Eine Datenpanne nach DSGVO setzt viele Unternehmen unter Zeitdruck. Ein Mitarbeitender verschickt eine Datei an den falschen Empfänger, ein Notebook geht verloren oder Angreifer verschaffen sich Zugriff auf ein Kundenportal. Dann stellt sich unmittelbar die entscheidende Frage: Muss der Vorfall gemeldet werden – und wenn ja, an wen?
Wichtig ist ein besonnenes, strukturiertes Vorgehen. Nicht jeder Fehler im Umgang mit personenbezogenen Daten löst automatisch eine Meldepflicht aus. Jeder relevante Vorfall muss jedoch geprüft, dokumentiert und anhand des Risikos für betroffene Personen bewertet werden. Wer Rollen, Entscheidungswege und technische Sofortmaßnahmen vorab festlegt, kann in der kritischen 72-Stunden-Frist fundierter handeln.
Was ist eine Datenpanne nach DSGVO?
Die DSGVO spricht rechtlich von einer „Verletzung des Schutzes personenbezogener Daten“. Gemeint ist eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Dabei spielt es keine Rolle, ob der Vorfall absichtlich, versehentlich, durch einen externen Angriff oder intern verursacht wurde.
Eine Datenpanne kann daher drei Schutzziele betreffen:
- Vertraulichkeit: Unbefugte erhalten Einblick in Daten, etwa bei einer E-Mail an den falschen Empfänger.
- Integrität: Daten werden unbefugt verändert oder manipuliert, beispielsweise durch einen Angriff auf ein System.
- Verfügbarkeit: Daten sind nicht mehr verfügbar, etwa wenn Ransomware Systeme verschlüsselt oder eine wichtige Datenbank gelöscht wird.
Für die Praxis bedeutet das: Nicht nur ein klassischer Hackerangriff kann ein Datenschutzvorfall sein. Auch ein offener E-Mail-Verteiler, falsche Zugriffsrechte in einem Portal oder ein verlorener unverschlüsselter USB-Stick können eine Datenpanne darstellen.
Nicht jeder Datenschutzfehler ist automatisch meldepflichtig
Ein Datenschutzverstoß und eine meldepflichtige Datenpanne sind nicht immer dasselbe. Wird beispielsweise eine Einwilligung fehlerhaft dokumentiert, kann das datenschutzrechtlich problematisch sein. Eine Verletzung der Datensicherheit liegt dadurch aber nicht zwingend vor.
Umgekehrt kann selbst ein scheinbar kleiner Fehler eine Datenpanne sein. Ein falsch adressierter Kontoauszug, eine Liste mit Bewerberdaten im falschen E-Mail-Anhang oder ein verloren gegangenes Diensthandy können personenbezogene Daten offenlegen.
Für die Meldepflicht ist deshalb nicht allein die Ursache entscheidend. Maßgeblich ist, ob die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Nur wenn dieses Risiko voraussichtlich nicht besteht, entfällt die Meldung an die zuständige Aufsichtsbehörde.
Unabhängig vom Ergebnis der Risikobewertung gilt: Der Vorfall sollte intern dokumentiert werden. Eine nachvollziehbare Dokumentation zeigt, dass das Unternehmen die Situation geprüft, bewertet und angemessen bearbeitet hat.
Datenpanne DSGVO: Risiko richtig bewerten
Die zentrale Entscheidung bei einer Datenpanne nach DSGVO lautet: Welches Risiko besteht für die betroffenen Personen?
Diese Bewertung darf nicht aus dem Bauch heraus erfolgen. Sie sollte anhand nachvollziehbarer Kriterien stattfinden. Hilfreich sind dabei insbesondere zwei Perspektiven:
- Wie wahrscheinlich ist ein Missbrauch oder Nachteil?
- Wie schwer wären die möglichen Folgen für die Betroffenen?
Bei der Eintrittswahrscheinlichkeit spielen unter anderem diese Fragen eine Rolle:
- Waren die Daten tatsächlich für unbefugte Personen zugänglich?
- Handelt es sich beim Empfänger um eine vertrauenswürdige Person oder einen unbekannten Dritten?
- Wurde die E-Mail nachweisbar gelöscht oder wurde ein verlorenes Gerät wiedergefunden?
