Eine Datenpanne im Sinne der DSGVO ist jede Verletzung des Schutzes personenbezogener Daten: wenn Daten verloren gehen, unbefugt verändert oder zugänglich gemacht werden. Das klingt nach Hackerangriff, ist im Alltag aber oft banal: die E-Mail mit der Gehaltsliste an den falschen Empfänger, der Verteiler mit offenen Adressen, der verlorene Dienst-Laptop, die Akte im Altpapier. Entscheidend ist, was dann passiert, denn die DSGVO gibt den Takt vor: Eine Datenpanne melden Sie binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde, wenn ein Risiko für die Betroffenen besteht. Wer diesen Takt kennt und einen eingeübten Ablauf hat, macht aus einem schlechten Tag keinen Rechtsfall.
> Die Frist läuft ab Kenntnis, nicht ab Feierabend: Wer eine Panne am Freitagmittag entdeckt, hat nicht bis Mittwoch Zeit, sondern bis Montagmittag.
Passende LeistungDatenschutz & DSGVO →Wann Sie eine Datenpanne melden müssen und wann nicht
+
Nicht jede Panne muss gemeldet werden. Die Regel in Kurzform:
- Es ist keine Meldung nötig, wenn die Verletzung voraussichtlich kein Risiko für die Betroffenen bedeutet. Klassiker: Der verlorene Laptop war vollständig verschlüsselt, die Mail wurde nachweislich ungelesen gelöscht.
- Meldung an die Aufsichtsbehörde binnen 72 Stunden, wenn ein Risiko besteht, etwa bei offengelegten Kontaktdaten, Gesundheits- oder Sozialdaten oder gestohlenen Zugangsdaten.
- Zusätzlich Benachrichtigung der Betroffenen, wenn das Risiko hoch ist, zum Beispiel wenn Bankdaten oder besonders sensible Informationen in fremde Hände geraten sind.
Wichtig: Auch die Entscheidung, NICHT zu melden, muss begründet und dokumentiert werden. Ein kurzes internes Protokoll jeder Panne ist deshalb Pflicht, nicht Kür.
Die Bewertung des Risikos ist dabei keine Bauchentscheidung, sondern folgt festen Kriterien: Art und Menge der Daten, Zahl der Betroffenen, wie leicht Dritte die Daten missbrauchen könnten und ob Schutzmaßnahmen wie Verschlüsselung griffen. Genau diese Abwägung binnen Stunden sauber zu treffen und zu begründen, ist der Kern der Arbeit des Datenschutzbeauftragten. In Bayern ist für die Wirtschaft das Bayerische Landesamt für Datenschutzaufsicht zuständig, für Kommunen und öffentliche Stellen der Landesbeauftragte für den Datenschutz. Beide stellen Online-Meldewege bereit.
Gemeldet wird nicht, weil etwas schiefging. Gemeldet wird, damit Betroffene sich schützen können. Wer das verinnerlicht, diskutiert nicht mehr über das Ob, sondern organisiert das Wie.
Die ersten Stunden: ein Ablauf in fünf Schritten
+
Wenn der Verdacht auf dem Tisch liegt, zählt Struktur mehr als Hektik:
-
Risiko eindämmen: Passwörter ändern, Konto sperren, Fernzugriff kappen, verlorenes Gerät aus der Ferne sperren. Bei Angriffen: Systeme isolieren, aber Beweise erhalten.
-
Sachverhalt festhalten: Was ist wann passiert, welche Daten, wie viele Betroffene, wer weiß davon? Stichpunkte mit Uhrzeiten reichen, aber es muss sofort dokumentiert werden.
Dieses Protokoll ist später bares Geld wert: Es belegt gegenüber der Aufsicht, dass strukturiert reagiert wurde, und es liefert die Zeitachse, ab wann die 72-Stunden-Frist überhaupt lief.
-
Datenschutzbeauftragten einschalten: Er bewertet das Risiko und formuliert die Meldung. Genau für diese Fälle ist ein externer Datenschutzbeauftragter Gold wert: Er hat den Meldeweg schon dutzendfach beschritten.
-
Fristgerecht melden: Lieber eine vorläufige Meldung binnen 72 Stunden mit Nachreichungen als eine perfekte Meldung zu spät. Die DSGVO sieht gestaffelte Meldungen ausdrücklich vor.
-
Ursache beheben und lernen: Nach dem Löschen des Feuers wird die Brandursache behoben: Prozess ändern, Technik nachrüsten, Beschäftigte informieren. Und der Vorfall wandert dokumentiert ins Verzeichnis.
Warum Verwaltungen doppelt hinschauen müssen
+
Für Kommunen ist das Thema doppelt relevant: Sie verarbeiten besonders sensible Daten (Meldewesen, Soziales, Ordnungsamt), und sie stehen unter besonderer Beobachtung, jede gemeldete Panne einer Behörde hat das Zeug zur Lokalnachricht. Dazu kommt: Viele Pannen in Verwaltungen sind technisch vermeidbar. Ein gehacktes Postfach beginnt fast immer mit Phishing, ein verlorener Datenträger ist ohne Verschlüsselung ein Vorfall und mit Verschlüsselung lediglich ein Ärgernis. Die Grenze zwischen Datenschutz und IT-Sicherheit ist schwammig, beides gehört in dasselbe Konzept, wie es das Informationssicherheitskonzept der Kommune ohnehin verlangt.
Die fünf häufigsten Pannen und ihre billigste Vorbeugung
+
Die Klassiker der Praxis, sortiert nach Häufigkeit, mit der jeweils einfachsten Gegenmaßnahme:
- Falscher Mail-Empfänger: Auto-Vervollständigung schlägt den falschen Namen vor. Vorbeugung: Verzögerter Versand (60 Sekunden Rückholfrist) und Pflicht zur Empfängerprüfung bei sensiblen Anhängen.
- Offener Verteiler: Alle Empfänger in CC statt BCC, schon sind hunderte Adressen offengelegt. Vorbeugung: Serienmails nur über Verteiler-Werkzeuge, nie von Hand.
- Verlorene Geräte und USB-Sticks: Vorbeugung: durchgängige Verschlüsselung. Ein verschlüsseltes Gerät ist ein Sachschaden, ein unverschlüsseltes eine meldepflichtige Panne.
- Gehacktes Postfach: Fast immer die Folge von Phishing plus fehlender Zwei-Faktor-Anmeldung. Vorbeugung: beides zusammen angehen, Filter davor, zweiter Faktor dahinter.
- Fehlversand von Post und Akten: Der analoge Klassiker lebt. Vorbeugung: Vier-Augen-Prinzip bei sensiblen Sendungen.
Höhe der Bußgelder: Die DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder vier Prozent des Jahresumsatzes; in der Praxis bemisst sich die Höhe an Schwere, Kooperation und Vorsorge. Genau deshalb zahlt sich der dokumentierte Prozess doppelt aus: Er verhindert Pannen, und er mildert die Folgen der Pannen, die trotzdem passieren.
Zur Einordnung: Ein Verstoß gegen die Melde- und Dokumentationspflicht selbst fällt in die Stufe bis 10 Millionen Euro oder zwei Prozent (Art. 83 Abs. 4 DSGVO). Für Kommunen in Bayern gilt eine Besonderheit: Gegen bayerische öffentliche Stellen werden nach Art. 22 BayDSG grundsätzlich keine Bußgelder verhängt, außer sie nehmen als Unternehmen am Wettbewerb teil. Meldepflicht und Dokumentation gelten für sie trotzdem in vollem Umfang.
Vorbereitung zahlt sich aus
+
Der Unterschied zwischen Chaos und Routine liegt in drei Dingen, die man VOR der ersten Panne regelt: ein konkreter Notfallplan (wer wird informiert, wer entscheidet, wo wird gemeldet), ein simples Protokoll-Formular und eine kurze jährliche Unterweisung, damit jede Kollegin und jeder Kollege weiß: Pannen sofort melden ist erwünscht, nicht gefährlich. Eine offene Fehlerkultur ist hier keine Floskel, sondern Fristenschutz, denn die 72 Stunden laufen ab Kenntnis, und Kenntnis beginnt beim ersten Mitarbeiter, der etwas bemerkt.
Als zertifizierte externe Datenschutzbeauftragte übernehmen wir für Betriebe und Kommunen der Region genau diese Vorbereitung samt Vorfall-Begleitung im Ernstfall. Besser, Sie haben den Plan und brauchen ihn nie, als umgekehrt. Sprechen Sie uns an.
