Kurz beantwortet

Was ist bei einer DSGVO-Datenpanne zu tun?

Bei einer Verletzung des Schutzes personenbezogener Daten ist sie zu dokumentieren, das Risiko für die Betroffenen zu bewerten und – sofern ein Risiko besteht – unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Datenschutzbehörde zu melden (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko sind auch die Betroffenen zu informieren (Art. 34). Parallel gilt es, den Vorfall technisch einzudämmen und Beweise zu sichern.

Ein falsch adressierter E-Mail-Verteiler, ein gestohlener Laptop, ein Ransomware-Angriff auf den Dateiserver: Datenpannen haben viele Gesichter. Gemeinsam ist ihnen, dass die Uhr ab dem Moment läuft, in dem das Unternehmen davon erfährt.

Was als Datenpanne gilt

Die DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten. Gemeint ist jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt – egal ob absichtlich oder versehentlich. Auch eine verschlüsselte Datenbank, die nicht mehr verfügbar ist, kann darunter fallen.

Die ersten Stunden

  1. Eindämmen: Betroffene Systeme isolieren, Zugänge sperren, weitere Abflüsse verhindern.
  2. Beweise sichern: Protokolle und Zeitpunkte festhalten, Systeme nicht vorschnell neu aufsetzen.
  3. Zuständige informieren: interne Ansprechperson für Datenschutz, Geschäftsführung, gegebenenfalls Datenschutzbeauftragte bzw. Rechtsberatung.
  4. Sachverhalt klären: Welche Daten, wie viele Personen, welche Kategorien – etwa Gesundheits- oder Bankdaten?

Risiko bewerten

Entscheidend ist das Risiko für die betroffenen Personen. Kriterien sind unter anderem die Art und Sensibilität der Daten, die Zahl der Betroffenen, die Folgen für sie – etwa Identitätsdiebstahl oder finanzieller Schaden – und ob die Daten wirksam verschlüsselt waren.

  • Kein Risiko: dokumentieren, keine Meldung.
  • Risiko: Meldung an die Datenschutzbehörde, möglichst binnen 72 Stunden.
  • Hohes Risiko: zusätzlich Benachrichtigung der Betroffenen.

Was die Meldung enthalten muss

Die Meldung beschreibt die Art der Verletzung, die Kategorien und ungefähre Zahl der Betroffenen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder geplanten Maßnahmen sowie eine Kontaktstelle. Fehlende Angaben können nachgereicht werden.

Doppelt melden? DSGVO und NISG 2026

Ist Ihr Unternehmen vom NISG 2026 betroffen und handelt es sich zugleich um einen erheblichen Cybersicherheitsvorfall, gelten zwei Meldepflichten mit unterschiedlichen Empfängern: die Datenschutzbehörde nach DSGVO und das zuständige Computer-Notfallteam nach NISG 2026 – dort mit einer Frühwarnung binnen 24 Stunden. Ein gemeinsamer Incident-Response-Plan sorgt dafür, dass beide Fristen eingehalten werden.

Dokumentation nicht vergessen

Unabhängig davon, ob gemeldet wird: Jede Datenpanne ist mit Sachverhalt, Auswirkungen und ergriffenen Maßnahmen zu dokumentieren. Diese Dokumentation dient der Datenschutzbehörde als Nachweis.

Vorbereitung ist alles

Wer erst im Ernstfall klärt, wer entscheidet und welche Vorlage verwendet wird, verliert wertvolle Zeit. Legen Sie Zuständigkeiten fest, halten Sie eine Meldevorlage bereit und üben Sie den Ablauf. Technisch helfen Verschlüsselung, Protokollierung und ein funktionierendes Backup, das Risiko und den Aufwand zu senken.

Fazit

Eine Datenpanne ist kein Grund zur Panik, wohl aber zur Eile. Mit klaren Rollen, einer vorbereiteten Bewertung und einem geübten Ablauf lassen sich die 72 Stunden gut einhalten. Wir unterstützen beim technischen Datenschutz und Datenpannen-Management – die rechtliche Bewertung erfolgt durch Ihre Rechtsberatung.