Datenpanne klingt nach Hackerangriff, ist aber meistens banaler: eine Mail mit offenem Verteiler, ein verlorener USB-Stick, ein falsch adressierter Anhang, ein kompromittiertes Postfach. Rechtlich fällt das alles unter Artikel 4 Nummer 12 DSGVO, die Verletzung des Schutzes personenbezogener Daten. Entscheidend ist nicht die Ursache, sondern das Risiko für die betroffenen Personen.
Wann die Frist zu laufen beginnt
Die 72 Stunden aus Artikel 33 DSGVO starten mit der Kenntnis der Verletzung, also sobald Sie mit hinreichender Sicherheit wissen, dass ein Sicherheitsvorfall zu einer Datenverletzung geführt hat. Sie starten nicht erst, wenn die Analyse abgeschlossen ist. Die Frist läuft durch, auch über Wochenenden. Wer später meldet, muss die Verzögerung begründen.
Melden oder nicht: die Entscheidung
| Situation | Einschätzung |
|---|---|
| Verlorenes Notebook, vollständig verschlüsselt, Schlüssel sicher | In der Regel keine Meldung, Dokumentation intern |
| Mail mit Kundenliste an falschen Empfänger | Meldung, sofern nicht sicher gelöscht und Empfänger vertrauenswürdig |
| Kompromittiertes Postfach mit Kundenkommunikation | Meldung, häufig zusätzlich Benachrichtigung der Betroffenen |
| Ransomware mit Datenabfluss | Meldung und Benachrichtigung, hohes Risiko |
| Gesundheits- oder Bewerberdaten offengelegt | Meldung, sensible Daten wiegen schwer |
Im Zweifel gilt: Melden ist der sichere Weg. Eine Meldung ist kein Schuldeingeständnis, und Aufsichtsbehörden bewerten eine offene, dokumentierte Aufarbeitung deutlich milder als eine verschwiegene Panne, die später auffällt.
Was in die Meldung gehört
- Beschreibung der Verletzung, Zeitpunkt und Art des Vorfalls.
- Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze.
- Name und Kontaktdaten der Ansprechperson, meist Datenschutzbeauftragter.
- Wahrscheinliche Folgen für die betroffenen Personen.
- Ergriffene und geplante Maßnahmen zur Eindämmung und Vermeidung.
Fehlen Angaben, reichen Sie eine Erstmeldung ein und ergänzen Sie später. Artikel 33 Absatz 4 DSGVO erlaubt das ausdrücklich. Die Meldung erfolgt bei der Aufsichtsbehörde des Bundeslandes, in dem Ihr Unternehmen sitzt, in der Regel über ein Onlineformular.
Wann Betroffene informiert werden müssen
Bei voraussichtlich hohem Risiko verlangt Artikel 34 DSGVO die Benachrichtigung der betroffenen Personen, in klarer und einfacher Sprache, ohne juristische Formeln. Sie kann entfallen, wenn die Daten wirksam verschlüsselt waren oder wenn Sie durch nachfolgende Maßnahmen sichergestellt haben, dass das hohe Risiko nicht mehr besteht.
Interne Dokumentation
Jede Verletzung gehört ins interne Verzeichnis, auch die nicht gemeldete. Festgehalten werden Sachverhalt, Bewertung, Begründung der Entscheidung und Maßnahmen. Dieses Verzeichnis ist das Erste, was eine Aufsichtsbehörde bei einer Prüfung sehen will. Eine einfache Tabelle mit sechs Spalten genügt.
Vorbereitung spart die entscheidenden Stunden
Legen Sie vorab fest, wer die Bewertung vornimmt, wo das Meldeformular liegt und welche Informationen sofort zusammengetragen werden. Kombiniert mit einem IT-Notfallplan und dem Ablauf der ersten 48 Stunden entsteht daraus ein Verfahren, das im Ernstfall ohne Suchen funktioniert.
