Datenpanne – was jetzt zu tun ist
Eine falsch adressierte E-Mail, ein Ransomware-Befall, ein verlorenes Notebook: Ab Kenntnis bleiben 72 Stunden für die Meldung an die Aufsichtsbehörde. Diese Seite führt Sie durch die ersten Schritte – und im Mandat übernehmen wir Bewertung, Dokumentation und Meldung.
Die ersten Schritte
- Vorfall eingrenzen und stoppen
- Fakten dokumentieren, Zeitpunkt festhalten
- Risiko für Betroffene bewerten
- Bei Risiko: Meldung binnen 72 Stunden
- Bei hohem Risiko: Betroffene informieren
Kurz beantwortet: Eine Datenpanne ist nach Art. 4 Nr. 12 DSGVO jede Verletzung des Schutzes personenbezogener Daten – etwa Verlust, Diebstahl, unbefugter Zugriff oder versehentliche Offenlegung. Besteht dadurch ein Risiko für die Rechte und Freiheiten der Betroffenen, muss der Vorfall der zuständigen Aufsichtsbehörde binnen 72 Stunden ab Kenntnis gemeldet werden (Art. 33 DSGVO). Bei hohem Risiko sind zusätzlich die Betroffenen zu informieren (Art. 34 DSGVO).
Die ersten 72 Stunden
-
Sofort eingrenzen
Zugang sperren, Gerät isolieren, Weiterverbreitung stoppen. Technische Schadensbegrenzung hat Vorrang vor Formalitäten.
-
Dokumentieren
Wann wurde der Vorfall bekannt, wer war beteiligt, welche Daten und wie viele Personen sind betroffen? Die Uhr läuft ab Kenntnis.
-
Risiko bewerten
Art der Daten, Sensibilität, Zahl der Betroffenen, mögliche Folgen. Daraus ergibt sich, ob gemeldet werden muss.
-
Melden
Bei Risiko: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden – lieber unvollständig und fristgerecht als vollständig und zu spät.
-
Betroffene informieren
Bei hohem Risiko zusätzlich Benachrichtigung der Betroffenen in klarer Sprache, mit Handlungsempfehlungen.
-
Aufarbeiten
Ursache beheben, Maßnahmen anpassen, Vorfall im internen Verzeichnis dokumentieren – auch wenn nicht gemeldet wurde.
Wichtig: Die 72-Stunden-Frist beginnt mit der Kenntnis der Panne, nicht mit dem Abschluss Ihrer Untersuchung. Eine Erstmeldung mit dem bekannten Stand ist zulässig und kann nachgereicht werden.
Typische Fälle aus der Praxis
Fehlversand
E-Mail mit Kundenliste an falschen Empfänger, offener Verteiler statt BCC. Häufigster gemeldeter Fall überhaupt.
Ransomware
Verschlüsselung von Systemen mit personenbezogenen Daten – regelmäßig meldepflichtig, oft auch mit Abfluss verbunden.
Verlorene Hardware
Notebook, Smartphone oder USB-Stick. Bei wirksamer Verschlüsselung entfällt häufig die Benachrichtigung der Betroffenen.
Fehlkonfiguration
Offener Cloudspeicher, ungeschützte Datenbank, falsche Berechtigungen im Fileserver.
Innentäter
Unberechtigte Einsicht oder Mitnahme von Daten durch Beschäftigte.
Dienstleister
Panne beim Auftragsverarbeiter. Er muss Sie unverzüglich informieren – melden müssen aber Sie.
Wie wir unterstützen
Im Mandat als externer Datenschutzbeauftragter ist die Datenpannen-Bearbeitung enthalten – ohne Zusatzkosten und ohne Stundenzählerei.
- Erreichbarkeit im Ernstfall und Ersteinschätzung
- Risikobewertung und Entscheidung über die Meldepflicht
- Erstellung und Einreichung der Meldung
- Kommunikation mit der Aufsichtsbehörde
- Formulierung der Betroffeneninformation
- Dokumentation im Verzeichnis und Ableitung von Maßnahmen
Häufige Fragen zur Datenpanne
Was ist eine Datenpanne?
Eine Verletzung des Schutzes personenbezogener Daten – also jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12 DSGVO). Auch eine falsch adressierte E-Mail mit Kundendaten oder ein verlorener USB-Stick zählen dazu.
Muss jede Datenpanne gemeldet werden?
Nein. Die Meldung an die Aufsichtsbehörde entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Diese Bewertung muss allerdings dokumentiert werden – auch bei Nichtmeldung. Jede Panne gehört ins interne Verzeichnis.
Wie lange habe ich Zeit für die Meldung?
72 Stunden ab Kenntnis der Verletzung. Die Frist läuft ab dem Moment, in dem Ihnen die Panne bekannt wird – nicht ab Beginn der Untersuchung. Ist die Meldung später, muss die Verzögerung begründet werden.
Müssen Betroffene informiert werden?
Nur bei voraussichtlich hohem Risiko für deren Rechte und Freiheiten (Art. 34 DSGVO), dann aber unverzüglich und in klarer, einfacher Sprache. Ausnahmen bestehen etwa bei wirksamer Verschlüsselung der betroffenen Daten.
Was droht bei unterlassener Meldung?
Verstöße gegen die Meldepflicht können mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Erfahrungsgemäß wiegt eine verschleppte Meldung bei den Behörden schwerer als die Panne selbst.
Akuter Vorfall?
Rufen Sie an – bei laufender Frist zählt jede Stunde. Wir nehmen die Fakten auf und sagen Ihnen sofort, ob gemeldet werden muss.