Es ist passiert: Ein Laptop mit Kundendaten wurde gestohlen. Ein Mitarbeiter hat versehentlich eine E-Mail mit Personaldaten an den falschen Verteiler geschickt. Ein Hackerangriff hat die Systeme kompromittiert. Was jetzt?
Viele Unternehmen reagieren in solchen Momenten falsch — nicht aus Böswilligkeit, sondern weil der Ablauf unklar ist. Dabei ist die Pflicht zur Datenpannenmeldung nach DSGVO eindeutig geregelt. Wer sie kennt und einhält, schützt sich vor empfindlichen Bußgeldern und Reputationsschäden.
Was ist eine Datenpanne überhaupt?
Eine Datenpanne — offiziell „Verletzung des Schutzes personenbezogener Daten“ nach Art. 4 Nr. 12 DSGVO — liegt vor, wenn personenbezogene Daten durch einen Sicherheitsvorfall:
- vernichtet werden (versehentlich oder unbefugt),
- verloren gehen (z. B. durch Diebstahl oder technischen Defekt),
- verändert werden (unbefugte Manipulation),
- offengelegt oder zugänglich gemacht werden (unbefugter Zugriff, Versand an falsche Empfänger).
Wichtig: Es muss sich um personenbezogene Daten handeln — also Informationen, die eine natürliche Person identifizieren oder identifizierbar machen. Rein interne Systemfehler ohne Datenbezug fallen nicht darunter.
Datenpanne melden DSGVO: Die 72-Stunden-Regel
Das Herzstück der Meldepflicht ist Art. 33 DSGVO: Innerhalb von 72 Stunden nach Bekanntwerden einer Datenpanne muss diese der zuständigen Datenschutz-Aufsichtsbehörde gemeldet werden — sofern die Panne voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt.
Die 72 Stunden starten ab dem Moment, in dem Ihr Unternehmen Kenntnis von dem Vorfall erlangt — nicht ab dem Zeitpunkt des Vorfalls selbst. Ein Sicherheitsvorfall, der am Freitagabend entdeckt wird, startet damit die Frist am Wochenende.
Was passiert, wenn die Frist nicht eingehalten wird?
Eine verspätete Meldung ist kein Kavaliersdelikt. Aufsichtsbehörden verhängen Bußgelder — und eine fehlende oder verspätete Meldung kann als erschwerender Faktor gewertet werden. Die Meldung „ohne unangemessene Verzögerung“ ist gesetzliche Pflicht.
Wann muss NICHT gemeldet werden?
Nicht jede Datenpanne ist meldepflichtig. Die DSGVO sieht eine Ausnahme vor: Wenn die Verletzung voraussichtlich kein Risiko für natürliche Personen darstellt, entfällt die Meldepflicht gegenüber der Behörde.
Beispiel: Ein verschlüsselter Laptop wird gestohlen, und der Schlüssel liegt nirgends vor. Hier ist das Risiko für Betroffene gering — eine Meldung kann entbehrlich sein.
Aber: Intern dokumentieren müssen Sie den Vorfall trotzdem — in jedem Fall. Art. 33 Abs. 5 DSGVO verpflichtet zur Dokumentation aller Datenpannen, unabhängig von der Meldepflicht.
Schritt-für-Schritt: Der richtige Ablauf nach einer Datenpanne
1. Sofortmaßnahmen ergreifen
Noch bevor irgend etwas gemeldet wird: Den Schaden begrenzen. Zugriffe sperren, betroffene Systeme isolieren, den Vorfall stoppen — so weit technisch möglich.
2. Internen Vorfall intern klären
Wer ist betroffen? Welche Daten wurden kompromittiert? In welchem Umfang? Wann genau wurde der Vorfall bekannt? Diese Fragen müssen beantwortet werden, bevor eine Meldung erfolgt.
3. Risikobewertung durchführen
Stellt der Vorfall ein Risiko für Betroffene dar? Oder sogar ein hohes Risiko (dann zusätzliche Betroffenenmeldung nach Art. 34 DSGVO)? Diese Einschätzung ist zentral für den weiteren Ablauf.
