Datenpanne: Was Mitarbeitende sofort tun müssen und wie die Meldung abläuft

Eine Datenpanne passiert schneller, als viele denken: Eine E-Mail mit Gehaltsdaten geht an den falschen Empfänger, ein Laptop bleibt im Zug liegen, ein Klick auf einen gefälschten Link öffnet Angreifern die Tür. Entscheidend ist dann nicht, wer den Fehler gemacht hat, sondern wie schnell das Unternehmen davon erfährt.

Wer eine Datenpanne melden muss, hat laut DSGVO 72 Stunden Zeit. Die Frist beginnt in dem Moment, in dem das Unternehmen von dem Vorfall weiß. Dieser Beitrag zeigt, was als Datenpanne gilt, was Mitarbeitende sofort tun müssen und wie Unternehmen die Meldung organisieren.

Was ist eine Datenpanne?

Die DSGVO selbst spricht von einer „Verletzung des Schutzes personenbezogener Daten“. Gemeint ist nach Art. 4 Nr. 12 DSGVO jede Verletzung der Sicherheit, durch die personenbezogene Daten vernichtet, verloren, verändert oder unbefugt offengelegt werden oder Unbefugte Zugang zu ihnen erhalten. Ob das absichtlich oder versehentlich geschieht, spielt keine Rolle.

In der Praxis unterscheidet man drei Arten:

• Vertraulichkeit: Unbefugte sehen oder erhalten Daten, etwa durch Fehlversand oder einen Hackerangriff.
• Integrität: Daten werden unbefugt verändert, zum Beispiel Bankverbindungen in einer Kundendatei.
• Verfügbarkeit: Daten sind verloren oder vorübergehend nicht nutzbar, etwa nach einem Ransomware-Angriff ohne aktuelle Sicherung.

Nicht jeder Datenschutzverstoß ist gleichzeitig eine Datenschutzverletzung im Sinne der Meldepflicht. Wer Daten ohne Rechtsgrundlage verarbeitet, verstößt zwar gegen die DSGVO, verletzt aber nicht automatisch die Sicherheit der Daten. Die Meldepflicht nach Art. 33 DSGVO knüpft nur an Sicherheitsvorfälle an.

Welche Beispiele gibt es im Arbeitsalltag?

Die meisten Fälle sind keine spektakulären Cyberangriffe, sondern ganz normale Fehler. Typische Situationen und ihr Risiko für die Betroffenen:

Wie schwer eine Datenpanne wiegt, hängt vor allem von der Art der Daten ab. Gesundheitsdaten, Bankverbindungen oder Ausweiskopien wiegen schwerer als eine reine Geschäftsadresse. Ein verschlüsseltes Gerät senkt das Risiko dagegen deutlich.

Was müssen Mitarbeitende bei einer Datenpanne sofort tun?

Für Beschäftigte gilt eine einfache Regel: lieber einmal zu oft melden als einmal zu wenig. Ob eine Meldung an die Behörde nötig ist, entscheidet nicht die einzelne Person, sondern die zuständige Stelle im Unternehmen. Diese fünf Schritte sollten alle kennen:

1. Nichts vertuschen. Ein Fehler lässt sich auffangen, eine verschwiegene Datenpanne kaum.
2. Datenpanne sofort melden an die intern festgelegte Stelle, zum Beispiel Datenschutzkoordination, Datenschutzbeauftragte oder IT. Das gilt auch abends und am Wochenende, denn die Frist läuft weiter.
3. Fakten festhalten: Was ist passiert, wann, welche Daten und wie viele Personen sind betroffen, wer weiß bereits davon?
4. Schaden begrenzen, aber nicht ermitteln: Bei Fehlversand den Empfänger um Löschung bitten, bei Verdacht auf Schadsoftware das Gerät nach Vorgabe der IT vom Netz trennen. Keine Spuren löschen und nicht auf eigene Faust weitersuchen.
5. Erreichbar bleiben und Rückfragen der zuständigen Stelle beantworten.

Für Führungskräfte heißt das: Wer einen Vorfall meldet, darf dafür nicht bloßgestellt werden. Nur eine offene Fehlerkultur sorgt dafür, dass Probleme früh auf dem Tisch liegen.

Wie läuft die Meldung nach Art. 33 DSGVO ab?

Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche die Datenpanne unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde. In Deutschland ist das in der Regel die Datenschutzbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Die meisten Behörden bieten dafür ein Online-Formular an.

Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Diese Einschätzung muss das Unternehmen begründen und festhalten. Geht die Meldung später als nach 72 Stunden raus, braucht sie eine Begründung für die Verzögerung.