- Waren die Daten wirksam verschlüsselt?
- Wie leicht lassen sich die Daten für Missbrauch, Betrug oder gezielte Ansprache verwenden?
- Wie viele Personen sind betroffen?
Die mögliche Schadenshöhe hängt stark von der Datenart und dem Kontext ab. Besonders kritisch können beispielsweise Gesundheitsdaten, Bankdaten, Zugangsdaten, Bewerbungsunterlagen, Daten von Minderjährigen oder Informationen mit hohem Missbrauchspotenzial sein.
Die DSGVO nennt als mögliche Folgen unter anderem Identitätsdiebstahl, finanzielle Schäden, Diskriminierung, Rufschädigung oder den Verlust der Vertraulichkeit von Daten, die einem Berufsgeheimnis unterliegen.
Besondere Daten erfordern eine strengere Bewertung
Je sensibler die Daten, desto eher kann bereits eine geringe Eintrittswahrscheinlichkeit ein relevantes Risiko begründen. Wenn etwa Informationen zu Krankheiten, Behinderungen, Gewerkschaftszugehörigkeit oder finanziellen Verhältnissen offengelegt werden, sind die potenziellen Folgen für Betroffene erheblich.
Ein Beispiel: Wird eine unverschlüsselte Liste mit Namen und geschäftlichen Kontaktdaten versehentlich an einen einzelnen, bekannten Geschäftspartner versandt und umgehend gelöscht, kann das Risiko niedrig sein. Werden dagegen Gesundheitsdaten von Mitarbeitenden an einen unklaren Empfängerkreis versendet, spricht vieles für eine Meldung und möglicherweise auch für eine Benachrichtigung der Betroffenen.
Im Zweifel sollte die Entscheidung nicht isoliert durch die IT oder einen einzelnen Fachbereich getroffen werden. Datenschutzbeauftragte, Geschäftsführung, IT-Sicherheit und bei Bedarf externe Fachleute sollten früh eingebunden werden.
Die ersten 72 Stunden: So gehst Du strukturiert vor
Sobald das Unternehmen von einer möglichen Datenschutzverletzung Kenntnis erlangt, beginnt die Prüfung. Ist eine Meldung erforderlich, muss sie unverzüglich und möglichst binnen 72 Stunden an die zuständige Aufsichtsbehörde erfolgen. Kann die Frist nicht eingehalten werden, muss die Verzögerung begründet werden.
Damit aus Zeitdruck keine Fehlentscheidung wird, braucht es einen klaren Incident-Response-Prozess.
1. Vorfall eindämmen und Beweise sichern
Zuerst geht es darum, den Schaden zu begrenzen. Je nach Fall kann das bedeuten:
- Nutzerkonten sperren oder Passwörter zurücksetzen,
- unberechtigte Berechtigungen entfernen,
- falsch versandte E-Mails zurückrufen oder Empfänger zur Löschung auffordern,
- verlorene Geräte per Mobile Device Management sperren oder löschen,
- Backups und Log-Dateien sichern,
- betroffene Systeme vom Netzwerk trennen,
- externe IT-Dienstleister oder forensische Unterstützung aktivieren.
Dabei gilt: nNicht vorschnell Systeme verändern oder Log-Dateien löschen. Für die technische Aufklärung und eine belastbare Dokumentation ist es wichtig, nachvollziehen zu können, was passiert ist.
2. Sachverhalt aufklären
Im nächsten Schritt wird aus einer ersten Meldung ein belastbarer Sachverhalt. Kläre insbesondere:
- Was ist wann passiert?
- Welche Systeme, Prozesse und Dienstleister sind betroffen?
- Welche personenbezogenen Daten waren betroffen?
- Wie viele Personen und Datensätze betrifft der Vorfall ungefähr?
- Ist ein tatsächlicher Zugriff bekannt oder nur theoretisch möglich?
- Wer konnte möglicherweise auf die Daten zugreifen?
- Welche Schutzmaßnahmen waren aktiv, etwa Verschlüsselung, Zwei-Faktor-Authentisierung oder Backups?
- Welche Sofortmaßnahmen wurden bereits umgesetzt?
Die Details müssen nicht in den ersten Minuten vollständig feststehen. Entscheidend ist, dass das Unternehmen unverzüglich startet, Informationen strukturiert zusammenträgt und seine Bewertung fortlaufend aktualisiert.
