Trotz aller Sicherheitsmaßnahmen kann es passieren: Ein Hackerangriff, ein versehentlich verschicktes Dokument, ein verlorener Laptop. Dann greift die Datenpanne Meldepflicht DSGVO. Unternehmen müssen – sofern ein Risiko für betroffene Personen besteht – binnen 72 Stunden die Aufsichtsbehörde informieren und eventuell die Betroffenen selbst. Wer versucht, eine Datenpanne zu vertuschen, riskiert noch höhere Bußgelder. In diesem Artikel erfährst du, welche Vorfälle meldepflichtig sind, wie der Meldeprozess abläuft und wie du durch eine gute Vorbereitung Schaden minimierst.
Bulletpoints – Datenpanne Meldepflicht DSGVO
- Definition Datenpanne: Schutzverletzung personenbezogener Daten
- 72-Stunden-Frist zur Meldung an die Behörde
- Betroffeneninfo: bei hohem Risiko
- Notfallplan: Vorher festlegen, wer wie agiert
1. Was ist eine Datenpanne laut DSGVO?
Art. 4 Nr. 12 DSGVO definiert eine „Verletzung des Schutzes personenbezogener Daten“, wenn es zur Vernichtung, zum Verlust, zur Veränderung oder unbefugten Offenlegung bzw. unbefugtem Zugriff auf Daten kommt. Beispiele:
- Hackerangriff: Cyberkriminelle verschaffen sich Zugriff auf Kundendaten.
- Versehentlich falscher Empfänger: E-Mail mit sensiblen Anhängen an eine Fremdadresse.
- Verlorene/gestohlene Geräte: Laptop mit unverschlüsselter Festplatte geht verloren.
2. Wann ist die Meldung Pflicht?
Binnen 72 Stunden an die Aufsichtsbehörde, wenn ein Risiko für die Rechte und Freiheiten der Betroffenen besteht.
- Hoher Schadenspotenzial: z. B. Passwörter, Kreditkartendaten, Gesundheitsinfos.
- Geringes Risiko: Eventuell reicht interne Dokumentation, keine externe Meldung.
Du musst das Risiko einschätzen, am besten in Absprache mit deinem Datenschutzbeauftragten.
3. Ablauf der Meldung
- Entdeckung: Mitarbeiter meldet Vorfall der Datenschutzabteilung oder dem DSB.
- Unmittelbare Maßnahmen: Lücke schließen, etwa Mailzugang sperren, Passwörter zurücksetzen.
- Risikoabschätzung: Wie wahrscheinlich ist ein Missbrauch? Welche Daten sind betroffen?
- Behördenmeldung: Inhalte: Art der Panne, Kategorien betroffener Daten/Personen, geschätzte Anzahl, Maßnahmen zur Behebung.
- Betroffenenmeldung: Falls ein hohes Risiko für persönliche Rechte besteht, etwa Identitätsdiebstahl. Gib Betroffenen Tipps, wie sie sich schützen können.
4. Tipps für den Notfallplan
- Kontaktdaten der Aufsichtsbehörden bereithalten (Landesdatenschutzbehörde).
- Checkliste: Wer informiert wen? IT sperrt Zugänge, DSB sammelt Infos, Geschäftsführer autorisiert Meldung.
- Kommunikationsstrategie: Offenheit zahlt sich aus. Vertuschen führt zu höheren Strafen, wenn es doch ans Licht kommt.
- Dokumentation: Alles, was du tust, schriftlich oder digital festhalten (Zeitpunkt, Maßnahmen, Beteiligte).
5. Häufige Fehler – Datenpanne Meldepflicht DSGVO
- Zu späte Meldung: Die 72-Stunden-Frist beginnt, sobald du Kenntnis erlangst – nicht erst nach einer internen Klärung.
- Kein Risikobewusstsein: Viele unterschätzen die Tragweite einer Panne (z. B. Doxing-Risiko für Betroffene).
- Unklare Zuständigkeiten: Niemand weiß, wer handeln soll.
- Keine Schulungen: Mitarbeiter erkennen Phishing oder Datenlecks zu spät.
FAQ – Datenpanne Meldepflicht DSGVO
Nur, wenn ein hohes Risiko besteht. Bei geringem Risiko reicht die Meldung an die Aufsichtsbehörde oder nur interne Dokumentation.
Möglicherweise geringes Risiko, aber du solltest den Vorfall prüfen. Zur Sicherheit kann eine formlose Behörde-Meldung ratsam sein (Better safe than sorry).
Bei der zuständigen Landesdatenschutzbehörde. Wenn dein Unternehmen in mehreren Bundesländern sitzt, kann eine federführende Behörde zuständig sein.
