Datenpanne passiert: Was in den ersten 72 Stunden zu tun ist

Kurz gesagt

Bei einer meldepflichtigen Datenpanne gilt: sofort dokumentieren, das Ausmaß einschätzen, betroffene Zugänge sperren, den Datenschutzbeauftragten informieren, die Meldepflicht prüfen und die Aufsichtsbehörde innerhalb von 72 Stunden vollständig und schriftlich informieren.

Was als Datenpanne zählt

Eine meldepflichtige Datenpanne im Sinne von Art. 33 DSGVO liegt vor, wenn personenbezogene Daten durch Verlust, Vernichtung, Veränderung oder unbefugte Offenlegung betroffen sind — das reicht von Hackerangriffen über verlorene Laptops bis zu falsch adressierten E-Mails mit Anhängen. Nicht jede Panne ist meldepflichtig: Meldepflichtig ist nur, was voraussichtlich ein Risiko für die Rechte und Freiheiten Betroffener mit sich bringt. Diese Risikoeinschätzung muss dokumentiert und begründet werden — sie ist nicht optional.

Die acht Schritte nach Entdeckung

Vorfall entdecken und sofort dokumentieren: Zeitstempel festhalten — wann wurde der Vorfall entdeckt, von wem, auf welchem Weg? Sofort aufschreiben, auch ohne vollständigen Überblick.
Ausmaß einschätzen: welche Datenkategorien, wie viele Personen betroffen, wo liegen die Daten, wohin könnten sie gelangt sein?
Sofortmaßnahmen ergreifen: betroffenen Zugang sperren oder einschränken, kompromittierte Zugangsdaten ändern, Systeme isolieren — aber erst nach Dokumentation des Ausgangszustands.
Datenschutzbeauftragten informieren: falls bestellt, unverzüglich einbeziehen; ohne DSB liegt die Entscheidung bei der Geschäftsführung.
Meldepflicht prüfen: besteht ein Risiko für Betroffene, ist die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis erforderlich.
Meldung vorbereiten und einreichen: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, ergriffene Maßnahmen, Kontaktdaten des DSB.
Betroffene informieren: bei hohem Risiko zusätzlich direkt informieren — verständlich, ohne Fachjargon.
Interne Dokumentation vervollständigen: jede Datenpanne muss dokumentiert werden, auch nicht meldepflichtige — als Nachweis datenschutzkonformen Handelns.

Was die Meldung an die Behörde enthalten muss

Art der Verletzung (Vertraulichkeit, Integrität, Verfügbarkeit).
Kategorien der betroffenen Daten.
Ungefähre Anzahl betroffener Personen und Datensätze.
Name und Kontaktdaten des Datenschutzbeauftragten.
Wahrscheinliche Folgen der Verletzung.
Ergriffene oder geplante Maßnahmen zur Behebung und Schadensbegrenzung.
Zeitpunkt der Entdeckung des Vorfalls.

Dokumentation gilt immer

Art. 33 Abs. 5 DSGVO verpflichtet zur vollständigen Dokumentation jeder Datenpanne — auch der nicht meldepflichtigen. Diese Dokumentation muss Aufsichtsbehörden auf Anfrage vorgelegt werden können und ist Teil des Nachweises datenschutzkonformen Handelns.

Vorbereitung zahlt sich aus

Die häufigsten Ursachen für Datenpannen im Mittelstand sind schwache Zugangsdaten, fehlende Zwei-Faktor-Authentifizierung, unverschlüsselte Geräte und fehlende Berechtigungskonzepte. Ein vorab erstellter Notfallplan — wer wird zuerst informiert, wer meldet an die Behörde, wo liegt das Meldeformular — kann im Ernstfall wertvolle Stunden sparen und Fehler unter Druck verhindern. Regelmäßige Schulungen wirken zusätzlich präventiv, denn die häufigste Einstiegsroute für Datenpannen ist nach wie vor der Mensch, nicht die Technik.

Häufige Fragen

Ab wann beginnt die 72-Stunden-Frist?

Ab dem Zeitpunkt der Kenntnis des Vorfalls, nicht ab dem tatsächlichen Ereignis.

Was passiert, wenn die Frist verpasst wird?

Eine verspätete Meldung ist besser als keine, muss aber begründet werden; die Umstände werden dabei berücksichtigt.

Muss jede Datenpanne gemeldet werden?

Nein, meldepflichtig sind nur Fälle mit Risiko für Betroffene, intern dokumentiert werden muss aber jede Panne.