DSGVO-Datenpanne: 9 Beispiele — was meldepflichtig ist und was nicht

Nicht jede Datenpanne muss der Aufsichtsbehörde gemeldet werden — aber jede muss bewertet und dokumentiert werden. Die Meldepflicht nach Art. 33 DSGVO greift, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt; bei hohem Risiko kommt die Benachrichtigung der Betroffenen nach Art. 34 DSGVO hinzu. Genau an dieser Risikoschwelle scheitert die Einschätzung in der Praxis am häufigsten — in beide Richtungen.

Die Bewertung hängt von wenigen Faktoren ab: Art und Sensibilität der Daten, Zahl der Betroffenen, Empfänger bzw. Angreifer und die Frage, ob Schutzmaßnahmen wie Verschlüsselung den Schaden verhindern. Ein verschlüsselter, gesperrter Laptop ist ein anderer Fall als eine unverschlüsselte Excel-Datei mit Gehaltsdaten an den falschen Verteiler. Die folgenden Beispiele zeigen typische Vorfälle aus dem Unternehmensalltag und ihre übliche Einordnung.

Wichtig: Die Beispiele ersetzen keine Einzelfallprüfung — dieselbe Panne kann je nach Datenart und Kontext unterschiedlich ausfallen, und die Bewertung muss stets dokumentiert werden. Wie die Meldung selbst in den ersten 72 Stunden abläuft, zeigt die Datenpanne-Checkliste; welche Faktoren ein Bußgeld mindern oder verschärfen, haben wir separat aufbereitet.

Ihre Checkliste

  1. 1Ransomware-Angriff mit Datenabfluss einordnen: regelmäßig meldepflichtig, bei sensiblen Daten zusätzlich Benachrichtigung der Betroffenen — auch reine Verschlüsselung ohne Abfluss kann wegen Verfügbarkeitsverlust meldepflichtig sein.
  2. 2E-Mail-Fehlversand mit sensiblen Daten bewerten: Gehaltslisten, Gesundheitsdaten oder Bewerberunterlagen an falsche Empfänger sind regelmäßig meldepflichtig — bei hohem Risiko auch gegenüber den Betroffenen.
  3. 3Offenen E-Mail-Verteiler (CC statt BCC) prüfen: je nach Kontext unterschiedlich — ein offener Verteiler eines Newsletters ist oft nur zu dokumentieren, derselbe Fehler bei einer Selbsthilfegruppe oder Inkasso-Kommunikation meldepflichtig.
  4. 4Verlorenen verschlüsselten Laptop einordnen: bei starker Verschlüsselung und gesperrtem Gerät regelmäßig nicht meldepflichtig — die Bewertung samt Verschlüsselungsnachweis aber dokumentieren.
  5. 5Verlorenen unverschlüsselten Datenträger bewerten: USB-Stick oder Laptop ohne Verschlüsselung mit personenbezogenen Daten ist regelmäßig meldepflichtig.
  6. 6Fehlkonfigurierte Cloud oder offene Datenbank prüfen: öffentlich erreichbare Kundendaten sind meldepflichtig — auch wenn kein Zugriff nachweisbar ist, zählt die Wahrscheinlichkeit des Zugriffs.
  7. 7Postalischen Fehlversand einzelner Dokumente bewerten: ein einzelner Brief an den falschen Empfänger ohne sensible Daten bleibt oft unterhalb der Meldeschwelle — Dokumentation genügt dann.
  8. 8Kurzzeitigen Systemausfall ohne Datenverlust einordnen: reine Nichtverfügbarkeit ohne Verlust oder Offenlegung ist meist keine meldepflichtige Verletzung — anders bei dauerhaftem Datenverlust ohne Backup.
  9. 9Interne Falschablage dokumentieren: Daten, die versehentlich für unberechtigte Kollegen sichtbar waren, sind je nach Sensibilität und Dauer zu bewerten — häufig nur dokumentationspflichtig, bei Gesundheits- oder Gehaltsdaten auch meldepflichtig.

Passendes Tool

Melden Sie jede Datenpanne fristgerecht und sicher.

DSGVO 72h Leak Shield → Jetzt kostenlos prüfen

Häufige Fragen

Wann ist eine Datenpanne meldepflichtig, wann nicht?

Meldepflichtig ist eine Verletzung des Schutzes personenbezogener Daten, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Maßgeblich sind Art und Sensibilität der Daten, Zahl der Betroffenen, mögliche Folgen und vorhandene Schutzmaßnahmen wie Verschlüsselung. Nur wenn ein Risiko unwahrscheinlich ist, entfällt die Meldung — dokumentiert werden muss der Vorfall trotzdem.

Ist ein E-Mail-Fehlversand immer eine meldepflichtige Datenpanne?

Nein, aber er ist immer eine Verletzung, die bewertet und dokumentiert werden muss. Entscheidend sind Inhalt und Empfänger: Ein Fehlversand ohne sensible Daten an einen vertrauenswürdigen Empfänger, der die Löschung bestätigt, bleibt oft unterhalb der Risikoschwelle. Gehalts-, Gesundheits- oder Bewerberdaten an Unbekannte sind dagegen regelmäßig meldepflichtig.

Muss ich einen Ransomware-Angriff auch melden, wenn keine Daten abgeflossen sind?

Häufig ja. Auch der Verlust der Verfügbarkeit personenbezogener Daten ist eine Verletzung im Sinne der DSGVO — etwa wenn verschlüsselte Systeme längere Zeit ausfallen oder Daten ohne Backup verloren gehen. Ob ein Abfluss stattfand, lässt sich in den ersten 72 Stunden zudem selten sicher ausschließen; im Zweifel ist die gestufte Meldung mit Nachreichung der sicherere Weg.

Wann muss ich zusätzlich die betroffenen Personen benachrichtigen?

Wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat — etwa bei offengelegten Gesundheits- oder Kontodaten mit Missbrauchsgefahr. Die Benachrichtigung nach Art. 34 DSGVO muss unverzüglich, in klarer Sprache und mit Empfehlungen zum Selbstschutz erfolgen. Sie kann entfallen, wenn etwa wirksame Verschlüsselung das Risiko beseitigt.

Mehr über DSGVO 72h Leak Shield →