhängig von der ursprünglichen Verletzung. In der Aufsichtspraxis: aktive Selbstoffenbarung mit Erklärung der Verzögerung ist deutlich besser als das Aufwarten einer späten Ermittlung durch Dritte.
Kann ich meine Meldung zurückziehen?
Nein, aber du kannst sie ergänzen und korrigieren. Wenn sich herausstellt, dass keine meldepflichtige Verletzung vorlag, kannst du dies der Behörde nachträglich mit begründeter Neubewertung mitteilen. Die Behörde wird prüfen und ggf. zu keinem Verfahren übergehen.
Wie lange muss ich die Dokumentation aufbewahren?
Mindestens 3 Jahre nach der Verletzung. Bei Vorfällen mit laufenden Verfahren, gerichtlichen Auseinandersetzungen oder erneuten Untersuchungen entsprechend länger. Standard-Empfehlung: 5 Jahre für die interne Verletzungs-Dokumentation.
English version
GDPR Breach Detected: The 72-Hour Reporting Duty in Practice
TL;DR — With a GDPR breach, the 72-hour deadline for reporting to the supervisory authority starts not when you're sure a breach occurred — but as soon as you gained knowledge of it. That's significantly earlier than most founders think. What happens in the first 72 hours decides whether you file a standard report or land in a proceeding with fine. Written by a founder-CEO who as data protection officer has run the process for multiple incidents.
Short Answer
When you detect a breach of personal data protection, Art. 33 GDPR applies: notification to the competent supervisory authority within 72 hours of becoming aware — except when the breach "is unlikely to result in a risk to the rights and freedoms of natural persons." The exception is to be interpreted narrowly. Most common founder mistakes: starting the deadline too late, interpreting the exception too generously, and forgetting documentation (which is required even for non-notification).
Why Most Founders Get This Wrong
Typical mistake is confusing "incident detected" with "incident understood." Concrete example: an ex-employee did large data exports 3 days before quitting. Info reaches the CTO Friday night. CTO says: "Let's check over the weekend." Monday it's checked, Tuesday the external data protection officer is informed, Wednesday the notification drafted, Thursday sent. That's 6 days — twice as long as allowed.
The 72-hour clock started Friday night with the info to the CTO. Knowledge within the organization is enough. It doesn't matter whether the data protection officer was informed or whether the check is complete.
Three typical mistakes in this context:
- "We're not sure it's even a breach." Not a reason for delay — the notification can be provisional, with follow-ups. Art. 33 (4) GDPR explicitly foresees staged notification.
- "The incident is so small, we don't need to report." Possible, but burden of proof is on you. And the exception ("no risk") is narrow: even the theoretical possibility of discrimination, identity theft, reputation loss, or financial damage triggers reporting duty.
- "We wait until we know all details." Leads to missed deadline. The notification may be provisional — and must be, if you can't fully clarify in 72 hours.
(For context of a typical incident situation in a startup: When an employee quits and your biggest customer ends up with them.)
When Does the 72-Hour Clock Really Start?
Precise formulation in Art. 33 (1) GDPR: "without undue delay and, where feasible, not later than 72 hours after having become aware." What does "having become aware" mean?
German supervisory practice (coordinated via DSK Kurzpapier Nr. 18) defines this relatively strictly:
Clock starts when:
- A person with relevant responsibility in the organization gains knowledge (managing director, IT responsible, data protection officer, HR lead)
- The knowledge is concrete enough that a breach exists with sufficient probability
- Not only after completed checking — already at the first substantiated assumption
Clock does NOT start through:
- Anonymous tips without concrete information
- Pure system warnings without content evaluation
- Unconfirmed press reports
- Random employee observations without structured reporting
Most common mistake: internal report to an "unimportant" contact person (e.g., a junior employee) assuming the clock only starts when the DPO is informed. Wrong. Knowledge within the organization counts — not formal forwarding.
What You Must Do in the First 72 Hours
Hour 0-4: Determination and perimeter
What happened? Concrete factual position: which data, which affected persons, which time period, which extent. These four dimensions are the minimum to even report.
Who is affected? Not the number of records, but the categories of affected persons. Customers, employees, applicants, ex-customers. If possible: concrete name list (even if the report itself comes later).
Who got access? Internal circle, external attackers, unknown. With "unknown," reporting duty always sharpens because risk of spread is higher.
Hour 4-24: DPO and lawyer
If your startup has a DPO (mandatory when >20 people regularly process personal data): involve immediately. If not: engage external data protection advisor.
Important: The internal DPO is legally independent of management. Their recommendation isn't binding, but legally relevant. If they report and you don't — you have a documentation problem in the worst case.
Lawyer joins when:
- The breach has criminal dimensions (data protection offenses per § 42 BDSG)
- A data export by ex-employee is involved (see Internal Investigation in a Startup)
- Customers already must be informed (Art. 34 GDPR)
- A cyber-attack with ransomware or similar occurred
- Press or competitors already know
Hour 24-72: Draft and submit notification
The notification to the supervisory authority must contain at minimum (Art. 33 (3) GDPR):
- Description of breach — what happened, when, in what scope
- Categories and number of affected persons (estimate allowed)
- Categories and number of affected records
- Likely consequences — what can realistically arise from the breach (discrimination, identity theft, reputation damage, financial damage)
- Taken and planned measures — what have you already done, what follows when
- Contact data of DPO or responsible person
Notification goes to the authority competent for your federal state. For Hamburg e.g., the Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), for Berlin the Berliner Beauftragte für Datenschutz und Informationsfreiheit. If your company operates nationwide, report to the authority of the main seat.
