Zum Inhalt springen
Cyberschutz.io

Datenpanne im Unternehmen: Wann müssen Sie melden?

Wann eine Datenpanne an die Datenschutzaufsicht gemeldet werden muss, wann Betroffene zu informieren sind und warum Sie jeden Vorfall dokumentieren sollten.

Geprüft am · Redaktion Cyberschutz.io

Inhalt

Kurzantwort

Nicht jede Datenpanne muss gemeldet werden. Nach Art. 33 DSGVO melden Sie eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde – außer sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Betroffene selbst informieren Sie nach Art. 34 grundsätzlich nur bei voraussichtlich hohem Risiko. Dokumentieren müssen Sie jeden Vorfall, auch wenn keine Meldung nötig ist.

Was ist eine Datenpanne?

Begriff nach Art. 4 Nr. 12 DSGVO

Sinngemäß: eine Sicherheitsverletzung, durch die personenbezogene Daten – unbeabsichtigt oder unrechtmäßig – vernichtet werden, verloren gehen, verändert werden oder unbefugt offengelegt bzw. zugänglich werden.

Typische Beispiele

Ein verlorenes unverschlüsseltes Notebook mit Kundendaten, eine E-Mail mit Personaldaten an den falschen Empfänger, ein kompromittiertes Postfach oder verschlüsselte Server nach einem Ransomware-Angriff. Ob daraus eine Meldepflicht folgt, ergibt sich erst aus der Risikobewertung.

Nicht nur Hackerangriffe

Auch Fehlversand, Verlust oder ein versehentlich öffentlich freigegebener Ordner können eine Datenpanne sein. Umgekehrt ist nicht jeder IT-Sicherheitsvorfall eine Datenpanne – entscheidend ist, ob personenbezogene Daten betroffen sind.

Vorsichtiger Entscheidungsablauf

  1. 1

    Liegt eine Verletzung personenbezogener Daten vor?

    Sind personenbezogene Daten verloren, vernichtet, verändert, offengelegt oder unbefugt zugänglich geworden?

  2. 2

    Welche Daten sind betroffen?

    Zum Beispiel Kontaktdaten, Zahlungsdaten, Gesundheitsdaten, Zugangsdaten oder Personalakten.

  3. 3

    Welche Personen sind betroffen?

    Kundinnen und Kunden, Beschäftigte, Kinder, wie viele ungefähr?

  4. 4

    Welche Folgen sind möglich?

    Etwa Identitätsdiebstahl, finanzieller Schaden, Diskriminierung, Rufschädigung oder Verlust der Kontrolle über die eigenen Daten.

  5. 5

    Welche Schutzmaßnahmen waren wirksam?

    War zum Beispiel die Verschlüsselung tatsächlich aktiv und der Schlüssel nicht mit betroffen?

  6. 6

    Besteht ein Risiko?

    Wenn ja oder unklar: Meldung an die Aufsichtsbehörde nach Art. 33 prüfen.

  7. 7

    Besteht ein hohes Risiko?

    Wenn ja: zusätzlich Benachrichtigung der Betroffenen nach Art. 34 prüfen, einschließlich der Ausnahmen.

  8. 8

    Meldungen und Benachrichtigungen prüfen

    Zuständige Aufsichtsbehörde ermitteln, ggf. Datenschutzbeauftragte, Versicherer oder Rechtsberatung einbeziehen.

  9. 9

    Entscheidung dokumentieren

    Auch eine begründete Entscheidung gegen eine Meldung gehört in die Dokumentation.

Art. 33 und Art. 34 im Vergleich

Orientierung zu den unterschiedlichen Schwellen; keine automatische juristische Einstufung
Art. 33 – Meldung an die AufsichtsbehördeArt. 34 – Benachrichtigung der Betroffenen
SchwelleRisiko für Rechte und Freiheiten natürlicher PersonenVoraussichtlich hohes Risiko
AusnahmeKeine Meldung, wenn die Verletzung voraussichtlich nicht zu einem Risiko führtKann unter den Voraussetzungen von Art. 34 Abs. 3 entfallen (siehe unten)
ZeitUnverzüglich und möglichst binnen 72 Stunden nach BekanntwerdenUnverzüglich
WerDer VerantwortlicheDer Verantwortliche

Schritt für Schritt

  1. 01

    Vorfall eindämmen

    Stoppen Sie den weiteren Datenabfluss: Zugänge sperren, Passwörter ändern, Fehlversand-Empfänger um Löschung bitten. Technische Erstmaßnahmen beschreibt der Ratgeber zu Cyberangriffen.

  2. 02

    Zeitpunkt festhalten

    Notieren Sie, wann Sie von der Verletzung erfahren haben. Ab diesem Zeitpunkt läuft die Frist nach Art. 33.

  3. 03

    Zuständige Personen einbinden

    Informieren Sie Ihre Datenschutzbeauftragte bzw. Ihren Datenschutzbeauftragten, sofern vorhanden, und die Geschäftsleitung.

  4. 04

    Risiko einschätzen

    Gehen Sie den Entscheidungsablauf durch. Orientierung bieten die Leitlinien des EDSA und das DSK-Kurzpapier Nr. 18.

  5. 05

    Melden, soweit erforderlich

    Die meisten Aufsichtsbehörden stellen ein Online-Formular bereit. Zuständig ist in Deutschland meist die Landesdatenschutzbehörde des Bundeslands, in dem Ihr Unternehmen seinen Sitz hat.

