Datenpanne melden: Was die DSGVO von Betrieben verlangt

Warum eine Datenpanne mehr sein kann als ein Hackerangriff

Eine Datenpanne ist nach der Datenschutz-Grundverordnung, kurz DSGVO, nicht auf einen erfolgreichen Cyberangriff beschränkt. Entscheidend ist, dass personenbezogene Daten versehentlich oder unrechtmäßig vernichtet, verloren, verändert, offengelegt oder unbefugt zugänglich gemacht werden. Diese Definition steht in Artikel 4 Nummer 12 DSGVO. Damit können auch ein falsch adressierter E-Mail-Versand, ein verlorenes Notebook, ein offen zugänglicher Cloud-Ordner oder ein fehlgeleitetes Dokument eine meldepflichtige Verletzung des Schutzes personenbezogener Daten darstellen.

Für Betriebe kommt es deshalb auf eine strukturierte Bewertung an. Nicht jeder IT-Sicherheitsvorfall muss der Datenschutzaufsicht gemeldet werden. Jede Datenpanne muss jedoch intern erfasst, geprüft und nachvollziehbar bewertet werden. Artikel 33 Absatz 5 DSGVO verlangt eine Dokumentation von Verletzungen des Schutzes personenbezogener Daten. Diese Aufzeichnungen müssen der Aufsichtsbehörde ermöglichen, die Einhaltung der gesetzlichen Vorgaben zu überprüfen.

Die zentrale Frage lautet nicht nur: Wurde ein System angegriffen? Zu prüfen ist vielmehr, ob personenbezogene Daten betroffen sind, welche Folgen für die betroffenen Personen entstehen können und wie wahrscheinlich diese Folgen sind.

Welche Vorfälle als Datenpanne gelten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören beispielsweise Namen, Adressen, Kundennummern, E-Mail-Adressen, Bewerbungsunterlagen, Kontodaten, Gesundheitsinformationen, Standortdaten und Benutzerkennungen. Auch eine Kombination scheinbar unkritischer Angaben kann einen Personenbezug herstellen.

Typische Szenarien sind:

• Eine Rechnung wird an die falsche E-Mail-Adresse gesendet.
• Ein Smartphone mit unverschlüsseltem Kundendatenbestand geht verloren.
• Ein Mitarbeiter erhält Zugriff auf eine Personalakte, obwohl er dafür nicht zuständig ist.
• Ein Cloud-Speicher ist wegen einer fehlerhaften Berechtigung öffentlich erreichbar.
• Eine Schadsoftware verschlüsselt Daten und möglicherweise kopiert ein Angreifer zuvor Dateien.
• Eine Datenbank wird durch einen Bedienfehler gelöscht.
• Eine Liste mit Kontaktdaten wird in einem frei zugänglichen Bereich abgelegt.
• Ein Dienstleister verarbeitet Daten entgegen den vereinbarten Sicherheitsvorgaben.

Auch die Verletzung der Verfügbarkeit oder Integrität kann relevant sein. Sind Daten dauerhaft verloren oder unbemerkt verändert worden, kann dies für betroffene Personen erhebliche Nachteile verursachen. Der Begriff Datenpanne umfasst daher die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit.

Die erste Prüfung: Welche Fragen innerhalb kurzer Zeit beantwortet werden müssen

Nach Bekanntwerden eines Vorfalls sollte der Betrieb die Informationen zunächst sichern und die Zuständigkeit klären. Überstürzte Löschungen oder unkoordinierte Systemänderungen können die spätere Aufklärung erschweren. Gleichzeitig darf die Untersuchung nicht dazu führen, dass die gesetzliche Meldefrist aus dem Blick gerät.

Für eine erste Einordnung helfen folgende Fragen:

1. Welche Daten sind betroffen? Handelt es sich um Kontaktdaten, Zugangsdaten, Zahlungsinformationen, Gesundheitsdaten, Beschäftigtendaten oder besondere Kategorien personenbezogener Daten?
2. Wie viele Personen könnten betroffen sein? Eine exakte Zahl muss zu Beginn nicht immer feststehen. Eine begründete Schätzung und die Kennzeichnung offener Punkte sind jedoch wichtig.
3. Was ist konkret passiert? Zu dokumentieren sind Zeitpunkt, Entdeckung, betroffene Systeme, vermuteter Ablauf und bisher bekannte Zugriffsmöglichkeiten.
4. Wer konnte die Daten sehen, kopieren, verändern oder löschen? Zwischen einem Versand an eine einzelne falsche Adresse und einer Veröffentlichung im Internet bestehen erhebliche Unterschiede.
5. Welche Schutzmaßnahmen waren aktiv? Dazu zählen Verschlüsselung, starke Authentifizierung, Zugriffsbeschränkungen, Backups und Protokollierung.
6. Welche Folgen drohen den betroffenen Personen? Möglich sind etwa Identitätsmissbrauch, finanzielle Schäden, Rufschäden, Diskriminierung oder der Verlust der Vertraulichkeit.

