Wann muss eine Datenpanne nach DSGVO gemeldet werden?

Was als Datenpanne gilt

Die DSGVO versteht unter einer Verletzung des Schutzes personenbezogener Daten (Data Breach) jede Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt. Das lässt sich auf drei Kernszenarien herunterbrechen: Vertraulichkeitsverletzung (unbefugter Zugriff), Integritätsverletzung (unberechtigte Veränderung) und Verfügbarkeitsverletzung (Datenverlust oder Nichtzugänglichkeit).

Eine Datenpanne setzt keine böse Absicht voraus. Auch versehentliche Vorfälle zählen dazu – etwa eine E-Mail mit personenbezogenem Anhang an den falschen Empfänger, ein verlorener Laptop mit Kundendaten oder ein versehentlich gelöschtes Backup. Entscheidend ist nicht die Absicht, sondern dass Daten kompromittiert wurden oder werden konnten.

Typische Szenarien im Mittelstand

• Gehackter E-Mail-Account: Angreifer lesen ein Postfach mit Kundendaten mit oder versenden Spam im Namen des Unternehmens.
• Ransomware-Angriff: Serverdaten werden verschlüsselt, Zugriff nur gegen Lösegeld – eine Verfügbarkeitsverletzung.
• Verlorenes oder gestohlenes, unverschlüsseltes Notebook oder Smartphone mit Kundenlisten und internen Dokumenten.
• Falsche E-Mail-Empfänger oder Massenmail mit sichtbaren Adressen (CC statt BCC) – Vertraulichkeitsverletzung.
• Öffentlich zugänglicher Cloud-Ordner mit personenbezogenen Dokumenten.
• Fehlkonfigurierter Server mit ungeschützter Datenbank oder öffentlich erreichbarem Backup-Verzeichnis.
• Interner Datenmissbrauch: unbefugter Export von Kundendaten vor dem Ausscheiden.

Wann Meldepflicht besteht

Nicht jede Datenpanne löst automatisch eine Meldepflicht aus. Art. 33 DSGVO knüpft sie an eine Risikoeinschätzung: Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, ist die Behörde zu informieren. Ist ein Risiko unwahrscheinlich – etwa weil die betroffenen Daten vollständig verschlüsselt waren und der Schlüssel nicht kompromittiert wurde – entfällt die Meldepflicht, die interne Dokumentationspflicht bleibt jedoch.

Die 72-Stunden-Frist beginnt mit dem Bekanntwerden der Panne, nicht mit dem Vorfall selbst. Erfährt ein Unternehmen an einem Montag von einem Vorfall vom Freitag, läuft die Frist ab Montag. Ist eine vollständige Meldung nicht rechtzeitig möglich, kann zunächst eine vorläufige Meldung erfolgen, die ausdrücklich als solche gekennzeichnet und später ergänzt wird. Zuständig sind in Deutschland die Landesdatenschutzbehörden am Unternehmenssitz; die meisten stellen Online-Meldeformulare bereit, eine strukturierte E-Mail ist ebenfalls zulässig.

Reaktionsplan im Ernstfall

1. Sofortmaßnahmen: Vorfall intern eskalieren und dokumentieren (Was, wann bemerkt, welche Daten, wie viele Personen). Systeme sichern ohne Logs zu löschen, betroffene Zugänge sperren, IT-Forensik oder externen Datenschutzberater hinzuziehen. 2. Risikobewertung: Einschätzen, ob ein Risiko für Betroffene besteht – Datenkategorien, Zahl der Personen, Missbrauchswahrscheinlichkeit. Das Ergebnis entscheidet über Behörden- und Betroffenenbenachrichtigung. 3. Behördenmeldung bis 72 Stunden: Zuständige Aufsichtsbehörde informieren; eine vorläufige Meldung ist besser als keine. 4. Betroffenenbenachrichtigung bei hohem Risiko: Betroffene unverzüglich nach Art. 34 DSGVO in klarer Sprache mit konkreten Handlungsempfehlungen informieren. 5. Nachbereitung: Vollständige Dokumentation im Verzeichnis der Datenpannen (Pflicht nach Art. 33 Abs. 5 DSGVO), Ursachenanalyse und Verbesserung der technischen und organisatorischen Maßnahmen (TOMs).

Was in die Meldung gehört

Art. 33 Abs. 3 DSGVO legt die Mindestinhalte fest: eine Beschreibung der Art der Datenpanne, die ungefähre Zahl der betroffenen Personen und Datensätze, die Kategorien der betroffenen Daten, Name und Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen und geplanten Abhilfemaßnahmen. Auch wenn keine Meldung erfolgt, ist der Vorfall intern zu dokumentieren – einschließlich der Begründung, warum keine Meldung nötig war. Diese Dokumentation gehört zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und kann bei Prüfungen verlangt werden.

Bußgeldrahmen und Vorbereitung

Verstöße gegen die Meldepflicht können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Erschwerend wirkt, wenn eine Meldung verschleppt wird oder ausbleibt. Wirksamen Schutz bietet ein schriftlich dokumentierter Incident-Response-Plan: eine einseitige Übersicht mit Eskalationskette, zuständiger Behörde, internem Datenschutzbeauftragten und externem IT-Notfallkontakt genügt als Grundlage. Ein bestellter externer Datenschutzbeauftragter sollte im Ernstfall erreichbar und in den Meldeprozess eingebunden sein.