3. Verantwortlichkeiten aktivieren
Eine Datenpanne ist kein reines IT-Thema. Die IT kann die Ursache eingrenzen und technische Maßnahmen umsetzen. Die datenschutzrechtliche Bewertung, Kommunikation und Meldung benötigen aber zusätzliche Perspektiven.
In einem mittelständischen Unternehmen sollten mindestens diese Rollen festgelegt sein:
- eine zentrale Meldestelle für Datenschutzvorfälle,
- die zuständige Person in der IT oder Informationssicherheit,
- der oder die Datenschutzbeauftragte,
- eine entscheidungsbefugte Person aus der Geschäftsführung,
- bei Bedarf Kommunikation, Personalabteilung, Rechtsberatung und betroffene Fachbereiche.
Besonders wichtig ist eine eindeutige Eskalationsregel. Mitarbeitende müssen wissen, wohin sie einen Verdacht sofort melden können – auch außerhalb regulärer Arbeitszeiten und ohne zunächst selbst beurteilen zu müssen, ob es sich „wirklich“ um eine Datenpanne handelt.
Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO
Ergibt die Risikobewertung, dass ein Risiko für die Rechte und Freiheiten betroffener Personen besteht, muss der Verantwortliche die Datenpanne bei der zuständigen Datenschutzaufsichtsbehörde melden.
Die Meldung muss mindestens folgende Informationen enthalten:
- die Art der Datenschutzverletzung,
- soweit möglich die Kategorien und ungefähre Anzahl betroffener Personen sowie Datensätze,
- die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle,
- die wahrscheinlichen Folgen der Datenpanne,
- bereits ergriffene oder geplante Abhilfe- und Minderungsmaßnahmen.
Wenn einzelne Informationen innerhalb der Frist noch nicht vorliegen, kann eine Meldung schrittweise ergänzt werden. Das ist oft besser, als die 72-Stunden-Frist verstreichen zu lassen. Die Nachreichung sollte allerdings strukturiert erfolgen und klar machen, welche Punkte noch untersucht werden.
Die zuständige Aufsichtsbehörde richtet sich grundsätzlich nach dem Sitz beziehungsweise der Zuständigkeit für das verantwortliche Unternehmen. Bei komplexen Unternehmensstrukturen, mehreren Standorten oder grenzüberschreitenden Verarbeitungen sollte diese Frage frühzeitig geprüft werden.
Wann müssen Betroffene informiert werden?
Neben der Meldung an die Aufsichtsbehörde kann eine zweite Pflicht entstehen: die Benachrichtigung der betroffenen Personen.
Diese Pflicht greift, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Information muss unverzüglich erfolgen sowie klar und verständlich formuliert sein. Sie soll erklären, was passiert ist, welche Folgen möglich sind und was Betroffene gegebenenfalls selbst tun können.
Eine Benachrichtigung ist unter bestimmten Voraussetzungen nicht erforderlich. Das kann etwa der Fall sein, wenn die betroffenen Daten durch wirksame Verschlüsselung für Unbefugte unzugänglich waren oder nachträgliche Maßnahmen das hohe Risiko zuverlässig beseitigt haben.
In der Praxis ist eine klare Kommunikation entscheidend. Betroffene brauchen keine juristische Abhandlung. Sie benötigen eine ehrliche, verständliche Einordnung und konkrete Hinweise, beispielsweise zum Ändern eines Passworts, zur erhöhten Wachsamkeit bei Phishing-E-Mails oder zu Ansprechpersonen im Unternehmen.
Typische Datenpannen im Mittelstand
Datenpannen entstehen häufig nicht durch spektakuläre Cyberangriffe, sondern durch alltägliche Fehler in Prozessen und Kommunikation.
E-Mail an den falschen Empfänger
Ein Vertriebsmitarbeiter versendet eine Preisliste mit personenbezogenen Ansprechpartnerdaten an den falschen Kunden. Hier sind Datenumfang, Empfänger, Sensibilität der Informationen und mögliche Folgen zu bewerten. Wurde die Nachricht an einen bekannten, vertrauenswürdigen Empfänger gesendet und nachweislich gelöscht, kann das Risiko begrenzt sein. Bei vertraulichen Personal-, Finanz- oder Gesundheitsdaten sieht die Bewertung anders aus.