Die Prüfung sollte nicht nur technische, sondern auch organisatorische Informationen einbeziehen. Ein IT-Dienstleister kann Logs auswerten, während die für Datenschutz zuständige Stelle die rechtliche Risikobewertung koordiniert. Fehlt im Kleinbetrieb eine eigene Datenschutzabteilung, müssen Verantwortlichkeiten und Vertretungen dennoch vorab festgelegt sein.

Wann die Meldung an die Datenschutzaufsicht erforderlich ist

Artikel 33 Absatz 1 DSGVO verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde zu melden, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Der Maßstab ist damit das Risiko für die betroffenen Menschen, nicht die Größe des Betriebs und nicht die öffentliche Aufmerksamkeit des Vorfalls.

Besteht kein oder nur ein voraussichtlich unerhebliches Risiko, kann eine Meldung an die Aufsichtsbehörde entfallen. Die Entscheidung muss trotzdem dokumentiert und begründet werden. Eine interne Notiz wie „kein Problem“ reicht für eine belastbare Prüfung nicht aus. Festgehalten werden sollten die betroffenen Datenarten, die Reichweite des Vorfalls, vorhandene Schutzmaßnahmen und die Gründe für die Risikoeinschätzung.

Ein Risiko liegt beispielsweise näher, wenn Zugangsdaten, Finanzdaten, Gesundheitsinformationen oder Daten über Kinder betroffen sind. Auch eine große Zahl betroffener Personen, eine Veröffentlichung im Internet oder eine nicht mehr kontrollierbare Weitergabe kann das Risiko erhöhen. Bei verschlüsselten Daten kann das Risiko geringer ausfallen, wenn der Schlüssel nicht kompromittiert wurde. Eine automatische Entwarnung ist damit jedoch nicht verbunden, weil auch Metadaten, Backups oder Schlüsselverwaltung betroffen sein können.

Die 72-Stunden-Frist richtig verstehen

Nach Artikel 33 Absatz 1 DSGVO muss die Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung und möglichst binnen 72 Stunden erfolgen, nachdem der Verantwortliche von der Verletzung Kenntnis erlangt hat. Die Frist beginnt daher nicht zwingend in dem Moment, in dem ein Angriff technisch gestartet wurde. Maßgeblich ist der Zeitpunkt, an dem der Verantwortliche hinreichende Kenntnis von einer Verletzung erlangt hat und vernünftigerweise davon ausgehen muss, dass personenbezogene Daten betroffen sind.

Die 72 Stunden sind keine Wartefrist für eine vollständige forensische Untersuchung. Wenn noch nicht alle Einzelheiten bekannt sind, kann eine erste Meldung mit den verfügbaren Informationen abgegeben werden. Nach Artikel 33 Absatz 4 DSGVO dürfen Informationen nötigenfalls schrittweise bereitgestellt werden. Fehlende Angaben sollten nachgereicht werden, sobald sie belastbar vorliegen.

Wird die Frist überschritten, muss die Meldung die Gründe für die Verzögerung erläutern. Praktisch bewährt sich eine interne Zeitleiste mit mindestens diesen Zeitpunkten:

• Entdeckung oder erste Warnung
• Weitergabe an die verantwortliche Stelle
• Beginn der Risikoprüfung
• Entscheidung über die Meldung
• Absendung der Meldung
• weitere Erkenntnisse und Nachmeldungen

Wo die Meldung einzureichen ist, richtet sich nach der zuständigen Datenschutzaufsichtsbehörde. Bei grenzüberschreitenden Verarbeitungsvorgängen können besondere Zuständigkeitsregeln gelten. Eine Meldung an die falsche Stelle sollte nicht zum Anlass genommen werden, weitere Zeit verstreichen zu lassen. Die Zuständigkeit ist unverzüglich zu klären.