4. Behörde informieren (Art. 33 DSGVO)
Die Meldung erfolgt bei der zuständigen Landesdatenschutzbehörde — in der Regel online über das entsprechende Meldeformular. Inhalt der Meldung:
- Art der Verletzung (Was ist passiert?)
- Kategorien und ungefähre Zahl betroffener Personen und Datensätze
- Kontaktdaten des Datenschutzbeauftragten
- Wahrscheinliche Folgen der Verletzung
- Ergriffene oder geplante Maßnahmen
Sind zum Zeitpunkt der Meldung noch nicht alle Informationen verfügbar, darf stufenweise gemeldet werden — erste Meldung innerhalb der 72 Stunden, Ergänzung sobald mehr bekannt ist.
5. Betroffene informieren (bei hohem Risiko)
Bei hohem Risiko für die Rechte und Freiheiten von Betroffenen müssen diese unverzüglich informiert werden (Art. 34 DSGVO). Klare Sprache, keine Verharmlosung, konkrete Handlungsempfehlungen für die Betroffenen.
6. Dokumentation abschließen
Der gesamte Vorfall wird im internen Datenschutz-Register dokumentiert: Datum, Art der Panne, Maßnahmen, Meldungen, Entscheidungen. Das ist nicht nur Pflicht — es schützt Sie im Zweifelsfall.
Häufige Fehler bei der Datenpannenmeldung
- Abwarten und Beobachten: Die 72-Stunden-Frist ist hart. Wer erst „schaut, wie sich das entwickelt“, verliert wertvolle Zeit.
- Interne Zuständigkeiten unklar: Wer meldet? Wer entscheidet? Ohne klaren Prozess gerät alles ins Stocken.
- Meldung zu spät, zu vage oder gar nicht: Behörden sind kooperativer bei transparenter, fristgerechter Meldung als bei nachträglichen Erklärungen.
- Keine Dokumentation: Was nicht dokumentiert ist, kann im Nachhinein nicht nachgewiesen werden.
Was ein Datenschutzbeauftragter hier leistet
Ein erfahrener Datenschutzbeauftragter kennt den Ablauf — und handelt unter Druck strukturiert. Er koordiniert die Risikobewertung, formuliert die Behördenmeldung, kommuniziert mit Betroffenen und sorgt dafür, dass die interne Dokumentation lückenlos ist.
Unternehmen, die keinen internen DSB haben oder einen externen Partner einsetzen, profitieren davon, dass dieser Prozess im Ernstfall nicht erst improvisiert werden muss.
Fazit
Eine Datenpanne ist kein Beinbruch — wenn Sie richtig reagieren. Die 72-Stunden-Frist ist machbar, wenn intern klar ist, wer was tut. Entscheidend sind: schnelles Handeln, ehrliche Kommunikation und saubere Dokumentation.
Wer den Prozess erst im Ernstfall aufbaut, verliert Zeit, die er nicht hat. Wer ihn vorher aufgesetzt hat, kommt ruhig durch.
Sie möchten wissen, ob Ihr Unternehmen für eine Datenpanne gewappnet ist? Wir prüfen das mit Ihnen — konkret und ohne bürokratischen Overhead.
FAQ: Datenpanne melden nach DSGVO
Muss ich jede Datenpanne der Behörde melden?
Nein. Meldepflichtig sind nur Pannen, die voraussichtlich ein Risiko für natürliche Personen darstellen. Alle Vorfälle müssen aber intern dokumentiert werden.
Was passiert, wenn ich die 72-Stunden-Frist verpasse?
Eine Verspätung ist meldepflichtig und kann als erschwerender Faktor bei Bußgeldern gewertet werden. Transparenz und Kooperation mit der Behörde mildern das Risiko.
Muss ich auch die Betroffenen informieren?
Nur wenn ein hohes Risiko für deren Rechte und Freiheiten besteht (Art. 34 DSGVO). Die Schwelle liegt höher als bei der Behördenmeldung — aber im Zweifel lieber zu früh als zu spät.
