Datenpanne melden: Meldepflicht, Fristen und was im Ernstfall zu tun ist

Die DSGVO definiert eine Verletzung des Schutzes personenbezogener Daten (sogenannter Data Breach) als jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt. Das klingt komplex, lässt sich aber in drei Kernszenarien herunterbrechen: Vertraulichkeitsverletzung (unbefugter Zugriff), Integritätsverletzung (unberechtigte Veränderung) und Verfügbarkeitsverletzung (Datenverlust oder Nichtzugänglichkeit).

Wichtig: Eine Datenpanne erfordert keine böse Absicht. Auch versehentliche Vorfälle fallen darunter – etwa wenn ein Mitarbeiter eine E-Mail mit personenbezogenen Anhängen an den falschen Empfänger sendet, ein Laptop mit Kundendaten verloren geht oder ein Backup versehentlich gelöscht wird. Entscheidend ist nicht die Absicht, sondern die Tatsache, dass personenbezogene Daten kompromittiert wurden oder werden konnten.

Häufige Datenpannen-Szenarien in der Praxis: gehackte E-Mail-Accounts (Phishing), Ransomware-Angriffe auf Server, verlorene oder gestohlene Notebooks und Smartphones, fehlerhafte Massenmail-Versendung mit sichtbaren Empfängern (CC statt BCC), versehentlich öffentlich zugängliche Cloud-Ordner sowie der Versand von Dokumenten mit Personendaten an den falschen Empfänger. Für jedes dieser Szenarien sollte ein Unternehmen vorbereitet sein, bevor es passiert.

Nicht jede Datenpanne löst automatisch eine Meldepflicht aus. Art. 33 DSGVO knüpft die Meldepflicht an eine Risikoeinschätzung: Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, muss die zuständige Datenschutzbehörde informiert werden. Ist das Risiko unwahrscheinlich – etwa weil die betroffenen Daten vollständig verschlüsselt waren und der Schlüssel nicht kompromittiert wurde – entfällt die Meldepflicht, aber die interne Dokumentationspflicht bleibt bestehen.

Die Meldung muss innerhalb von 72 Stunden nach Bekanntwerden der Panne erfolgen. Maßgeblich ist der Zeitpunkt, zu dem das Unternehmen von der Panne erfahren hat – nicht der Zeitpunkt des Vorfalls selbst. Wenn eine vollständige Meldung innerhalb von 72 Stunden nicht möglich ist, kann zunächst eine vorläufige Meldung erfolgen, die nachträglich ergänzt wird. Das muss dann aber ausdrücklich so kommuniziert werden.

In Deutschland sind die Landesdatenschutzbehörden zuständig – zum Beispiel die LfDI (Landesbeauftragter für den Datenschutz und die Informationsfreiheit) in NRW oder die Bayerische Datenschutzbehörde (BayLDA). Welche Behörde zuständig ist, richtet sich nach dem Sitz des Unternehmens. Die meisten Behörden stellen Online-Formulare für die Meldung bereit; eine strukturierte Meldung per E-Mail ist aber ebenfalls zulässig.

Art. 33 Abs. 3 DSGVO definiert, was eine vollständige Meldung enthalten muss. In der Praxis sollte die Meldung folgende Punkte umfassen: eine Beschreibung der Art der Datenpanne (Was ist passiert?), die ungefähre Zahl der betroffenen Personen und Datensätze, die Kategorien der betroffenen Daten (z. B. Namen, Adressen, Bankdaten, Gesundheitsdaten), den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle, eine Beschreibung der wahrscheinlichen Folgen der Panne sowie die ergriffenen oder geplanten Maßnahmen zur Behebung und künftigen Vermeidung.

Viele Behörden stellen strukturierte Online-Formulare bereit – in NRW etwa das Meldeportal der LfDI. Auch eine formlose E-Mail ist zulässig, sollte aber alle oben genannten Punkte abdecken. Bei einer vorläufigen Meldung ist explizit darauf hinzuweisen, dass weitere Informationen folgen, und ein Zeitrahmen dafür anzugeben.

Die interne Dokumentationspflicht geht über die Behördenmeldung hinaus: Auch wenn keine Meldepflicht besteht (weil das Risiko als gering eingestuft wurde), muss der Vorfall intern dokumentiert werden – einschließlich der Begründung, warum keine Meldung erfolgte. Diese Dokumentation kann bei späteren Behördenprüfungen verlangt werden und ist Bestandteil des Nachweises über die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Verstöße gegen die Meldepflicht können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. In der Praxis sind die Bußgelder für mittelständische Unternehmen meist im fünf- bis sechsstelligen Bereich, wenn keine schwerwiegenden Datenverluste oder vorsätzliches Handeln vorliegen. Erschwerend wirkt sich jedoch aus, wenn die Meldung verschleppt wird oder gar nicht erfolgt.

Einen wirksamen Schutz bietet ein schriftlich dokumentierter Incident-Response-Plan. Er muss nicht komplex sein – eine klar strukturierte einseitige Übersicht mit Eskalationsketten, zuständiger Behörde, internem DSB und externem IT-Notfallkontakt reicht als Grundlage. Regelmäßige Schulungen, damit alle Mitarbeiter wissen, wie sie eine verdächtige Situation intern melden, sind genauso wichtig wie die technischen TOMs.

Wer einen externen Datenschutzbeauftragten bestellt hat, sollte sicherstellen, dass dieser im Ernstfall erreichbar ist und in den Meldeprozess eingebunden wird. Der DSB kennt die formalen Anforderungen und kann die Meldung an die Behörde formulieren und koordinieren – das spart Zeit und minimiert das Bußgeldrisiko durch fehlerhafte oder unvollständige Meldungen.