Welche Angaben eine Meldung enthalten sollte

Artikel 33 Absatz 3 DSGVO nennt den Mindestinhalt einer Meldung. Dazu gehören die Art der Verletzung, soweit möglich die Kategorien und die ungefähre Zahl der betroffenen Personen sowie die Kategorien und die ungefähre Zahl der betroffenen Datensätze. Zusätzlich sind die wahrscheinlichen Folgen der Verletzung und die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Begrenzung möglicher nachteiliger Auswirkungen zu beschreiben.

Eine gut vorbereitete Meldung beantwortet daher unter anderem folgende Punkte:

• Wer ist der Verantwortliche und wer ist Ansprechpartner für Rückfragen?
• Wann wurde der Vorfall entdeckt und wann hat er vermutlich begonnen?
• Welche Systeme, Anwendungen oder Papierunterlagen sind betroffen?
• Welche Datenarten und Personengruppen sind betroffen?
• Wie groß ist die betroffene Datenmenge nach aktuellem Kenntnisstand?
• Welche Ursache wird derzeit angenommen?
• Welche Risiken ergeben sich für die betroffenen Personen?
• Welche Sofortmaßnahmen wurden umgesetzt?
• Welche weiteren Untersuchungen und Schutzmaßnahmen sind geplant?

Unsichere Angaben sollten als vorläufig gekennzeichnet werden. Eine klare Trennung zwischen bestätigten Tatsachen, plausiblen Annahmen und noch offenen Fragen erhöht die Qualität der Kommunikation. Technische Details sind dann sinnvoll, wenn sie die Risikobewertung oder die Beschreibung der Gegenmaßnahmen verständlicher machen.

Wann betroffene Personen informiert werden müssen

Eine Meldung an die Aufsichtsbehörde und eine Information der betroffenen Personen sind zwei unterschiedliche Pflichten. Artikel 34 Absatz 1 DSGVO verlangt eine Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren persönliche Rechte und Freiheiten zur Folge hat. Das hohe Risiko ist eine höhere Schwelle als das Risiko, das bereits eine Behördenmeldung auslösen kann.

Die Benachrichtigung muss ohne unangemessene Verzögerung erfolgen und die Art der Verletzung in klarer und einfacher Sprache beschreiben. Außerdem sollen mindestens die in Artikel 33 Absatz 3 Buchstaben b, c und d DSGVO genannten Informationen und Empfehlungen enthalten sein. Dazu gehören der Kontakt einer geeigneten Ansprechstelle, eine Beschreibung der wahrscheinlichen Folgen sowie die bereits ergriffenen oder geplanten Maßnahmen.

Eine direkte Benachrichtigung kann nach Artikel 34 Absatz 3 DSGVO unter bestimmten Voraussetzungen entfallen. Das gilt beispielsweise, wenn geeignete technische und organisatorische Schutzmaßnahmen angewendet wurden, die Daten für Unbefugte unverständlich sind, oder wenn nachfolgende Maßnahmen das hohe Risiko voraussichtlich beseitigt haben. Auch eine individuelle Benachrichtigung kann unter den gesetzlichen Voraussetzungen durch eine gleich wirksame öffentliche Information ersetzt werden. Diese Ausnahmen müssen sorgfältig geprüft und dokumentiert werden.

Die Mitteilung sollte weder unnötig dramatisieren noch den Vorfall verharmlosen. Betroffene Personen brauchen konkrete Hinweise, etwa zur Änderung von Passwörtern, zur Vorsicht bei verdächtigen Nachrichten oder zur Kontaktaufnahme bei ungewöhnlichen Kontobewegungen. Empfehlungen müssen zum tatsächlichen Vorfall passen.

Rollen von Verantwortlichem und Auftragsverarbeiter

Verarbeitet ein externer Dienstleister personenbezogene Daten im Auftrag, bleibt der datenschutzrechtlich Verantwortliche für die Meldung an die Aufsichtsbehörde grundsätzlich zuständig. Der Auftragsverarbeiter muss den Verantwortlichen nach Artikel 33 Absatz 2 DSGVO unverzüglich über eine Verletzung informieren. Vertragliche Regelungen sollten deshalb festlegen, über welchen Kanal, mit welchen Mindestangaben und zu welcher Eskalationsstufe eine solche Information erfolgt.

Ein Betrieb sollte sich nicht darauf verlassen, dass ein Dienstleister die Meldung automatisch übernimmt. Zu klären sind insbesondere:

• Wer bewertet den Vorfall?
• Wer kontaktiert die Aufsichtsbehörde?
• Wer informiert betroffene Personen?
• Wer sichert Protokolle, Backups und Beweismittel?
• Wer koordiniert die Kommunikation mit Versicherungen, IT-Forensik oder Strafverfolgungsstellen?

