Datenpanne melden nach DSGVO: Schritt für Schritt in 72 Stunden sicher handeln

Wie meldest du eine Datenpanne nach DSGVO?

Eine Datenpanne musst du unverzüglich und möglichst innerhalb von 72 Stunden der zuständigen Datenschutz-Aufsichtsbehörde melden, sobald du als verantwortliches Unternehmen davon Kenntnis hast – außer, die Panne führt voraussichtlich zu keinem Risiko für die betroffenen Personen (Art. 33 DSGVO). Besteht ein hohes Risiko, musst du zusätzlich die Betroffenen informieren (Art. 34 DSGVO). Dokumentieren musst du jede Datenpanne, auch wenn sie nicht meldepflichtig ist.

Ein einziger falscher Klick oder ein Cyberangriff genügt – und plötzlich steht das Unternehmen unter massivem Druck. Wer ohne Struktur agiert, riskiert neben Reputationsschäden auch empfindliche Bußgelder. Dieser Praxisleitfaden zeigt dir Schritt für Schritt, wie du ein Datenleck eindämmst, das Risiko bewertest und die 72-Stunden-Frist einhältst.

Was versteht man unter einer Datenpanne nach DSGVO?

Eine Datenpanne (im Gesetzestext: Verletzung des Schutzes personenbezogener Daten) ist jeder Sicherheitsvorfall, bei dem personenbezogene Daten versehentlich oder unrechtmäßig vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich gemacht werden (Art. 4 Nr. 12 DSGVO).

Typische Beispiele aus dem Unternehmensalltag sind:

• Hackerangriffe und Ransomware: Verschlüsselung oder Abfluss von Kundendaten durch Cyberkriminelle.
• Der klassische Mail-Fehler: Das versehentliche Versenden von Excel-Listen mit Gehalts- oder Kundendaten an den falschen Empfänger.
• Hardware-Verlust: Der in der Bahn vergessene Firmen-Laptop oder ein verlorener, unverschlüsselter USB-Stick.
• Interne Fehltritte: Unbefugter Zugriff von Mitarbeitenden auf Personalakten ohne berechtigten Grund.
• Technische Pannen: Fehlkonfigurierte Cloud-Speicher (z. B. bei AWS oder Azure), durch die Datenbanken offen im Netz stehen.

Nicht jede Datenpanne ist meldepflichtig. Entscheidend ist, ob durch den Vorfall ein Risiko für die Rechte und Freiheiten der betroffenen Personen entsteht.

Meldepflichten nach Art. 33 und 34 DSGVO – ein Überblick

Die gesetzliche Grundlage für das Krisenmanagement im Datenschutz besteht aus zwei zentralen Vorschriften:

• Art. 33 DSGVO (Meldung an die Behörde): Regelt die Pflicht, eine Datenschutzverletzung unverzüglich und möglichst innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Ausgenommen sind nur Vorfälle, die voraussichtlich zu keinem Risiko für die Betroffenen führen.
• Art. 34 DSGVO (Benachrichtigung der Betroffenen): Beschreibt, wann du die betroffenen Personen (Kund:innen, Mitarbeitende, Nutzer:innen) direkt informieren musst. Das ist erforderlich, wenn die Panne voraussichtlich ein hohes Risiko nach sich zieht, etwa drohenden Identitätsdiebstahl oder finanziellen Schaden.

Wichtig für den Fristbeginn: Die 72 Stunden beginnen, sobald du als Verantwortlicher mit hinreichender Gewissheit weißt, dass eine Datenpanne vorliegt. Eine kurze Prüfung, ob tatsächlich personenbezogene Daten betroffen sind, ist erlaubt. Sie darf aber nicht verschleppt werden – und interne Meldewege müssen so organisiert sein, dass Hinweise von Mitarbeitenden schnell bei den Verantwortlichen ankommen.

Verspätete Meldung: Schaffst du die 72 Stunden nicht, musst du trotzdem melden und die Gründe für die Verzögerung angeben (Art. 33 Abs. 1 DSGVO).

Auftragsverarbeiter: Tritt die Panne bei einem Dienstleister auf, muss dieser dich unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Die Meldung an die Behörde bleibt deine Aufgabe als Verantwortlicher. Regle diese Pflichten im Auftragsverarbeitungsvertrag.

