Datenpanne melden: Meldepflicht, Fristen und wann sie wirklich gilt
Kurz gesagt
Bei einer Datenpanne mit Risiko für Betroffene muss die Aufsichtsbehörde innerhalb von 72 Stunden nach Art. 33 DSGVO informiert werden — in schweren Fällen zusätzlich die Betroffenen selbst nach Art. 34 DSGVO. Nicht jede Panne ist meldepflichtig, aber jede muss intern dokumentiert werden.
Was rechtlich als Datenpanne zählt
Drei Kernszenarien deckt der Begriff ab: eine Vertraulichkeitsverletzung durch unbefugten Zugriff, eine Integritätsverletzung durch unberechtigte Veränderung und eine Verfügbarkeitsverletzung durch Datenverlust oder Nichtzugänglichkeit. Entscheidend ist nicht die Absicht, sondern die Tatsache, dass Daten kompromittiert wurden oder werden konnten.
Typische Szenarien im Mittelstand
- Gehackter E-Mail-Account: Angreifer lesen ein Postfach mit Kundendaten mit oder versenden Spam im Namen des Unternehmens.
- Ransomware-Angriff: Daten auf dem Server werden verschlüsselt, Zugriff nur gegen Lösegeld — eine Verfügbarkeitsverletzung.
- Verlorenes Notebook: ein unverschlüsseltes Gerät mit Kundenlisten oder internen Dokumenten fällt in fremde Hände.
- Falsche E-Mail-Empfänger: eine Kundenliste, Rechnung oder ein Vertrag geht an die falsche Adresse.
- Offener Cloud-Ordner: ein freigegebener Link ist öffentlich indexierbar und enthält personenbezogene Dokumente.
- Fehlkonfigurierter Server: eine Datenbank oder ein Backup-Verzeichnis ist ohne Authentifizierung öffentlich erreichbar.
- Interner Datenmissbrauch: Mitarbeitende exportieren Kundendaten unbefugt vor dem Ausscheiden.
Wann die Meldepflicht greift
Art. 33 DSGVO knüpft die Meldepflicht an eine Risikoeinschätzung: Besteht voraussichtlich ein Risiko für Betroffene, muss die zuständige Behörde informiert werden. Ist ein Risiko unwahrscheinlich — etwa weil betroffene Daten vollständig verschlüsselt waren und der Schlüssel nicht kompromittiert wurde —, entfällt die Meldepflicht, die interne Dokumentationspflicht bleibt jedoch bestehen. Maßgeblich für die 72-Stunden-Frist ist der Zeitpunkt, zu dem das Unternehmen von der Panne erfährt, nicht der Zeitpunkt des Vorfalls selbst. Ist eine vollständige Meldung fristgerecht nicht möglich, kann zunächst eine vorläufige Meldung erfolgen, die ausdrücklich als solche gekennzeichnet und später ergänzt wird.
Was in die Meldung gehört
- Beschreibung der Art der Datenpanne.
- Ungefähre Zahl der betroffenen Personen und Datensätze.
- Kategorien der betroffenen Daten.
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle.
- Beschreibung der wahrscheinlichen Folgen.
- Ergriffene oder geplante Maßnahmen zur Behebung und künftigen Vermeidung.
Der Reaktionsplan im Überblick
- Sofortmaßnahmen: Vorfall intern eskalieren und dokumentieren, Systeme sichern, betroffene Zugänge sperren, ggf. externe IT-Forensik hinzuziehen.
- Risikobewertung: welche Datenkategorien, wie viele Personen, wie wahrscheinlich ein Missbrauch — das Ergebnis entscheidet über Meldepflichten.
- Behördenmeldung: innerhalb von 72 Stunden, mit allen Pflichtangaben; eine vorläufige Meldung ist besser als keine.
- Betroffenen-Benachrichtigung: bei hohem Risiko unverzüglich, klar formuliert, mit konkreten Handlungsempfehlungen.
- Nachbereitung: vollständige interne Dokumentation und eine Ursachenanalyse, die in die nächste Überprüfung der TOM einfließt.