Eine Datenpanne passiert schneller, als viele denken: ein falsch adressierter E-Mail-Verteiler, eine ungesicherte Kundendatenbank, ein verlorener Laptop mit unverschlüsselten Kundendaten. Die DSGVO verlangt in solchen Fällen schnelles, dokumentiertes Handeln, nicht Abwarten.
Wann greift die Meldepflicht?
Die Meldepflicht bei Datenpannen nach Art. 33 DSGVO greift, sobald ein Risiko für die Rechte und Freiheiten betroffener Personen besteht, etwa bei unbefugtem Zugriff, Verlust oder Offenlegung personenbezogener Daten. Nicht jede kleine Panne ist meldepflichtig, aber im Zweifel gilt: lieber einmal zu viel prüfen als eine Frist verpassen.
Die 72-Stunden-Frist im Überblick
| Schritt | Was zu tun ist |
|---|---|
| Erkennung | Panne dokumentieren: Zeitpunkt, Umfang, betroffene Daten |
| Risikobewertung | Einschätzen, ob ein Risiko für Betroffene besteht |
| Meldung an Aufsichtsbehörde | Innerhalb von 72 Stunden nach Bekanntwerden |
| Benachrichtigung Betroffener | Bei hohem Risiko zusätzlich erforderlich |
| Dokumentation | Auch nicht meldepflichtige Fälle intern festhalten |
Was, wenn die Frist nicht reicht?
Steht nach 72 Stunden noch nicht die vollständige Aufklärung fest, meldest du trotzdem fristgerecht mit den bis dahin bekannten Informationen und ergänzt die Meldung später. Ein Abwarten bis zur vollständigen Klärung ist keine zulässige Option und kann selbst als eigenständiger Verstoß gewertet werden. Halte in solchen Fällen fest, welche Fragen noch offen sind und wann du eine Aktualisierung nachreichst.
Interne Meldewege vorbereiten
Im Ernstfall zählt jede Stunde. Es hilft, vorab festzulegen, wer im Unternehmen eine vermutete Datenpanne meldet, wer die Risikobewertung vornimmt und wer letztlich die Meldung an die Aufsichtsbehörde formuliert. Ohne diese Klarheit vergehen oft wertvolle Stunden allein mit der Frage, wer zuständig ist. Ein kurzes, eine Seite langes Notfall-Dokument mit Namen, Kontaktwegen und den ersten Schritten reicht meist schon aus, um im Ernstfall wertvolle Zeit zu sparen.
Bußgelder: Wovon die Höhe abhängt
Die Höhe eines möglichen Bußgelds nach Art. 83 DSGVO hängt unter anderem davon ab, wie schwerwiegend der Verstoß war, wie viele Personen betroffen waren, und wie kooperativ das Unternehmen im Nachgang gehandelt hat. Eine schnelle, vollständige Meldung und nachvollziehbare Sofortmaßnahmen wirken sich in der Praxis meist mildernd aus, ein Verschweigen der Panne dagegen deutlich verschärfend.
Verhältnis zur Auftragsverarbeitung
Passiert die Panne bei einem externen Dienstleister, etwa deinem Hosting-Anbieter, bleibt die Meldepflicht an die Aufsichtsbehörde trotzdem bei dir als Verantwortlichem. Der Auftragsverarbeiter ist nach Art. 28 DSGVO verpflichtet, dich unverzüglich über eine Panne zu informieren, damit du deine eigene 72-Stunden-Frist einhalten kannst.
Praxisbeispiel
Ein kleiner Onlineshop bemerkte, dass durch eine fehlerhafte Serverkonfiguration für wenige Stunden Bestelldaten mehrerer Kunden über eine falsch abgesicherte URL einsehbar waren. Der Shop dokumentierte den Vorfall, schätzte das Risiko als moderat ein, weil Namen und Adressen, aber keine Zahlungsdaten betroffen waren, und meldete die Panne fristgerecht der zuständigen Aufsichtsbehörde. Betroffene Kunden wurden zusätzlich per E-Mail informiert. Das Verfahren wurde ohne Bußgeld abgeschlossen, auch weil die Meldung schnell und vollständig erfolgte.
Wie beugst du vor?
Ein aktuelles Verarbeitungsverzeichnis und eine vollständige, regelmäßig geprüfte Datenschutzerklärung senken das Risiko einer Datenpanne nicht direkt, helfen aber, im Ernstfall schnell einzuschätzen, welche Daten überhaupt betroffen sein können und wen du informieren musst. Ein Muster für Onlineshops findest du unter Datenschutzerklärung für einen Onlineshop.