Datenpanne melden: Diese 72 Stunden können teuer werden
Ein Klick in den offenen Verteiler, ein verlorener Laptop: Datenpannen passieren im normalen Büroalltag. Die DSGVO gibt 72 Stunden ab Kenntnis. Doch längst nicht jede Panne ist meldepflichtig. So erkennen Sie den Unterschied und handeln richtig, ohne Panik.
Ein Angebot geht raus. An 40 Kunden gleichzeitig, im offenen Verteiler. Jeder sieht jede Adresse. Ein Klick, den niemand mehr zurückholt.
Willkommen bei der Datenpanne. Ab jetzt läuft eine Uhr.
Artikel 33 der DSGVO gibt Ihnen 72 Stunden. Nicht ab dem Fehler. Ab dem Moment, in dem Sie ihn bemerken. Wer die Frist verstreichen lässt, obwohl er hätte melden müssen, steht am Ende oft schlechter da als wegen der Panne selbst.
Grund zur Panik? Nein. Denn längst nicht jede Panne muss gemeldet werden. Sie müssen nur die eine Sorte von der anderen unterscheiden können. Genau das zeige ich Ihnen hier.
Was eine Datenpanne ist – und was nicht
Der sperrige Fachbegriff lautet »Verletzung des Schutzes personenbezogener Daten«. Übersetzt: Daten, mit denen sich ein Mensch identifizieren lässt (Name, Anschrift, Mailadresse, Bankverbindung, Gesundheitsdaten), geraten in falsche Hände, gehen verloren, werden verändert oder gelöscht. Ob durch Technik, durch einen Angreifer oder schlicht durch einen Griff daneben, spielt dabei keine Rolle.
Fünf Fälle aus dem ganz normalen Büroalltag:
- Der offene Verteiler: 40 Mailadressen im CC statt im BCC, für alle sichtbar.
- Der verlorene Laptop oder USB-Stick mit Kundendaten. Unverschlüsselt.
- Ransomware (Erpresser-Software), die Ihre Kundendatenbank verschlüsselt und womöglich vorher kopiert.
- Die Rechnung, die an den falschen Empfänger geht, samt fremder Kontodaten.
- Der Stapel Papierakten, der im Altpapier landet statt im Aktenvernichter.
Nicht jede Panne ist digital. Ein verlorener Ordner zählt genauso wie ein gehacktes Postfach.
Die 72-Stunden-Frist: ab wann die Uhr tickt
Der häufigste Irrtum: Die Frist beginnt nicht mit dem Vorfall, sondern mit Ihrer Kenntnis. In dem Moment, in dem Sie oder eine Ihrer Mitarbeiterinnen merken, dass etwas schiefgelaufen ist, startet die Uhr.
Und sie läuft durch. Auch über Nacht, auch am Wochenende. 72 Stunden sind 72 Stunden, keine drei Arbeitstage.
Das klingt knapp, ist aber machbar. Sie müssen in dieser Zeit keinen perfekten Bericht abliefern. Die DSGVO erlaubt es ausdrücklich, zuerst das Wichtigste zu melden und Details nachzureichen. Wer später als 72 Stunden meldet, muss den Verzug begründen. Also lieber fristgerecht und lückenhaft als sauber, aber zu spät.
Daraus folgt etwas Praktisches: Die Uhr startet, sobald irgendjemand im Betrieb den Fehler bemerkt. Nicht erst, wenn die Meldung auf Ihrem Schreibtisch landet. Ihre Leute müssen also wissen, dass so ein Missgeschick sofort zu Ihnen gehört und nicht aus Scham unter den Teppich. Ein kurzer, angstfreier Meldeweg im Team ist deshalb kein Bürokratie-Kram, sondern Ihr wichtigster Zeitpuffer.
Melden oder nur dokumentieren? Die ehrliche Abwägung
Jetzt der Teil, den Panikmacher gern verschweigen: Nicht jede Panne gehört zur Behörde. Der Maßstab ist das Risiko für die betroffenen Menschen. Kein spürbares Risiko, keine Meldung. So einfach ist die Grundregel, so knifflig manchmal die Einschätzung im Einzelfall.
| Situation | Beispiel | Was zu tun ist |
|---|---|---|
| Kein spürbares Risiko | Belanglose Mail an die falsche Adresse, vom Empfänger sofort gelöscht; verlorener, aber verschlüsselter USB-Stick | Intern dokumentieren. Keine Meldung. |
| Risiko für Betroffene | Offener Verteiler mit 40 Adressen; unverschlüsselter Laptop weg | Meldung an die Datenschutzbehörde binnen 72 Stunden. |
| Hohes Risiko | Gesundheits-, Konto- oder Ausweisdaten in fremden Händen; Ransomware mit Datenabfluss | Meldung an die Behörde und zusätzlich die Betroffenen direkt informieren. |
Wann Sie nicht melden müssen
Ein Beispiel, das viele überrascht: Geht ein verschlüsselter USB-Stick verloren, sind die Daten für den Finder unlesbar. In der Regel besteht dann kein meldepflichtiges Risiko. Aufschreiben müssen Sie den Vorfall trotzdem. Warum, dazu gleich mehr.