Bei einem Sicherheitsvorfall können daneben Pflichten aus Verträgen, dem Arbeitsrecht, dem Telekommunikationsrecht oder dem Strafrecht relevant sein. Die datenschutzrechtliche Meldung ersetzt keine technische Eindämmung und keine Prüfung weiterer gesetzlicher Vorgaben.

Ein praxistauglicher Ablauf für kleine Betriebe

Ein schriftlich vorbereiteter Ablauf reduziert Verzögerungen und verhindert, dass wichtige Informationen nur in einzelnen Postfächern oder auf privaten Geräten liegen. Der Prozess kann in sechs Phasen organisiert werden:

1. Vorfall aufnehmen: Meldungen von Beschäftigten, Kunden, Sicherheitssoftware oder Dienstleistern werden an eine festgelegte Stelle weitergeleitet. Zeitpunkt und ursprüngliche Hinweise bleiben erhalten.
2. Schaden begrenzen: Betroffene Konten können gesperrt, Sitzungen beendet, Freigaben entfernt, Geräte vom Netz getrennt und kompromittierte Zugangsdaten kontrolliert geändert werden. Dabei muss die Beweissicherung berücksichtigt werden.
3. Personenbezogene Daten feststellen: Der Betrieb grenzt betroffene Anwendungen, Dateien, Papierunterlagen und Backups ein.
4. Risiko bewerten: Datenarten, Umfang, Empfänger, Schutzmaßnahmen und mögliche Folgen werden nachvollziehbar zusammengeführt.
5. Entscheidung treffen: Es wird dokumentiert, ob eine Meldung an die Aufsichtsbehörde und gegebenenfalls eine Information der betroffenen Personen erforderlich ist.
6. Nachbereiten: Ursachen, Schwachstellen und Verbesserungen werden festgehalten. Die Maßnahmen können technische Änderungen, Schulungen, Berechtigungskonzepte oder Anpassungen von Dienstleisterverträgen umfassen.

Für die Beweissicherung sollten relevante Protokolle, E-Mail-Header, Dateiversionen und Zeitangaben unverändert aufbewahrt werden. Protokolldaten können selbst personenbezogene Daten enthalten. Zugriff und Aufbewahrungsdauer sind daher zu begrenzen und zu dokumentieren.

Meldung, Dokumentation und interne Kommunikation im Vergleich

Die drei wichtigsten Reaktionen erfüllen unterschiedliche Zwecke. Eine klare Trennung hilft bei der Organisation des Vorfalls.

Maßnahme	Zweck	Typischer Inhalt
Interne Dokumentation	Nachweis der Prüfung und Einhaltung von Artikel 33 Absatz 5 DSGVO	Ursache, Umfang, Risikobewertung, Entscheidung und Gegenmaßnahmen
Meldung an die Aufsichtsbehörde	Information der zuständigen Datenschutzaufsicht bei voraussichtlichem Risiko	Art der Verletzung, betroffene Daten, Folgen und Schutzmaßnahmen
Benachrichtigung betroffener Personen	Schutz und Befähigung der Personen bei voraussichtlich hohem Risiko	Verständliche Beschreibung, Folgen, Kontakt und konkrete Empfehlungen
Technische Incident-Dokumentation	Aufklärung, Eindämmung und Verbesserung der IT-Sicherheit	Logs, Zeitlinie, Systeme, Indikatoren und Wiederherstellungsschritte

Diese Dokumente dürfen sich aufeinander beziehen, sollten aber nicht unkritisch identische Inhalte enthalten. Ein technischer Bericht kann sensible Details oder Zugangsinformationen enthalten, die in einer Mitteilung an betroffene Personen nicht stehen dürfen. Zugleich darf eine externe Meldung keine unbelegten Behauptungen enthalten.