Die ersten Stunden nach Entdeckung: der 5-Schritte-Ablauf

Sobald eine mögliche Datenpanne im Raum steht, entscheidet ein strukturiertes Vorgehen über Bußgeld oder Schadensbegrenzung. Gehe chronologisch vor:

1. Vorfall sofort erfassen: Relevante Fakten dokumentieren (Was ist passiert? Wann wurde es bemerkt? Welche Datenkategorien sind betroffen?).
2. Intern alarmieren: Sofort die zuständigen Stellen informieren (Datenschutzbeauftragte:r, IT-Leitung, Geschäftsführung).
3. Schaden technisch begrenzen: Notfallmaßnahmen einleiten, z. B. betroffene Server vom Netz trennen, kompromittierte Konten sperren, Backups sichern.
4. Risiko erstbewerten: Gemeinsame Einschätzung durch IT und Datenschutz, ob ein Risiko für die Rechte der Betroffenen vorliegt.
5. Kommunikation und Fristen klären: Weiteres Vorgehen festlegen und die Behördenmeldung vorbereiten.

Bewertung der Datenpanne: Wann muss gemeldet werden?

Die Risikobewertung ist der rechtliche Knackpunkt. Schätzt du das Risiko fälschlich als „nicht vorhanden“ ein und meldest die Panne nicht, drohen hohe Bußgelder.

Für eine sachgerechte Risikobewertung analysierst du diese Faktoren:

• Art und Sensibilität der Daten: Geht es um bloße Anschriften oder um sensible Daten wie Gesundheitsdaten, Passwörter, Kreditkarten- oder Bankverbindungen?
• Schadensausmaß: Wie wahrscheinlich und wie schwer sind die möglichen Folgen für die Betroffenen (z. B. Phishing-Wellen, Identitätsdiebstahl, Rufschaden)?
• Empfängerkreis: Liegen die Daten bei einem bekannten, vertrauenswürdigen Dritten (z. B. irrtümlich an einen langjährigen Partner gemailt, der die Löschung bestätigt) oder bei Cyberkriminellen?
• Wirksamkeit von Schutzmaßnahmen: Waren die Daten nach dem Stand der Technik verschlüsselt (z. B. AES-256) und ist der Schlüssel sicher? Dann liegt meist kein Risiko vor.

Praxis-Tipp: Die Grenze zwischen „normalem“ und „hohem“ Risiko ist fließend und im Ernstfall ohne Erfahrung schwer zu bewerten. Fehlentscheidungen können Bußgelder nach sich ziehen. Um im 72-Stunden-Fenster keine Zeit zu verlieren, hilft ein externer Datenschutzbeauftragter, der den Vorfall schnell einordnet und die Meldung mit dir vorbereitet.

Dokumentation und Meldung der Datenschutzverletzung

Unabhängig davon, ob eine Datenpanne am Ende meldepflichtig ist: Nach Art. 33 Abs. 5 DSGVO musst du jede Datenschutzverletzung intern dokumentieren. Bei einer behördlichen Prüfung musst du dieses Vorfallsregister lückenlos vorlegen können.

Die Dokumentation muss enthalten:

• die Fakten des Vorfalls und seine Auswirkungen,
• die betroffenen Datenkategorien und die ungefähre Zahl der betroffenen Personen,
• die ergriffenen Abhilfemaßnahmen,
• die Begründung, warum der Vorfall gemeldet oder nicht gemeldet wurde.

Die Meldung an die zuständige Aufsichtsbehörde – in Deutschland meist die Landesdatenschutzbehörde am Sitz des Unternehmens – erfolgt in der Regel über deren Online-Meldeformular.

Kommunikation mit Betroffenen: Wann ist eine Information notwendig?

Ergibt die Risikobewertung ein hohes Risiko für die Betroffenen, greift Art. 34 DSGVO. Du musst die betroffenen Personen unverzüglich und in klarer, verständlicher Sprache informieren.

Die Mitteilung muss mindestens enthalten:

• eine Beschreibung der Art der Datenschutzverletzung,
• Name und Kontaktdaten der oder des Datenschutzbeauftragten oder einer anderen Anlaufstelle,
• die wahrscheinlichen Folgen des Vorfalls,
• die Maßnahmen, die du ergriffen hast oder ergreifen willst, um die Verletzung zu beheben und die Folgen abzumildern.

