Datenpanne im Unternehmen: was Sie in 72 Stunden melden müssen

Wann müssen Sie eine Datenpanne melden?

Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“ (Art. 4 Nr. 12). Gemeint ist eine Verletzung der Sicherheit, durch die personenbezogene Daten vernichtet, verloren, verändert oder unbefugt offengelegt werden oder jemand unbefugt auf sie zugreift. Ein Versehen zählt genauso wie ein Angriff.

Der Europäische Datenschutzausschuss (EDSA) nennt Beispiele: ein verlorenes Gerät mit Kundendaten, von Ransomware (Erpressersoftware) verschlüsselte Daten, eine Mail an den falschen Verteiler. Auch ein vorübergehender Ausfall zählt, wenn Daten deshalb nicht verfügbar sind.

Ihr Unternehmen meldet die Panne als Verantwortlicher unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde. Das entfällt, wenn sie voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Personen führt. Wer später meldet, begründet die Verzögerung (Art. 33 Abs. 1).

Art. 4 Nr. 12 · Art. 33 Abs. 1 DSGVO

Ab wann laufen die 72 Stunden?

Die Frist beginnt, wenn Ihr Unternehmen von der Panne weiß, nicht wenn sie passiert ist. Nach dem EDSA ist das der Fall, sobald Sie mit hinreichender Sicherheit wissen, dass ein Sicherheitsvorfall personenbezogene Daten getroffen hat. Für eine kurze Prüfung bleibt Zeit, sie soll aber sofort beginnen.

Passiert die Panne bei einem Dienstleister, der Daten in Ihrem Auftrag verarbeitet, informiert er Sie unverzüglich (Art. 33 Abs. 2). Ab seiner Nachricht wissen Sie nach dem EDSA in der Regel davon. Melden müssen dann Sie.

Fehlt nach 72 Stunden noch ein Teil der Angaben, melden Sie, was Sie wissen, und reichen den Rest schrittweise nach (Art. 33 Abs. 4).

Art. 33 Abs. 2 und 4 DSGVO

Was gehört in die Meldung, und wer bekommt sie?

Die Meldung nennt mindestens die Art der Panne, wenn möglich mit Kategorien und ungefährer Zahl der Personen und Datensätze. Dazu kommen eine Anlaufstelle wie der Datenschutzbeauftragte, die wahrscheinlichen Folgen und Ihre Maßnahmen (Art. 33 Abs. 3). Fehlende genaue Zahlen sollen die Meldung nach dem EDSA nicht aufhalten.

Zuständig ist in Deutschland für Unternehmen in der Regel die Datenschutzaufsicht ihres Bundeslandes (§ 40 BDSG). Suchen Sie ihren Meldeweg heraus, bevor Sie ihn brauchen.

Dokumentieren müssen Sie jede Panne, auch eine, die Sie nicht melden: Fakten, Auswirkungen und Abhilfemaßnahmen (Art. 33 Abs. 5). Der EDSA empfiehlt, auch festzuhalten, warum Sie nicht gemeldet haben.

Art. 33 Abs. 3 und 5 DSGVO · § 40 BDSG

Wann müssen Sie die Betroffenen benachrichtigen?

Führt die Panne voraussichtlich zu einem hohen Risiko für die Personen, benachrichtigen Sie sie unverzüglich selbst (Art. 34 Abs. 1). Diese Schwelle liegt höher als die für die Meldung an die Aufsicht.

Die Nachricht erklärt in klarer und einfacher Sprache, was passiert ist, und nennt Anlaufstelle, wahrscheinliche Folgen und Ihre Maßnahmen (Art. 34 Abs. 2). Der EDSA rät, auch zu sagen, was die Personen selbst tun können, etwa ihr Passwort ändern.

Entbehrlich ist sie, wenn die Daten für Unbefugte unzugänglich waren, etwa durch Verschlüsselung, oder wenn Sie das hohe Risiko danach beseitigt haben. Wäre sie unverhältnismäßig aufwendig, tritt eine öffentliche Bekanntmachung an ihre Stelle (Art. 34 Abs. 3).

Art. 34 DSGVO

Ein Beispiel: Angriff auf den Dateiserver

Die ausgedachte Hansen Logistik GmbH hat 140 Beschäftigte und eine externe Datenschutzbeauftragte. Am Montag um 7:40 Uhr ist ihr Dateiserver verschlüsselt, mit den Personalakten darauf. Damit weiß die Firma von einer Panne, und die 72 Stunden laufen bis Donnerstag, 7:40 Uhr.

Um 11 Uhr zeigen die Protokolle, dass Bankverbindungen und Krankmeldungen abgeflossen sind. Die Geschäftsführung stuft das Risiko mit der Datenschutzbeauftragten deshalb als hoch ein. Am Dienstag geht die Meldung an die Landesbehörde, und alle Beschäftigten bekommen eine Nachricht in einfacher Sprache.

Zwei Fehler lägen nahe. Die Firma wartet, bis die Untersuchung fertig ist, obwohl sie Angaben nachreichen darf. Oder sie meldet nur an das BSI. Fällt die Firma unter NIS 2 und ist der Angriff erheblich, verlangt er dort eine frühe Erstmeldung binnen 24 Stunden (Art. 23 Abs. 4 NIS 2, § 32 BSIG). NIS 2 lässt die DSGVO aber unberührt (Erwägungsgrund 14), und die Meldung nach Art. 33 an die Datenschutzaufsicht bleibt Ihre eigene.

Wie beide Meldungen nebeneinander laufen, erklärt unser Artikel zum Datenleck unter NIS 2 und DSGVO.

Mit einem KI Assistenten

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann aus Ihren Notizen zum Vorfall die Meldung nach Art. 33 Abs. 3 entwerfen. Er gliedert den Eintrag für die Dokumentation und bringt die Nachricht an die Betroffenen in einfache Sprache.

Ob ein Risiko oder ein hohes Risiko besteht, entscheidet Ihr Unternehmen als Verantwortlicher. Ist ein Datenschutzbeauftragter benannt, empfiehlt der EDSA, ihn von Anfang an einzubeziehen.

Ihre Notizen enthalten oft selbst personenbezogene Daten; prüfen Sie vorher, ob mit dem Anbieter des Assistenten ein Vertrag zur Auftragsverarbeitung besteht (Art. 28 DSGVO). Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.