Diese Angaben gehören nach Art. 33 Abs. 3 DSGVO in die Meldung:

• Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
• Name und Kontaktdaten der oder des Datenschutzbeauftragten oder einer anderen Anlaufstelle
• wahrscheinliche Folgen für die Betroffenen
• ergriffene oder geplante Maßnahmen zur Behebung und Abmilderung

Fehlende Informationen dürfen schrittweise nachgereicht werden (Art. 33 Abs. 4 DSGVO). Unabhängig von einer Meldung wird jeder Vorfall intern dokumentiert, mit Fakten, Auswirkungen und ergriffenen Maßnahmen (Art. 33 Abs. 5 DSGVO). Dienstleister, die im Auftrag Daten verarbeiten, informieren ihren Auftraggeber unverzüglich (Art. 33 Abs. 2 DSGVO). Den Wortlaut finden Sie in der Datenschutz-Grundverordnung auf EUR-Lex.

Wann müssen Betroffene informiert werden?

Hat der Vorfall voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge, müssen auch sie unverzüglich benachrichtigt werden (Art. 34 DSGVO). Das ist etwa der Fall, wenn Identitätsdiebstahl, finanzielle Schäden oder Rufschädigung drohen. Die Benachrichtigung ist in klarer, einfacher Sprache verfasst und nennt mindestens die Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

Ausnahmen regelt Art. 34 Abs. 3 DSGVO, zum Beispiel wenn die Daten wirksam verschlüsselt waren oder das Unternehmen das hohe Risiko nachträglich sicher ausgeräumt hat. Wäre eine Einzelbenachrichtigung unverhältnismäßig aufwendig, genügt eine öffentliche Bekanntmachung.

Welche Folgen drohen bei Verstößen gegen die Meldepflicht?

Wer eine meldepflichtige Datenpanne nicht oder zu spät meldet, riskiert ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Hinzu kommen mögliche Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO.

Oft schwerer wiegt der Vertrauensverlust bei Kundschaft und Beschäftigten. Bei der Bemessung eines Bußgelds berücksichtigen die Behörden ausdrücklich, wie ein Unternehmen den Schaden begrenzt und mit der Aufsicht zusammengearbeitet hat (Art. 83 Abs. 2 DSGVO). Eine schnelle, vollständige Meldung wirkt sich deshalb eher positiv aus. Einen Überblick über die Gremien und Leitlinien der deutschen Behörden bietet die Datenschutzkonferenz.

Wie beugen Unternehmen Datenpannen vor?

Ganz verhindern lassen sich Fehler nicht. Unternehmen können aber die Wahrscheinlichkeit senken und dafür sorgen, dass im Ernstfall alle wissen, was zu tun ist:

• Meldeweg: eine zentrale Anlaufstelle mit Vertretung, erreichbar auch außerhalb der Bürozeiten, und ein kurzes Formular, mit dem Beschäftigte eine Datenpanne melden können.
• Notfallplan: Wer bewertet das Risiko, wer meldet an die Behörde, wer informiert Betroffene? Rollen, Fristen und Vorlagen schriftlich festhalten.
• Technik: Geräte verschlüsseln, Zugriffsrechte begrenzen, Sicherungen regelmäßig testen.
• Arbeitsplatz: Eine Clean Desk Policy verhindert, dass Unterlagen offen herumliegen.
• Schulung: Beschäftigte erkennen Risiken nur, wenn sie geschult sind. Dazu gehören die DSGVO-Schulung, Übungen, um Phishing zu erkennen, und Wissen über Social Engineering.

Wie Datenschutz und IT-Sicherheit dabei zusammenspielen, erklärt der Beitrag zu Datenschutz und Informationssicherheit.

Wie unterstützt reteach bei Datenschutzschulungen?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 150 Kurse als SCORM-Paket für bestehende Lernplattformen, davon 119 interaktiv, sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Fertiger Kurs: Der Kurs Datenpannen und Meldepflichten trainiert Erkennen, Melden und die ersten Schritte an typischen Fällen aus dem Arbeitsalltag.
• Datenschutz im Paket: Weitere Kurse zu DSGVO, Informationssicherheit und Phishing finden Sie bei den Compliance- und Datenschutzschulungen.
• Eigene Inhalte: Ihren internen Meldeweg und die Kontaktdaten der Anlaufstelle ergänzen Sie direkt im Kurs.
• Nachweis: Teilnahmen und Testergebnisse werden revisionssicher dokumentiert und sind bei einer Prüfung sofort abrufbar.

Fazit: Bei einer Datenpanne zählt jede Stunde

Eine Datenpanne ist meist kein Hackerkrimi, sondern ein Alltagsfehler. Ob daraus ein echtes Problem wird, entscheidet sich in den ersten Stunden: Beschäftigte melden sofort, die zuständige Stelle bewertet das Risiko und informiert bei Bedarf binnen 72 Stunden die Aufsichtsbehörde. Dokumentiert wird jeder Vorfall, auch wenn keine Meldung nötig ist.

Die nächsten Schritte:

1. Internen Meldeweg mit Anlaufstelle und Vertretung festlegen und bekannt machen.
2. Einen Notfallplan mit Rollen, Fristen und Vorlagen für die Meldung erstellen.
3. Alle Beschäftigten regelmäßig zu Datenschutz und Meldewegen schulen und die Teilnahme dokumentieren.

Häufig gestellte Fragen