Bei einer meldepflichtigen Datenpanne gilt: sofort dokumentieren, Ausmaß einschätzen, Zugang sperren, Datenschutzbeauftragten informieren, Meldepflicht prüfen und innerhalb von 72 Stunden an die Aufsichtsbehörde melden — vollständig und schriftlich.
72 Stunden klingen lang — sind aber wenig, wenn man nicht vorbereitet ist. Wer jetzt einen Incident-Response-Plan erstellt, hat im Ernstfall einen entscheidenden Vorsprung.
Eine meldepflichtige Datenpanne im Sinne des Art. 33 DSGVO liegt vor, wenn personenbezogene Daten durch Verlust, Vernichtung, Veränderung oder unbefugte Offenbarung betroffen sind. Das umfasst Hackerangriffe, aber auch verlorene Laptops, falsch adressierte E-Mails mit Anhängen, versehentlich öffentlich zugängliche Datenbanken oder kompromittierte Zugangsdaten.
Nicht jede Datenpanne ist meldepflichtig. Die DSGVO verlangt eine Meldung, wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Ist das Risiko voraussichtlich nicht hoch, genügt eine interne Dokumentation. Ist das Risiko hoch, müssen zusätzlich die betroffenen Personen direkt informiert werden. Die Einschätzung des Risikos muss dokumentiert und begründet werden — sie ist nicht optional.
-
Vorfall entdecken und sofort dokumentieren
Zeitstempel festhalten: Wann wurde der Vorfall entdeckt, von wem, auf welchem Weg? Diese erste Dokumentation ist die Grundlage für alles Weitere. Nichts aus dem Gedächtnis rekonstruieren — sofort aufschreiben, auch wenn der Überblick noch fehlt.
-
Ausmaß einschätzen
Welche Daten sind betroffen? Welche Kategorien — einfache Kontaktdaten, Gesundheitsdaten, Finanzdaten, besonders schutzwürdige Daten? Wie viele Personen sind betroffen? Wo liegen die Daten, wo könnten sie hingegangen sein? Diese Einschätzung muss schnell, aber sorgfältig erfolgen.
-
Sofortmaßnahmen ergreifen
Zugang zum betroffenen System sperren oder einschränken. Leak stoppen, soweit technisch möglich. Kompromittierte Zugangsdaten sofort ändern. Betroffene Systeme isolieren falls nötig — aber nicht ohne Dokumentation des Zustands vor der Maßnahme. Forensische Spuren sichern.
-
Datenschutzbeauftragten informieren
Falls ein DSB bestellt ist, muss dieser unverzüglich einbezogen werden. Der DSB berät bei der Risikobewertung und der Frage der Meldepflicht. Kein DSB vorhanden? Dann liegt die Entscheidung bei der Geschäftsführung — ggf. externen Berater hinzuziehen.
-
Meldepflicht prüfen
Besteht ein Risiko für betroffene Personen? Falls ja: Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis des Vorfalls. Die Frist ist absolut — eine Meldung nach 72 Stunden ist immer noch besser als keine, muss aber begründet werden.
-
Meldung vorbereiten und einreichen
Die Meldung an die Aufsichtsbehörde muss enthalten: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen der Verletzung, ergriffene oder geplante Abhilfemaßnahmen, Kontaktdaten des DSB. Die meisten Aufsichtsbehörden haben Online-Meldeformulare.
-
Betroffene informieren
Falls ein hohes Risiko für betroffene Personen besteht, müssen diese direkt informiert werden — in klarer, verständlicher Sprache, ohne Fachjargon. Inhalt: Art des Vorfalls, wahrscheinliche Folgen, ergriffene Maßnahmen, Kontaktmöglichkeit für Rückfragen.
-
Interne Dokumentation vervollständigen
Art. 33 Abs. 5 DSGVO verpflichtet zur vollständigen Dokumentation aller Datenpannen — auch der nicht meldepflichtigen. Diese Dokumentation muss Aufsichtsbehörden auf Anfrage vorgelegt werden können und ist Teil des Nachweises datenschutzkonformen Handelns.
- Art der Verletzung (Vertraulichkeit, Integrität, Verfügbarkeit)
- Kategorien der betroffenen Daten (Kontaktdaten, Gesundheitsdaten, Finanzdaten etc.)
- Ungefähre Anzahl betroffener Personen
- Ungefähre Anzahl betroffener Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten
- Wahrscheinliche Folgen der Datenschutzverletzung
- Ergriffene oder geplante Maßnahmen zur Behebung und Schadensbegrenzung
- Zeitpunkt der Entdeckung des Vorfalls
Prävention ist besser als Reaktion. Die häufigsten Ursachen für Datenpannen in KMU sind schwache Zugangsdaten, fehlende Zwei-Faktor-Authentifizierung, unverschlüsselte Geräte und fehlende Berechtigungskonzepte. Technische Maßnahmen wie regelmäßige Backups, Zugriffsprotokollierung und Verschlüsselung reduzieren sowohl die Wahrscheinlichkeit als auch den Schaden eines Vorfalls erheblich.
Organisatorisch hilft ein klares Berechtigungskonzept: Wer hat Zugriff auf welche Daten und warum? Das Prinzip der Datensparsamkeit — so wenige Daten wie nötig, so wenige Zugriffsrechte wie nötig — verkleinert das Risikopotenzial strukturell. Und regelmäßige Schulungen für Mitarbeitende sind nachweislich wirksam: Die häufigste Einstiegsroute für Datenpannen ist nach wie vor der Mensch, nicht die Technik.
Wir helfen Ihnen dabei, einen praxistauglichen Incident-Response-Plan zu erstellen — bevor der Ernstfall eintritt.
Datenschutz-Notfallplan entwickelnHäufige Fragen
Ab wann beginnt die 72-Stunden-Frist für die Meldung?
Was passiert, wenn ich die 72-Stunden-Frist verpasse?
Muss ich jede Datenpanne melden?
An welche Behörde melde ich eine Datenpanne?
War dieser Artikel hilfreich?