Verschlüsselung ist hier Ihr bester Freund. Sie verwandelt einen meldepflichtigen Notfall in eine Randnotiz.
Wie und wo Sie melden
Zuständig ist die Datenschutzaufsicht Ihres Bundeslandes, nicht irgendeine Bundesbehörde. In Nordrhein-Westfalen ist das die LDI (Landesbeauftragte für Datenschutz und Informationsfreiheit). Andere Bundesländer haben eigene Stellen. Fast alle bieten ein Online-Formular an, das Sie durch die Meldung führt.
Der Ablauf, wenn es ernst wird:
- Ruhe bewahren. Grenzen Sie die Panne ein: Was ist passiert, wessen Daten sind betroffen, wie viele Menschen, seit wann.
- Risiko einschätzen. Die Tabelle oben ist Ihr Wegweiser.
- Ist es meldepflichtig, füllen Sie das Formular der zuständigen Behörde aus: Hergang, Art der Daten, Zahl der Betroffenen, mögliche Folgen, Ihre Gegenmaßnahmen.
- Frist im Blick behalten. Fehlt noch etwas, melden Sie das Bekannte und reichen den Rest nach.
- Bei hohem Risiko informieren Sie die Betroffenen selbst. In klarer Sprache, ohne Fachchinesisch.
- Jeden Schritt festhalten.
Und keine Scheu vor der Behörde: Eine Meldung ist kein Schuldeingeständnis, sondern schlicht Ihre Pflicht. Offenes, schnelles Melden wird regelmäßig zu Ihren Gunsten gewertet. Das Verschweigen dagegen macht aus einem Missgeschick ein echtes Versäumnis.
Die Pflicht, die fast keiner kennt: dokumentieren
Hier ist der Haken, über den viele stolpern: Sie müssen jede Datenpanne intern festhalten. Auch die, die Sie nicht melden. Selbst die harmloseste.
Der Grund ist Ihr eigener Schutz. Prüft die Behörde eines Tages nach, will sie sehen, dass Sie überlegt gehandelt haben. Der Satz »Das war kein Risiko, deshalb keine Meldung« überzeugt nur, wenn er schwarz auf weiß mit Datum und Begründung vorliegt. Mündlich zählt er nichts.
Ein einfaches Verzeichnis reicht: Datum, was passiert ist, welche Daten betroffen waren, Ihre Risikobewertung, Ihre Entscheidung. Eine Tabelle, kein Aktenordner.
Datenpanne und Hackerangriff: oft dasselbe Ereignis
Ein Ransomware-Angriff ist beides zugleich: ein Sicherheitsvorfall und, sobald Daten betroffen sind, eine meldepflichtige Datenpanne. Im Chaos der ersten Stunden denkt niemand an die 72-Stunden-Uhr. Genau deshalb gehört die Meldefrage fest in Ihren Notfallplan. Wie so ein Plan aussieht und worauf es in den ersten Stunden ankommt, gehe ich in »Was tun nach einem Hackerangriff« Schritt für Schritt durch.
Noch besser, als die Uhr sauber zu bedienen, ist es, sie gar nicht erst starten zu müssen. Ein aufgeräumtes, abgesichertes Netzwerk senkt die Wahrscheinlichkeit, dass aus einem dummen Zufall eine meldepflichtige Panne wird. Das ist der unspektakuläre Teil meiner Arbeit an der Netzwerksicherheit.
Lieber vorher kurz gesprochen als hinterher allein gegrübelt
Der Moment einer Panne ist der schlechteste, um in Ruhe die Rechtslage zu wälzen. Deshalb ein Schritt, den Sie noch heute erledigen können: Legen Sie das interne Verzeichnis an, von dem oben die Rede war. Eine schlichte Tabelle mit fünf Spalten – Datum, was passiert ist, welche Daten betroffen waren, Ihre Risikobewertung, Ihre Entscheidung. Und setzen Sie das Meldeformular Ihrer Landesdatenschutzbehörde als Lesezeichen in den Browser. Beides zusammen kostet zehn Minuten und nimmt der 72-Stunden-Uhr im Ernstfall den größten Teil ihres Schreckens.
Bleibt die Frage, welcher Vorfall in Ihrem Betrieb überhaupt meldepflichtig wäre und welcher nur ins Verzeichnis wandert. Die gehen wir vorab durch, im kostenlosen Erstgespräch. Wo Sie sitzen, spielt keine Rolle, wir reden per Video. Und kommt der Ernstfall, wählen Sie keine 0800-Nummer aus einer Broschüre. Sie haben meine Durchwahl schon im Telefon.
