Datenpanne im Unternehmen: Was Sie in den ersten 72 Stunden tun müssen

Wann ist eine [Datenpanne](/glossar/datenpanne-meldepflicht) überhaupt meldepflichtig?

In der Praxis werden drei Begriffe durcheinandergeworfen. Ein Datenschutzverstoß ist jeder Verstoß gegen datenschutzrechtliche Vorgaben – etwa eine Werbe-E-Mail ohne Einwilligung. Eine Datenpanne oder Datenschutzverletzung ist enger: Sie liegt vor, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig vernichtet, verändert, offengelegt werden oder verloren gehen. Auch der reine Verlust der Verfügbarkeit zählt – etwa wenn Ihre Personaldaten nach einem Ransomware-Angriff nicht mehr abrufbar sind, obwohl niemand sie gestohlen hat.

Nicht jede Panne muss gemeldet werden. Maßstab ist das Risiko für die betroffenen Personen: Ist ein Risiko für deren Rechte und Freiheiten voraussichtlich ausgeschlossen, entfällt die Meldung. Ein verlorener, vollständig verschlüsselter Laptop mit sicherem Passwort ist typischerweise kein Meldefall. Eine offene Kundenliste im falschen E-Mail-Verteiler oder ein Datenabfluss mit Gesundheits-, Bank- oder Bewerberdaten dagegen sehr wohl.

Diese Bewertung müssen Sie treffen – und zwar unter Zeitdruck und mit unvollständigen Informationen. Im Zweifel gilt: Die Aufsichtsbehörden bewerten eine sauber begründete Meldung deutlich milder als eine unterlassene.

Wann die 72-Stunden-Frist läuft – und was in die Meldung gehört

Die Frist beginnt nicht mit dem Vorfall, sondern mit der Kenntnis. Kenntnis hat Ihr Unternehmen, sobald ein hinreichend sicherer Anhaltspunkt für eine Verletzung vorliegt – nicht erst, wenn die forensische Analyse abgeschlossen ist. Und: Kenntnis eines Mitarbeiters wird Ihnen zugerechnet. Wenn ein IT-Administrator den Vorfall am Freitag bemerkt und die Geschäftsführung am Montag informiert, ist die Frist bereits weitgehend verstrichen. Die 72 Stunden laufen auch über Wochenenden und Feiertage.

Die Meldung geht an die für Sie zuständige Aufsichtsbehörde – in Baden-Württemberg an den Landesbeauftragten für den Datenschutz, der dafür ein Online-Formular bereitstellt. Hineingehören: Art des Vorfalls, ungefähre Zahl der Betroffenen und Datensätze, die wahrscheinlichen Folgen, Ihre Gegenmaßnahmen und ein Ansprechpartner. Sie müssen nicht alles auf einmal liefern. Fehlende Angaben dürfen Sie nachreichen. Wichtiger ist, die Frist zu halten.

Arbeiten Sie mit Dienstleistern – Cloud-Anbieter, Lohnbuchhaltung, IT-Support –, liegt die Meldepflicht trotzdem bei Ihnen. Der Dienstleister muss Sie nur unverzüglich informieren. Prüfen Sie deshalb, ob Ihre Verträge dazu klare und kurze Meldewege vorsehen.

Müssen Sie auch Ihre Kunden und Mitarbeiter informieren?

Das ist die zweite, oft unangenehmere Stufe. Bei einem voraussichtlich hohen Risiko müssen Sie zusätzlich die Betroffenen selbst benachrichtigen – in klarer, verständlicher Sprache, ohne juristisches Vokabular. Typische Fälle: offengelegte Zugangsdaten, Kontoverbindungen, Gesundheitsdaten oder Informationen, die zu Identitätsdiebstahl führen können.

Diese Benachrichtigung kann entfallen, wenn die Daten wirksam verschlüsselt waren oder Sie durch Sofortmaßnahmen dafür gesorgt haben, dass sich das hohe Risiko nicht mehr verwirklichen kann. Auch hier entscheidet die Dokumentation Ihrer Bewertung.

Ein Hinweis zum Risiko dahinter: Der Bundesgerichtshof hat 2024 klargestellt, dass schon der bloße Verlust der Kontrolle über die eigenen Daten einen ersatzfähigen immateriellen Schaden darstellen kann – ohne dass ein konkreter Missbrauch nachgewiesen sein muss. Bei größeren Vorfällen ist deshalb weniger das Bußgeld das Hauptthema als die Summe vieler Einzelforderungen.

Was Sie jetzt vorbereiten sollten

Eine Datenpanne lässt sich nicht verhindern, aber die Reaktion darauf lässt sich vorbereiten. Drei Dinge sollten in Ihrem Unternehmen geklärt sein, bevor etwas passiert:

Erstens: ein interner Meldeweg. Jeder Mitarbeiter muss wissen, wen er innerhalb einer Stunde erreicht – mit Namen und Telefonnummer, nicht mit einer Funktionspostfach-Adresse.

Zweitens: eine Entscheidungsinstanz. Legen Sie fest, wer die Risikobewertung vornimmt und die Meldung freigibt. Diese Person braucht eine Vertretung, sonst scheitert der Prozess am Urlaub.

Drittens: ein Verzeichnis der Vorfälle. Sie müssen jede Datenpanne dokumentieren – auch die, die Sie nicht melden. Fehlt diese Dokumentation, ist das für sich genommen ein eigener Verstoß. Und sie ist Ihr bester Nachweis, wenn eine Behörde Jahre später nachfragt.

Wenn Sie unsicher sind, ob ein aktueller Vorfall meldepflichtig ist, klären Sie das nicht über Tage im Team – dafür ist die Frist zu kurz. Wir prüfen mit Ihnen die Risikobewertung, formulieren die Meldung an die Aufsichtsbehörde und begleiten die anschließende Kommunikation mit Betroffenen und Behörde. Und wenn gerade nichts passiert ist: Das ist der bessere Zeitpunkt, um den Notfallplan aufzusetzen.