Offener E-Mail-Verteiler
Werden viele Empfänger in das CC-Feld statt in BCC gesetzt, können alle Beteiligten die E-Mail-Adressen der anderen sehen. Bei wenigen Empfängern und neutralem Anlass kann das Risiko gering sein. Bei einer großen Anzahl von Personen, sensiblen Kontextinformationen oder besonders schutzbedürftigen Gruppen kann eine Meldung erforderlich werden.
Verlust eines Notebooks oder Smartphones
Entscheidend ist, ob das Gerät verschlüsselt war, ob starke Zugangssperren eingerichtet waren und ob es per Fernzugriff gesperrt oder gelöscht werden konnte. Wirksame technische Schutzmaßnahmen können das Risiko deutlich senken. Ohne Verschlüsselung ist der Verlust eines Geräts mit Kunden-, Personal- oder Projektdaten dagegen regelmäßig kritisch.
Ransomware und Systemausfälle
Bei Ransomware geht es nicht nur um eine mögliche Veröffentlichung von Daten. Auch die Nichtverfügbarkeit personenbezogener Daten kann eine Datenschutzverletzung darstellen. Ob eine Meldung erforderlich ist, hängt etwa davon ab, ob Daten abgeflossen sind, wie lange wichtige Daten nicht verfügbar waren und ob funktionsfähige, zeitnahe Backups existieren. Die EDPB-Leitlinien (European Data Protection Board) behandeln Ransomware, externe Angriffe und weitere Fallgruppen ausdrücklich als typische Beispiele für die Bewertung von Datenschutzverletzungen.
Datenpannenmanagement: Vorbereitung reduziert Druck
Die beste Reaktion auf eine Datenpanne beginnt vor dem Vorfall. Unternehmen sollten Datenschutz, IT-Sicherheit und Prozessmanagement miteinander verbinden. Ein PDF im Notfallordner allein reicht nicht, wenn niemand weiß, wer im Ernstfall entscheidet.
Ein praxistaugliches Datenpannenmanagement umfasst mindestens:
- einen leicht erreichbaren Meldeweg für Mitarbeitende,
- ein internes Formular zur ersten Vorfallserfassung,
- festgelegte Rollen und Vertretungen,
- eine Risiko-Checkliste zur einheitlichen Bewertung,
- technische Notfallmaßnahmen für Konten, Geräte und Systeme,
- Kontaktdaten von Datenschutzbeauftragten, IT-Dienstleistern und relevanten Ansprechpartnern,
- Vorlagen für die Meldung an die Aufsichtsbehörde und die Information Betroffener,
- regelmäßige Tests und Schulungen.
Auch die Nachbereitung gehört dazu. Nach jedem Vorfall sollte das Unternehmen prüfen: Welche Ursache hatte die Datenpanne? Welche organisatorischen oder technischen Maßnahmen verhindern eine Wiederholung? Muss eine Berechtigung angepasst, ein Prozess verändert oder eine Schulung durchgeführt werden?
So wird aus einem einzelnen Vorfall eine konkrete Verbesserung der Datenschutzorganisation und Informationssicherheit.
Fazit: Bei Datenpannen zählt ein klarer Prozess
Eine Datenpanne nach DSGVO verlangt schnelle, aber nicht hektische Entscheidungen. Die 72-Stunden-Frist ist anspruchsvoll, doch mit einer sauberen Erstbewertung, klaren Zuständigkeiten und konsequenter Dokumentation lässt sie sich beherrschen.
Entscheidend ist nicht, jede Unregelmäßigkeit reflexartig zu melden. Entscheidend ist, Vorfälle zuverlässig zu erkennen, Risiken für Betroffene nachvollziehbar zu bewerten, Schäden wirksam zu begrenzen und die gesetzlichen Informationspflichten fristgerecht zu erfüllen.
Wer Datenpannenmanagement als festen Bestandteil von Datenschutz und Informationssicherheit etabliert, schützt nicht nur personenbezogene Daten. Das Unternehmen stärkt auch seine Handlungsfähigkeit, das Vertrauen von Kunden und Mitarbeitenden sowie die eigene Compliance.
