Datenpanne gemeldet: Der 72-Stunden-Fahrplan
Was in den ersten Stunden nach einer DSGVO-Datenpanne wirklich zählt — Schritt für Schritt.
Was ist eine meldepflichtige Datenpanne?
Nicht jede Sicherheitslücke löst eine Meldepflicht aus. Eine Verletzung des Schutzes personenbezogener Daten ist nach Art. 33 DSGVO meldepflichtig, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Entscheidend ist die Risikobewertung — und die muss schnell, aber sorgfältig erfolgen.
Die Uhr läuft ab der ersten Kenntnis
Die 72-Stunden-Frist beginnt, sobald Ihr Unternehmen von der Datenpanne Kenntnis erlangt — nicht erst, wenn alle Details bekannt sind. Das ist in der Praxis eine der größten Hürden: Man weiß, dass etwas passiert ist, aber der genaue Umfang ist noch unklar.
- Stunden 0–4: Sofortmaßnahmen — Panne eindämmen, interne Meldekette aktivieren
- Stunden 4–24: Erstbewertung des Risikos, ggf. Frühwarnung an Datenschutzbehörde
- Stunden 24–72: Vollständige Meldung mit allen Pflichtangaben nach Art. 33 Abs. 3 DSGVO
- Ab Stunde 72: Abschlussdokumentation, Information der Betroffenen bei hohem Risiko
Was gehört in die Meldung an die Aufsichtsbehörde?
Art. 33 Abs. 3 DSGVO schreibt vor, was die Meldung enthalten muss: Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der Personen und Datensätze, Kontaktdaten des Datenschutzbeauftragten, voraussichtliche Folgen sowie ergriffene und geplante Abhilfemaßnahmen.
Wann muss ich nicht melden?
Ist das Risiko für Betroffene gering — etwa wenn ein verschlüsseltes Gerät mit starkem Passwort verloren geht — besteht keine Meldepflicht gegenüber der Behörde. Diese Entscheidung muss aber dokumentiert werden: im internen Datenpannen-Register nach Art. 33 Abs. 5 DSGVO, inklusive Begründung für die Nicht-Meldung.
Information der betroffenen Personen
Besteht ein hohes Risiko für die Betroffenen — beispielsweise bei Gesundheitsdaten, Finanzdaten oder Zugangsdaten — müssen diese zusätzlich unverzüglich und in klarer, einfacher Sprache benachrichtigt werden. Die Information muss direkt an die betroffenen Personen erfolgen, nicht nur als Website-Hinweis.
Häufige Fragen
Muss ich eine Datenpanne melden, wenn keine personenbezogenen Daten betroffen sind?
Nein, die DSGVO-Meldepflicht nach Art. 33 bezieht sich ausschließlich auf personenbezogene Daten. Bei anderen Datenverletzungen können jedoch andere Meldepflichten gelten — etwa nach NIS2 (BSIG) gegenüber dem BSI oder nach dem Kreditwesengesetz für Finanzinstitute.
Was passiert, wenn die 72-Stunden-Frist versäumt wird?
Eine verspätete Meldung ist möglich, muss aber begründet werden. Die Aufsichtsbehörde kann die Verspätung als bußgeldbegründenden Verstoß werten. Bei kooperativem Verhalten mildern Behörden die Sanktion häufig ab. Grundsatz: besser spät als gar nicht melden.
Brauchen wir einen Datenschutzbeauftragten für die Meldung?
Nein, die Meldung kann auch ohne DSB erfolgen. Unternehmen, die verpflichtend einen DSB bestellen müssen (z. B. bei regelmäßiger umfangreicher Verarbeitung sensibler Daten), sollten diesen aber einbinden. Sein Kontakt ist in der Meldung anzugeben, sofern vorhanden.
Wie führen wir das interne Datenpannen-Register korrekt?
Das Datenpannen-Register nach Art. 33 Abs. 5 DSGVO muss alle Verletzungen dokumentieren — auch nicht gemeldete, mit Begründung. Es enthält: Datum und Art der Panne, betroffene Daten und Personen, ergriffene Maßnahmen sowie die Risikobewertung. Es ist von Aufsichtsbehörden jederzeit einsehbar.