Datenpanne im Unternehmen: was in den ersten 72 Stunden zählt

Die kurze Antwort: In den ersten 72 Stunden nach einer Datenpanne zählen drei Dinge. Erstens den Vorfall stoppen und die Fakten festhalten. Zweitens das Risiko für die betroffenen Personen bewerten, denn nicht jede Panne ist meldepflichtig. Drittens, falls nötig, die Meldung an die Aufsichtsbehörde, nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Wer diesen Ablauf vorher festlegt, arbeitet ihn im Ernstfall ruhig ab, statt unter Zeitdruck zu improvisieren.

Was als Datenpanne gilt

Die typischen Fälle im Mittelstand sind unspektakulär: das im Zug vergessene Notebook, die E-Mail mit der Kundenliste an den falschen Empfänger, das gehackte Postfach, aus dem plötzlich Phishing-Mails an Ihre Kontakte gehen. Rechtlich ist das jeweils eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO: Daten gehen verloren, werden verändert oder Unbefugten zugänglich. Ob daraus eine Meldepflicht wird, hängt nicht vom Ereignis selbst ab, sondern vom Risiko für die Betroffenen.

Stunde null: eingrenzen und Fakten sichern

Erste Priorität hat das Stoppen des Vorfalls: kompromittierte Konten sperren, Kennwörter zurücksetzen, verlorene Geräte aus der Ferne sperren oder löschen, fremde Weiterleitungsregeln entfernen. Parallel halten Sie die Fakten fest: Was ist wann passiert, welche Datenarten und ungefähr wie viele Personen sind betroffen, was wurde bereits unternommen. Das ist keine Bürokratie, sondern die Grundlage jeder späteren Entscheidung. Wichtig für die Uhr: Die Frist läuft laut BfDI ab dem Zeitpunkt, zu dem die Verletzung dem Unternehmen bekannt wird. Ein eingespielter Ablauf für den IT-Notfall sorgt dafür, dass diese Phase Stunden dauert und nicht Tage.

Nicht jede Panne ist meldepflichtig: die Risikobewertung

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) stellt klar, dass nicht jede Verletzung zu einer Meldepflicht führt. Entscheidend ist, ob sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Wie diese Bewertung abläuft, beschreibt die Datenschutzkonferenz (DSK) im Kurzpapier Nr. 18: Für jeden möglichen Schaden, etwa Identitätsdiebstahl, finanziellen Verlust oder Rufschädigung, werden Eintrittswahrscheinlichkeit und Schwere abgeschätzt, mit den Stufen geringes Risiko, Risiko und hohes Risiko. Wie stark Vorsorge das Ergebnis verändert, zeigen die Fallbeispiele des Europäischen Datenschutzausschusses: Ein gestohlenes Gerät mit verschlüsselten Daten, verfügbarer Datensicherung und ausgelöster Fernlöschung musste weder der Behörde gemeldet noch den Betroffenen mitgeteilt werden. Ein gestohlenes Gerät ohne Verschlüsselung und Passwortschutz erforderte dagegen Meldung und Benachrichtigung der Betroffenen. Eine funktionierende Sicherung, etwa per Cloud Backup, zahlt also direkt auf die Risikobewertung ein.

Die Meldung an die Aufsichtsbehörde

Ergibt die Bewertung ein Risiko, geht die Meldung an die zuständige Aufsichtsbehörde, für Unternehmen in Baden-Württemberg an den LfDI, dort direkt über ein Online-Formular. Inhaltlich verlangt Art. 33 Abs. 3 DSGVO im Kern: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen, ergriffene und geplante Maßnahmen sowie eine Kontaktstelle. Der BfDI weist darauf hin, dass Informationen schrittweise nachgereicht werden dürfen, wenn noch nicht alle Details bekannt sind. Warten Sie also nicht auf den perfekten Abschlussbericht, um zu melden. Wird die 72-Stunden-Marke überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen.

Dokumentieren, auch ohne Meldung

Art. 33 Abs. 5 DSGVO verpflichtet dazu, jede Verletzung intern zu dokumentieren, einschließlich Auswirkungen und Abhilfemaßnahmen, auch dann, wenn keine Meldung erforderlich ist; die Fallbeispiele des Europäischen Datenschutzausschusses stellen das für nicht meldepflichtige Fälle eigens klar. Ein einfaches Verzeichnis genügt: Datum, Sachverhalt, Bewertung, Entscheidung mit Begründung, Maßnahmen. Kommt später eine Beschwerde oder eine Anfrage der Behörde, belegt diese Dokumentation, dass Sie strukturiert gearbeitet haben. Ergibt die Bewertung ein voraussichtlich hohes Risiko, sind zusätzlich die betroffenen Personen unverzüglich zu benachrichtigen (Art. 34 DSGVO), in klarer und verständlicher Sprache.

Häufige Fragen

Läuft die 72-Stunden-Frist am Wochenende weiter?

Die DSGVO knüpft die Frist an das Bekanntwerden der Verletzung, nicht an Werktage oder Bürozeiten. Wer später meldet, muss der Meldung nach Art. 33 Abs. 1 DSGVO eine Begründung für die Verzögerung beifügen. Ein Freitagnachmittag ist also kein Aufschubgrund.

Müssen wir die betroffenen Personen immer informieren?

Nein. Die Benachrichtigung nach Art. 34 DSGVO ist nur bei einem voraussichtlich hohen Risiko vorgeschrieben, dann aber unverzüglich. Meldung an die Behörde und Information der Betroffenen sind zwei getrennte Entscheidungen mit unterschiedlichen Schwellen.

Was droht, wenn eine meldepflichtige Panne nicht gemeldet wird?

Verstöße gegen die Melde- und Benachrichtigungspflichten können nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Wert höher ist. Die fristgerechte Meldung ist dagegen kein Schuldeingeständnis, sondern die Erfüllung einer gesetzlichen Pflicht.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH sorgt dafür, dass Sie im Ernstfall handlungsfähig sind: abgesicherte Microsoft-365-Umgebung, Fernlöschung verwalteter Geräte und nachvollziehbare Protokolle für eine schnelle Faktenlage. Im Rahmen der IT-Compliance richten wir mit Ihnen einen festen Melde- und Dokumentationsablauf ein, damit die ersten 72 Stunden einem Plan folgen. Mit direktem Ansprechpartner statt anonymer Hotline.

*Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.*

Quellen

• LfDI Baden-Württemberg: Für Verantwortliche: Datenpanne melden
• BfDI: Informationen zu Meldungen von Datenschutzverstößen
• Datenschutzkonferenz: Kurzpapier Nr. 18, Risiko für die Rechte und Freiheiten natürlicher Personen (PDF)
• Europäischer Datenschutzausschuss: Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten