Datenpanne im Betrieb: Die ersten 72 Stunden entscheiden
Die kurze Antwort: Eine Datenpanne muss der Datenschutz-Aufsichtsbehörde gegebenenfalls binnen 72 Stunden gemeldet werden (Art. 33 DSGVO) – und die Frist läuft ab dem Moment, in dem irgendjemand im Betrieb den Vorfall bemerkt. Auch am Freitagnachmittag. Wer erst im Ernstfall googelt, verpasst sie fast sicher.
Was zählt als Datenpanne?
Jeder Vorfall, bei dem personenbezogene Daten verloren gehen, gestohlen, unbefugt eingesehen oder unzugänglich werden. Die Klassiker im Kleinbetrieb:
- Laptop, Handy oder USB-Stick mit Kundendaten verloren oder gestohlen
- E-Mail mit Angebot oder Lohndaten an den falschen Empfänger
- Verschlüsselungstrojaner legt den Bürorechner lahm
- Gehacktes E-Mail-Konto verschickt Spam an alle Kunden
- Einbruch ins Büro, Personalordner offen zugänglich
Die 5 Schritte im Ernstfall
- Eindämmen: Gerät sperren/orten/fernlöschen, Passwörter ändern, infizierte Rechner vom Netz trennen (nicht ausschalten – Beweise!), Fehlversand-Empfänger um Löschung bitten.
- Intern melden – sofort: Jeder im Team muss wissen, wen er anruft. Die 72-Stunden-Uhr tickt ab Kenntnis, nicht ab Feierabend.
- Dokumentieren: Was ist wann passiert, welche Daten, wie viele Betroffene, welche Maßnahmen? Diese Dokumentation ist auch dann Pflicht, wenn am Ende nicht gemeldet werden muss.
- Risiko bewerten: Besteht ein Risiko für die Betroffenen (Bankdaten, Gesundheitsdaten, viele Personen)? Dann melden. Nur wenn ein Risiko unwahrscheinlich ist – etwa beim Verlust eines stark verschlüsselten Geräts – darf die Meldung entfallen. Im Zweifel: fachlichen Rat holen.
- Melden: Bei der Landesdatenschutzbehörde (die meisten haben Online-Formulare). Bei hohem Risiko zusätzlich die Betroffenen verständlich informieren (Art. 34). Bei Straftaten: Anzeige erstatten.
Die beste Vorbereitung: ein Ein-Seiten-Notfallplan
Im Ernstfall braucht niemand ein 40-Seiten-Konzept, sondern einen Zettel am Schwarzen Brett: Wer wird angerufen (mit Handynummer), wer vertritt, wer ist der IT-Ansprechpartner, wie heißt unsere Aufsichtsbehörde – plus eine kleine Tabelle zum Dokumentieren. Einmal ausgefüllt, jährlich geprüft, fertig.
Fertig vorbereitet statt kalt erwischt: Unser Datenschutz-Starterpaket enthält den einseitigen Notfallplan zum Aufhängen – zusammen mit 9 weiteren Vorlagen für die DSGVO-Grundausstattung.
Zum Starterpaket (79 €) →Sie wollen das Thema lieber ganz abgeben? Als externer Datenschutzbeauftragter sind wir im Ernstfall Ihr erster Anruf – inklusive Übernahme der Behördenmeldung.
Hinweis: Dieser Artikel gibt praxisbewährte Orientierung, ersetzt aber keine Rechtsberatung im Einzelfall.