Datenpanne im Unternehmen: Was Sie in den ersten 72 Stunden tun müssen

Es passiert schneller, als man denkt: Eine E-Mail mit Kundendaten geht an den falschen Empfänger, ein Laptop wird im Zug gestohlen, ein Mitarbeiter klickt auf einen Link in einer gefälschten E-Mail, und plötzlich sind die Daten verschlüsselt. Ab dem Moment, in dem Sie davon erfahren, läuft eine Frist von 72 Stunden.

Was ist eine Datenpanne?

Gemeint ist jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO): Daten werden unbefugt offengelegt, gehen verloren, werden verändert oder sind nicht mehr verfügbar. Typische Beispiele:

• E-Mail oder Brief mit personenbezogenen Daten an den falschen Empfänger,
• offener E-Mail-Verteiler, bei dem alle Empfänger die Adressen der anderen sehen,
• verlorenes oder gestohlenes Handy, Laptop oder USB-Stick ohne Verschlüsselung,
• Hackerangriff, Schadsoftware oder Verschlüsselungstrojaner,
• Unterlagen mit Kundendaten im Altpapier.

Die 72-Stunden-Frist

Sie müssen die Datenpanne unverzüglich und möglichst innerhalb von 72 Stunden nachdem sie Ihnen bekannt geworden ist an die zuständige Aufsichtsbehörde melden (Art. 33 Abs. 1 DSGVO). Die Frist läuft auch am Wochenende und an Feiertagen. Für Unternehmen in Hessen ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit, der dafür ein Online-Formular anbietet.

Kennen Sie noch nicht alle Einzelheiten, melden Sie trotzdem fristgerecht und reichen Informationen nach. Melden Sie später als nach 72 Stunden, müssen Sie die Verzögerung begründen.

Wann ist keine Meldung nötig?

Eine Meldung entfällt, wenn die Panne voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Betroffenen führt. Das kann etwa der Fall sein, wenn ein verlorener Laptop vollständig verschlüsselt war. Diese Einschätzung müssen Sie aber begründen und dokumentieren. Im Zweifel sollten Sie melden.

Wann müssen Sie die Betroffenen informieren?

Besteht voraussichtlich ein hohes Risiko, etwa bei Gesundheitsdaten, Bankdaten, Passwörtern oder Ausweiskopien, müssen Sie zusätzlich die betroffenen Personen unverzüglich benachrichtigen (Art. 34 DSGVO) – in klarer und einfacher Sprache, mit Hinweisen, was sie selbst tun können, etwa Passwörter ändern.

Schritt für Schritt: die ersten 72 Stunden

1. Schaden eindämmen: Betroffene Geräte vom Netz nehmen, Passwörter ändern, den falschen Empfänger um Löschung bitten, Zugänge sperren.
2. Sachverhalt festhalten: Was ist passiert, wann, welche Daten, wie viele Personen sind betroffen?
3. Risiko bewerten: Wie sensibel sind die Daten? Können Betroffene geschädigt werden, etwa durch Betrug oder Bloßstellung?
4. Melden: Innerhalb von 72 Stunden an die Aufsichtsbehörde, wenn ein Risiko nicht ausgeschlossen werden kann.
5. Betroffene informieren, wenn ein hohes Risiko besteht.
6. Dokumentieren: Jede Datenpanne gehört in die interne Dokumentation – auch die, die Sie nicht melden (Art. 33 Abs. 5 DSGVO).
7. Vorbeugen: Ursache beseitigen, Mitarbeitende schulen, technische Maßnahmen verbessern.

Was passiert, wenn Sie nicht melden?

Eine unterlassene oder verspätete Meldung ist selbst ein Verstoß gegen die DSGVO und kann mit einem Bußgeld geahndet werden (Art. 83 Abs. 4 DSGVO). Dazu kommen mögliche Schadensersatzansprüche der Betroffenen. Eine rechtzeitige, sachliche Meldung wirkt sich dagegen positiv aus.

Dienstleister und Auftragsverarbeiter

Passiert die Panne bei einem Dienstleister, der für Sie Daten verarbeitet – etwa beim Cloud-Anbieter oder der Lohnabrechnung –, muss er Sie unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Die Meldepflicht gegenüber der Behörde liegt aber bei Ihnen als Verantwortlichem.

Tipp: Vorbereitet sein

Legen Sie schon jetzt fest, wer im Unternehmen bei einer Datenpanne zuständig ist, wer entscheidet und wer meldet. Ein einfacher Notfallplan spart im Ernstfall die wertvollsten Stunden.

Dieser Artikel enthält allgemeine Informationen zur Rechtslage und ersetzt keine Rechtsberatung im Einzelfall. Für eine verbindliche Einschätzung Ihrer Situation sprechen Sie uns gern an.