  6. 06

    Nachbereiten

    Halten Sie fest, was geholfen hat und was fehlte, und passen Sie Ihren Notfallplan an.

Wann keine Meldung an die Aufsicht nötig ist

Die Meldepflicht nach Art. 33 entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Ausnahme ist Teil der Regel – die Einschätzung müssen Sie aber begründen und dokumentieren können. Im Zweifel holen Sie fachkundigen Rat ein, etwa bei Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

Was bedeuten die 72 Stunden?

  • Die Frist beginnt mit dem Bekanntwerden der Verletzung beim Verantwortlichen – nicht mit dem Zeitpunkt des ursprünglichen Angriffs oder Fehlers.
  • Die Meldung soll unverzüglich erfolgen; 72 Stunden sind die Obergrenze für den Regelfall („möglichst“), kein Zeitpuffer.
  • Erfolgt die Meldung später als nach 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1).
  • Wenn nicht alle Informationen gleichzeitig vorliegen, können sie schrittweise ohne unangemessene weitere Verzögerung nachgereicht werden (Art. 33 Abs. 4).

Wann eine Benachrichtigung der Betroffenen entfallen kann

Nach Art. 34 Abs. 3 ist eine Benachrichtigung der Betroffenen nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist. Das bedeutet nicht, dass etwa verschlüsselte Daten nie relevant sind – die Bedingungen müssen im konkreten Fall tatsächlich vorliegen.

Wirksame Schutzmaßnahmen

Geeignete technische und organisatorische Maßnahmen wurden auf die betroffenen Daten angewandt, die sie für Unbefugte unzugänglich machen – etwa eine Verschlüsselung, deren Schlüssel nicht ebenfalls betroffen ist.

Nachträgliche Maßnahmen

Der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.

Unverhältnismäßiger Aufwand

Eine individuelle Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden. Dann hat stattdessen eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme zu erfolgen.

Jeden Vorfall dokumentieren

Nach Art. 33 Abs. 5 dokumentiert der Verantwortliche Verletzungen des Schutzes personenbezogener Daten einschließlich aller damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Das gilt auch für Vorfälle, die Sie nicht melden. Festhalten sollten Sie mindestens:

  • Was ist wann passiert und wann wurde es bekannt?
  • Welche Daten und welche Personengruppen sind betroffen?
  • Welche Folgen sind möglich?
  • Welche Maßnahmen wurden ergriffen?
  • Wie wurde das Risiko bewertet – und mit welcher Begründung wurde gemeldet oder nicht gemeldet?

Wenn die Panne bei einem Dienstleister passiert

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag (Auftragsverarbeiter), muss er Sie nach Bekanntwerden einer Verletzung unverzüglich informieren (Art. 33 Abs. 2). Die Meldung an die Aufsichtsbehörde bleibt Aufgabe des Verantwortlichen. Klären Sie im Vertrag zur Auftragsverarbeitung, wie und über welchen Kontakt Sie informiert werden.

Checkliste

  • Zeitpunkt des Bekanntwerdens ist notiert.
  • Betroffene Daten und Personengruppen sind erfasst.
  • Risiko und hohes Risiko wurden getrennt bewertet.
  • Die zuständige Aufsichtsbehörde und ihr Meldeweg sind bekannt.
  • Dienstleister sind vertraglich verpflichtet, Pannen unverzüglich zu melden.
  • Jeder Vorfall wird dokumentiert – auch ohne Meldung.

Typische Fehler

  • Annehmen, jede Datenpanne müsse automatisch innerhalb von 72 Stunden gemeldet werden.
  • Umgekehrt annehmen, ein kleiner Vorfall müsse nie dokumentiert werden.
  • Die Frist erst ab Abschluss der internen Untersuchung rechnen.
  • Mit der Meldung warten, bis alle Details bekannt sind, statt schrittweise zu ergänzen.
  • Verschlüsselung als Ausnahme ansehen, ohne zu prüfen, ob sie wirksam war.

Häufige Fragen

Muss jede Datenpanne innerhalb von 72 Stunden gemeldet werden?

Nein. Eine Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Einschätzung sollten Sie begründen und dokumentieren.

Ab wann laufen die 72 Stunden?

Ab dem Zeitpunkt, an dem dem Verantwortlichen die Verletzung bekannt wird – nicht ab dem ursprünglichen Angriff.

Was, wenn wir noch nicht alle Informationen haben?

Nach Art. 33 Abs. 4 können Informationen schrittweise nachgereicht werden, wenn sie nicht zur gleichen Zeit bereitgestellt werden können.

Müssen wir die Betroffenen immer informieren?

Nein. Art. 34 setzt ein voraussichtlich hohes Risiko voraus und kennt Ausnahmen. Die Schwelle ist höher als bei der Meldung an die Aufsichtsbehörde.

Unser Dienstleister hatte die Panne – wer meldet?

Der Dienstleister informiert Sie als Verantwortlichen unverzüglich. Ob und wie gemeldet wird, entscheiden und verantworten Sie.

Quellen

Geprüft am 07.10.2026.

Die Einordnung einer Datenpanne hängt vom konkreten Sachverhalt ab. Diese Informationen dienen der allgemeinen Orientierung und ersetzen keine individuelle Rechts- oder Datenschutzberatung.

Weiterlesen