IT-Wissen · Sicherheit

Datenpanne: Was tun bei einer Datenschutzverletzung?

Kurz erklärt

Eine Datenpanne (Datenschutzverletzung) ist nach Art. 4 DSGVO eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt. Beispiele sind ein gehacktes System, ein verlorener Laptop oder eine E-Mail mit Kundendaten an den falschen Empfänger.

Eine Datenpanne ist jede Verletzung des Schutzes personenbezogener Daten – von der Cyberattacke bis zur versehentlich falsch adressierten E-Mail.
Meldepflichtige Datenpannen müssen der Aufsichtsbehörde in der Regel innerhalb von 72 Stunden gemeldet werden (Art. 33 DSGVO).
Bei hohem Risiko für die Betroffenen müssen zusätzlich die betroffenen Personen informiert werden (Art. 34 DSGVO).

Was eine Datenpanne ist

Bei „Datenpanne” denken viele sofort an spektakuläre Hackerangriffe. Tatsächlich ist der Begriff viel breiter. Nach Art. 4 der DSGVO ist eine Datenpanne jede Verletzung der Sicherheit, die zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zur Vernichtung personenbezogener Daten führt. Das schließt den Cyberangriff ein – aber genauso den verlorenen Firmenlaptop, die fehlgeleitete E-Mail mit Kundendaten oder den Aktenordner im Altpapier.

Der gemeinsame Nenner ist immer: Personenbezogene Daten sind in Gefahr geraten oder in falsche Hände gelangt. Ob absichtlich oder aus Versehen, spielt für die Einstufung keine Rolle.

Die 72-Stunden-Meldepflicht

Das Herzstück der rechtlichen Pflichten ist die Frist. Eine meldepflichtige Datenpanne muss nach Art. 33 DSGVO der zuständigen Aufsichtsbehörde gemeldet werden – ohne unangemessene Verzögerung und möglichst innerhalb von 72 Stunden, nachdem das Unternehmen von der Panne Kenntnis erlangt hat.

Die 72-Stunden-Uhr beginnt zu ticken, sobald Sie von der Datenpanne erfahren – nicht erst, wenn Sie alle Details kennen. Deshalb ist eine schnelle Ersteinschätzung entscheidend; im Zweifel meldet man lieber fristgerecht und ergänzt Details nach.

Führt die Panne voraussichtlich zu einem hohen Risiko für die betroffenen Personen, müssen nach Art. 34 DSGVO zusätzlich die Betroffenen selbst informiert werden – damit sie sich schützen können, etwa durch das Ändern von Passwörtern.

Sofortmaßnahmen im Ernstfall

Wenn eine Datenpanne eintritt, zählt ein klarer Ablauf:

Eindämmen: die Ursache stoppen – betroffene Systeme isolieren, Zugänge sperren, Fehler korrigieren.
Dokumentieren: was ist passiert, welche Daten sind betroffen, wie viele Personen, seit wann?
Risiko einschätzen: Wie wahrscheinlich und wie schwer ist ein Schaden für die Betroffenen?
Melden: bei Meldepflicht innerhalb von 72 Stunden an die Aufsichtsbehörde.
Betroffene informieren: bei hohem Risiko unverzüglich.
Aufarbeiten: die Lücke schließen, damit sich der Vorfall nicht wiederholt.

Vorbereitung schlägt Hektik

Eine Datenpanne unter Zeitdruck sauber zu behandeln, gelingt nur, wenn man vorbereitet ist. Dazu gehören ein definierter Meldeweg, ein einbezogener Datenschutzbeauftragter und eine Kultur, in der Mitarbeitende Vorfälle sofort melden, statt sie aus Angst zu verschweigen. Häufige Auslöser wie Ransomware und Phishing lassen sich zudem durch gute Prävention deutlich reduzieren. Für die datenschutzrechtliche Begleitung – von der Risikoeinschätzung bis zur Meldung – ist unser Partnerprojekt fraghugo.de eine gute Anlaufstelle. Und als Teil einer betreuten Sicherheit & Compliance ist der Ernstfall geprobt, bevor er eintritt – denn im Schadensfall entscheidet die Vorbereitung über den Ausgang.

Passend dazu bei kjello

Häufige Fragen zu Datenpanne

Was zählt als Datenpanne?

Jede Verletzung der Sicherheit personenbezogener Daten. Dazu gehören Cyberangriffe wie Ransomware oder erfolgreiche Phishing-Attacken, aber auch alltägliche Fehler: ein verlorenes Notebook oder USB-Stick, eine E-Mail mit Kundendaten an den falschen Verteiler, ein Einbruch oder ein falsch entsorgter Aktenordner. Nicht jede Datenpanne ist ein Hackerangriff.

Muss ich eine Datenpanne innerhalb von 72 Stunden melden?

In der Regel ja. Nach Art. 33 DSGVO muss eine meldepflichtige Datenpanne der zuständigen Aufsichtsbehörde ohne unangemessene Verzögerung, möglichst binnen 72 Stunden nach Bekanntwerden, gemeldet werden. Ausgenommen sind Fälle, in denen die Verletzung voraussichtlich zu keinem Risiko für die Betroffenen führt. Die Frist läuft ab dem Zeitpunkt, an dem Sie von der Panne Kenntnis erlangen.

Muss ich die betroffenen Personen informieren?

Wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, ja – nach Art. 34 DSGVO und unverzüglich. Bei geringem Risiko genügt die Meldung an die Aufsichtsbehörde und die interne Dokumentation. Die Risikoeinschätzung sollte nachvollziehbar dokumentiert werden.

Was sind die ersten Schritte bei einer Datenpanne?

Zuerst die Ursache eindämmen (etwa betroffene Systeme isolieren), dann den Vorfall dokumentieren und das Risiko für die Betroffenen einschätzen. Anschließend prüfen, ob eine Meldung an die Aufsichtsbehörde (binnen 72 Stunden) und eine Information der Betroffenen nötig sind. Wichtig ist, den Datenschutzbeauftragten früh einzubeziehen und alles lückenlos festzuhalten.

Diese Themen lieber abgeben?

kjello übernimmt Datenpanne und den Rest Ihrer IT als Service – betrieben von einem echten Systemhaus, ab 29 € pro Arbeitsplatz.

Angebot anfragen Zum IT-Wissen