Provisional notification is explicitly allowed — and usually necessary in startup context. You report what you know and supplement later. Better than a perfect report after 6 days.
When You Must Also Inform Affected Persons
Art. 34 GDPR regulates notification of affected persons. Mandatory when "the breach is likely to result in a high risk to the rights and freedoms of natural persons."
"High risk" — what does that mean concretely? German supervisory practice distinguishes:
Affected person notification mandatory when:
- Passwords, payment data, or social security numbers are affected
- Health data, sexual orientation, religious beliefs, or other special categories under Art. 9 GDPR affected
- Breach can lead to direct identification with possible damage potential
- A loss in effectively encrypted form exists but encryption may be broken
Affected person notification NOT mandatory when:
- Data was effectively encrypted and the key isn't compromised
- The controller took measures likely to prevent the high risk
- Individual notification would be disproportionately burdensome (then public announcement)
Practical drafting tips for affected person notification:
- Clear, understandable language — no lawyer-speak
- Concrete statement what happened, which data, what consequences
- Concrete statement what the affected person should do (change password, monitor accounts)
- Contact for follow-up questions
- Where possible: no transmission in the same channel as the compromised communication (so not by email if emails are affected — but by letter)
What Happens After the Notification
Short-term (24-72 hours after notification):
Supervisory authority confirms receipt. For simple cases (clear perimeter, low extent) usually no further reaction. For medium cases: follow-up questions on details or improvements.
Medium-term (1-6 months):
For larger cases: formal review. The authority can demand information, review documents, conduct on-site inspection if applicable. Your cooperation and quality of internal documentation decide much of the outcome.
Long-term (6-18 months):
For cases with potential fine: hearing procedure, then possibly fine notice. GDPR fine up to 20M EUR or 4% of worldwide annual turnover — whichever is higher. In practice for startups significantly lower: typical range for medium incidents: 5,000-50,000 EUR, for larger incidents: 50,000-500,000 EUR. Fines are reduced with active cooperation, good internal documentation, and fast notification.
Internal Documentation — Even When You Don't Report
Common mistake: when you decide "this isn't a mandatory breach," you think you're done. Wrong. Art. 33 (5) GDPR requires internal documentation of all breaches — including those not reported. This documentation must contain:
- Time of detection
- Description of the incident
- Categories and approximate number of affected persons
- Assessment of risk situation
- Justification for non-notification (if applicable)
- Taken remediation measures
This documentation must be available when the authority checks later. Missing documentation is itself a violation and can lead to fine — even if the original incident was harmless.
When You Actually Need Help
These signals say: get external support immediately:
- A cyber-attack with unclear perimeter (ransomware, data leak by attackers)
- A data loss affects customers in multiple EU member states (then EU-wide procedure with Lead Authority runs)
- Press already reports on the incident
- The incident was reported by an internal whistleblower (then possibly HinSchG applies)
- Criminal aspects exist (data theft, unauthorized access)
- The potential fine amount will relevantly affect runway
Coaching helps at the strategic and communicative level: what you communicate when to board, team, customers, press. How to make the decision on affected person notification. How to preserve operational agency under time pressure. Legal and data protection counsel are necessary in parallel.
If you're in this situation right now: → Request coaching at BFC. Small cohort. Not every request is accepted, but every one is read.
Related reading
GDPR breaches almost always touch other topics. The most relevant deep-dives:
- → Internal Investigation in a Startup: What to do when the allegation is on the table
- → When an employee quits and your biggest customer ends up with them
- → Directors' Liability in Germany: When you're personally on the hook
FAQ
What actually is a "breach of personal data protection"?
Per Art. 4 No. 12 GDPR: any breach of security leading to unintended or unlawful destruction, loss, alteration or unauthorized disclosure of personal data. This covers more than just data theft — also accidental email misrouting, lost laptops, stolen devices, or unauthorized access by employees.
Do I have to report if only email addresses are affected?
Depends. Email addresses of applicants or customers with sensitive additional info: yes, usually reporting duty. Email addresses from an already-public newsletter signup without additional data: possibly not mandatory reporting, but documentation duty.
What happens if I report too late?
Late notification is itself a violation of Art. 33 GDPR and can independently be fined — separate from the original breach. In supervisory practice: active self-disclosure with explanation of delay is significantly better than awaiting a late investigation by third parties.
Can I withdraw my report?
No, but you can supplement and correct it. If it turns out no mandatory breach existed, you can inform the authority afterward with substantiated reassessment. The authority will review and possibly not proceed.
How long must I keep documentation?
At least 3 years after the breach. For incidents with ongoing proceedings, court disputes, or renewed investigations correspondingly longer. Standard recommendation: 5 years for internal breach documentation.