Häufige Fehler bei Datenpannen

In der Praxis entstehen Probleme häufig nicht durch fehlende Technik, sondern durch unklare Zuständigkeiten und verspätete Entscheidungen. Besonders riskant sind folgende Vorgehensweisen:

• Abwarten bis zur vollständigen Aufklärung: Die Meldefrist läuft weiter, auch wenn forensische Untersuchungen noch andauern.
• Jeden Vorfall automatisch melden: Eine Meldung ohne vorherige Risikobewertung kann unvollständig oder sachlich unpassend sein. Entscheidend ist die dokumentierte Einzelfallprüfung.
• Nur erfolgreiche Angriffe berücksichtigen: Fehlversand, Verlust, Fehlkonfiguration und Datenlöschung gehören ebenfalls zur Prüfung.
• Die Zahl betroffener Datensätze mit der Zahl betroffener Personen verwechseln: Eine Person kann in mehreren Datensätzen vorkommen, während ein Datensatz mehrere Personen enthalten kann.
• Passwörter unkontrolliert ändern: Bei einem Sicherheitsvorfall müssen Änderung, Sperrung, Sitzungsabmeldung und Beweissicherung koordiniert werden.
• Betroffene mit technischen Einzelheiten überlasten: Eine Benachrichtigung muss verständlich und handlungsorientiert sein.
• Die Entscheidung nicht begründen: Auch der Verzicht auf eine Behördenmeldung gehört in die Vorfalldokumentation.

Regelmäßige Übungen mit realistischen, aber kontrollierten Szenarien zeigen, ob Kontaktlisten, Eskalationswege und Sicherungskopien tatsächlich funktionieren. Dabei sollten auch Urlaubsvertretungen und externe Dienstleister berücksichtigt werden.

Welche vorbeugenden Maßnahmen den Meldeprozess verbessern

Ein belastbarer Meldeprozess beginnt vor der Datenpanne. Besonders wirksam ist eine Übersicht darüber, welche personenbezogenen Daten in welchen Systemen verarbeitet werden und wer dafür zuständig ist. Daraus lassen sich wichtige Ansprechpartner, Aufbewahrungsfristen und Schutzmaßnahmen ableiten.

Für kleine Betriebe gehören typischerweise folgende Vorbereitungen dazu:

• eine erreichbare interne Meldestelle für Datenschutz- und IT-Vorfälle
• eine aktuelle Liste wichtiger Dienstleister und ihrer Notfallkontakte
• ein Berechtigungskonzept nach dem Prinzip der geringsten erforderlichen Rechte
• Mehrfaktor-Authentifizierung für besonders schützenswerte Zugänge
• regelmäßig getestete und gegen Manipulation geschützte Sicherungskopien
• Verschlüsselung mobiler Geräte und geeigneter Datenträger
• Protokollierung sicherheitsrelevanter Vorgänge mit begrenztem Zugriff
• Schulungen zu Fehlversand, Phishing, Passwortschutz und Meldewegen
• ein vorbereiteter Fragenkatalog für die Risikobewertung

Technische Maßnahmen ersetzen keine organisatorische Klarheit. Ein verschlüsseltes Notebook schützt beispielsweise nicht vor einem offen versendeten Dokument. Umgekehrt kann eine gute Richtlinie ohne aktuelle Zugriffsprüfung wirkungslos bleiben. Datenschutz und IT-Sicherheit sollten deshalb gemeinsam geplant und regelmäßig überprüft werden.

FAQ zur Meldung einer Datenpanne nach DSGVO

Muss jeder Cyberangriff der Datenschutzaufsicht gemeldet werden?

Nein. Eine Meldung ist nach Artikel 33 DSGVO erforderlich, wenn die Verletzung personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Jeder Vorfall muss jedoch untersucht und dokumentiert werden.

Wann beginnt die 72-Stunden-Frist?

Die Frist beginnt grundsätzlich, sobald der Verantwortliche Kenntnis von einer Verletzung erlangt hat. Wenn noch Einzelheiten fehlen, kann eine erste Meldung mit vorläufigen Angaben erfolgen. Weitere Informationen sind nachzureichen.

Müssen betroffene Personen immer persönlich informiert werden?

Nein. Eine Benachrichtigung ist bei einem voraussichtlich hohen Risiko erforderlich. Artikel 34 Absatz 3 DSGVO sieht unter bestimmten Voraussetzungen Ausnahmen vor, etwa bei wirksamer Verschlüsselung oder wenn nachträgliche Maßnahmen das hohe Risiko beseitigt haben.

Was ist zu dokumentieren, wenn keine Meldung erfolgt?

Festzuhalten sind der Sachverhalt, die betroffenen Daten, die Reichweite, vorhandene Schutzmaßnahmen, die Risikobewertung und die Begründung für die Entscheidung. Die Dokumentation muss eine spätere Kontrolle ermöglichen.

Wer meldet eine Panne, wenn ein Dienstleister betroffen ist?

Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Die Verantwortung für die Meldung an die Aufsichtsbehörde liegt grundsätzlich beim Verantwortlichen. Verträge und Notfallpläne sollten diesen Ablauf eindeutig regeln.