Sinnvoll sind außerdem konkrete Handlungsempfehlungen: Was können die Betroffenen tun, um sich zu schützen (z. B. Passwörter ändern, Kontoauszüge prüfen, bei verdächtigen Anrufen wachsam sein)?

Eine Benachrichtigung ist ausnahmsweise nicht nötig, wenn die Daten durch Verschlüsselung geschützt waren, nachträgliche Maßnahmen das hohe Risiko beseitigt haben oder die Benachrichtigung unverhältnismäßigen Aufwand bedeuten würde – dann tritt eine öffentliche Bekanntmachung an ihre Stelle (Art. 34 Abs. 3 DSGVO).

Checkliste: Datenpanne melden in 72 Stunden

1. Vorfall mit Zeitpunkt der Kenntnisnahme dokumentieren.
2. Datenschutzbeauftragte:n, IT-Leitung und Geschäftsführung informieren.
3. Sofortmaßnahmen zur Schadensbegrenzung einleiten.
4. Betroffene Datenkategorien und Zahl der Betroffenen ermitteln.
5. Risiko bewerten: kein Risiko, Risiko oder hohes Risiko.
6. Bei Risiko: Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden – notfalls schrittweise.
7. Bei hohem Risiko: Betroffene unverzüglich informieren.
8. Prüfen, ob zusätzliche Meldepflichten nach NIS2 oder DORA bestehen.
9. Entscheidung und Begründung im Vorfallsregister festhalten.
10. Ursachen analysieren und Maßnahmen gegen Wiederholung umsetzen.

Hilfreiche Tools, Checklisten und Vorlagen

Ein strukturierter Prozess schützt vor Fehlern unter Zeitdruck. Diese Instrumente sollten in deinem Datenschutz-Handbuch griffbereit sein:

• Datenpannen-Checkliste: Ein klares Protokoll, das beim ersten Verdacht gestartet wird – etwa die Checkliste oben.
• Muster-Informationsschreiben: Vorbereitete Textbausteine für die Betroffenenkommunikation, damit du im Ernstfall keine Zeit mit Formulierungen verlierst.
• Internes Vorfallsprotokoll: Eine standardisierte Vorlage zur Erfüllung der Dokumentationspflicht.
• Incident-Response-Plattformen: Softwaregestützte Workflows, die die Meldewege im Unternehmen steuern.

Vorbereitung durch Schulungen und Prozesse: So vermeidest du Chaos

Neben der DSGVO können weitere Meldepflichten greifen:

• NIS2: Wichtige und besonders wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle dem BSI melden – mit einer Frühwarnung innerhalb von 24 Stunden, einer Meldung nach 72 Stunden und einem Abschlussbericht nach einem Monat.
• DORA: Finanzunternehmen melden schwerwiegende IKT-Vorfälle an die BaFin – die Erstmeldung schon innerhalb von 4 Stunden nach der Einstufung, spätestens 24 Stunden nach Kenntnis. Mehr dazu in unserem DORA-Überblick.

Chaos im Ernstfall verhinderst du nur durch Vorbereitung:

• Regelmäßige Awareness-Schulungen: Die meisten Datenpannen entstehen durch den Faktor Mensch (Phishing, Fehlversand). Schulungen sind die beste Prävention.
• Klare Meldewege: Alle Mitarbeitenden müssen wissen: An wen wende ich mich, wenn ich vermute, dass Daten abgeflossen sind?
• Tabletop-Übungen: Spiele den Ernstfall (z. B. einen Ransomware-Angriff am Freitagnachmittag) mit IT-Leitung, Datenschutzbeauftragten und Geschäftsführung durch.

Fazit

Die fristgerechte Meldung einer Datenpanne ist unter Zeitdruck ein komplexer, aber mit der richtigen Vorbereitung gut beherrschbarer Prozess. Das Schließen der Sicherheitslücke, die Risikobewertung und die Dokumentation müssen Hand in Hand gehen. Wer klare Zuständigkeiten schafft, Checklisten vorbereitet und auf professionelle Unterstützung setzt, macht aus einer potenziellen Krise einen sauber gesteuerten Prozess.

Mit heyData bist du vorbereitet: mit externem Datenschutzbeauftragten, Vorlagen für Meldung und Vorfallsregister und Schulungen für dein Team.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo