Datenschutzverletzung: Was jetzt zu tun ist

Datenschutzverletzungen sind längst keine Ausnahmefälle mehr. Sie passieren täglich – in kleinen Handwerksbetrieben ebenso wie in großen Konzernen. Ein falscher E-Mail-Empfänger, ein offenes Cloud-Verzeichnis, ein gestohlener Laptop oder ein Phishing-Angriff können bereits ausreichen, um eine meldepflichtige Datenpanne auszulösen.

Die DSGVO verlangt in solchen Fällen schnelle und überlegte Reaktionen. Doch viele Unternehmen wissen nicht genau, wann eine Meldung notwendig ist, wie sie erfolgen muss und welche Fristen gelten.

Dieser Artikel bietet Ihnen eine klare Orientierung – von der Erkennung bis zur Nachbereitung einer Datenschutzverletzung.

Was ist eine Datenschutzverletzung nach DSGVO?

Die DSGVO definiert eine Datenschutzverletzung in Art. 4 Nr. 12 als eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.

Das bedeutet: Eine Datenschutzverletzung liegt nicht nur vor, wenn Daten gehackt oder gestohlen werden. Sie kann auch entstehen, wenn personenbezogene Daten versehentlich offengelegt, verändert oder gelöscht werden.

Typische Beispiele aus der Praxis:

• Eine E-Mail mit Gehaltsabrechnungen wird an den falschen Empfänger geschickt.
• Eine Kundendatenbank wird durch Ransomware verschlüsselt.
• Ein USB-Stick mit Bewerbungsunterlagen geht verloren.
• Eine Website speichert IP-Adressen, obwohl das Cookie-Banner nicht korrekt funktioniert.
• Ein Mitarbeiter lädt personenbezogene Daten auf einen privaten Cloud-Speicher hoch.

In allen Fällen ist entscheidend, welches Risiko für die betroffenen Personen besteht – beispielsweise Identitätsdiebstahl, Diskriminierung oder ein finanzieller Schaden.

Die 72-Stunden-Frist – was sie wirklich bedeutet

Nach Art. 33 DSGVO muss eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden.

Diese Frist beginnt, sobald das Unternehmen Kenntnis von dem Vorfall erlangt – nicht erst, wenn die Ursache vollständig geklärt ist. Wer zu lange ausschließlich intern prüft, riskiert daher bereits einen Verstoß gegen die Meldepflicht.

Die Meldung muss insbesondere folgende Informationen enthalten:

• Art der Verletzung, beispielsweise Verlust, Offenlegung oder Manipulation
• Kategorien und Anzahl der betroffenen Personen
• Kategorien und Anzahl der betroffenen Datensätze
• Name und Kontaktdaten des Datenschutzbeauftragten
• Beschreibung der wahrscheinlichen Folgen
• Maßnahmen zur Behebung und Schadensbegrenzung

Falls nicht alle Informationen sofort vorliegen, kann zunächst eine vorläufige Meldung erfolgen. Fehlende Angaben dürfen anschließend schrittweise nachgereicht werden.

Wann muss die Datenschutzverletzung gemeldet werden – und wann nicht?

Nicht jede Datenpanne ist automatisch meldepflichtig. Entscheidend ist die Bewertung des Risikos für die Rechte und Freiheiten der betroffenen Personen.

Kein Meldebedarf:
Wenn voraussichtlich kein Risiko für die betroffenen Personen besteht. Das kann beispielsweise beim Verlust eines sicher verschlüsselten USB-Sticks der Fall sein, sofern der Schlüssel nicht ebenfalls verloren gegangen ist.

Meldepflicht:
Wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht, beispielsweise bei offengelegten Kundenadressen, einem Datenbankleck oder einem erfolgreichen Phishing-Angriff.

Zusätzliche Informationspflicht:
Besteht voraussichtlich ein hohes Risiko, müssen zusätzlich die betroffenen Personen direkt informiert werden. Diese Pflicht ergibt sich aus Art. 34 DSGVO.

Zur Unterstützung bietet die Datenschutzkonferenz eine Risiko-Matrix, die Unternehmen bei der Bewertung möglicher Datenschutzverletzungen helfen kann.

Was passiert, wenn man zu spät oder gar nicht meldet?

Verstöße gegen die Meldepflicht sind keine Lappalie. Aufsichtsbehörden können insbesondere dann streng reagieren, wenn Datenschutzverletzungen verspätet, unvollständig oder überhaupt nicht gemeldet werden.

Beispiele aus der Praxis:

Im Jahr 2024 verhängte die Berliner Datenschutzbehörde gegen ein mittelständisches Unternehmen ein Bußgeld in Höhe von 75.000 €, weil eine Datenpanne erst nach einer Woche gemeldet wurde.

In einem anderen Fall wurde ein Unternehmen abgemahnt, weil es betroffene Personen nicht informiert hatte, obwohl sensible Gesundheitsdaten betroffen waren.

Bußgelder sind jedoch nur ein Teil des möglichen Schadens. Häufig schwerwiegender sind der Reputationsverlust und der Vertrauensbruch gegenüber Kunden, Beschäftigten oder Geschäftspartnern.

Wie Sie im Ernstfall richtig reagieren: 5 Schritte zum Notfallplan

Ein strukturierter Ablauf hilft dabei, auch in einer Stresssituation den Überblick zu behalten.

1. Erkennen

Schulen Sie Mitarbeitende darin, mögliche Datenschutzverletzungen frühzeitig zu erkennen und intern zu melden. Auch ein begründeter Verdacht sollte ernst genommen werden – lieber einmal zu früh als zu spät.

2. Eindämmen

Leiten Sie unverzüglich Sofortmaßnahmen ein, um die Ausbreitung des Vorfalls zu stoppen. Dazu gehören beispielsweise:

• betroffene Accounts sperren
• Passwörter zurücksetzen
• Systeme isolieren
• Freigaben entfernen
• Empfänger zur Löschung falsch versendeter Daten auffordern

3. Bewerten

Prüfen Sie Art, Umfang und mögliche Folgen der Datenschutzverletzung. Dabei helfen interne Checklisten, ein standardisierter Bewertungsbogen und eine klare Risikobewertung.

4. Melden

Reichen Sie als Verantwortlicher die Meldung bei der zuständigen Aufsichtsbehörde ein. In Deutschland stehen dafür in der Regel Online-Formulare der jeweiligen Landesdatenschutzbehörden zur Verfügung.

5. Nachbereiten

Dokumentieren Sie alle getroffenen Entscheidungen und Maßnahmen. Diese Dokumentationspflicht ergibt sich aus Art. 33 Abs. 5 DSGVO.

Analysieren Sie außerdem die Ursachen des Vorfalls, damit vergleichbare Datenschutzverletzungen künftig vermieden werden können.

Tipp: Erstellen Sie ein Datenschutz-Notfallhandbuch, in dem Prozesse, Zuständigkeiten, Kontaktdaten und Vorlagen zentral festgehalten werden.

Die Rolle des Datenschutzbeauftragten

Der interne oder externe Datenschutzbeauftragte spielt im Ernstfall eine wichtige Rolle. Er bildet die Schnittstelle zwischen IT, Geschäftsleitung, Auftragsverarbeitern und Aufsichtsbehörde.

Ein erfahrener externer Datenschutzbeauftragter kann unter anderem in folgenden Bereichen unterstützen:

• sofortige Ersteinschätzung des Risikos
• Unterstützung bei der Meldung
• Kommunikation mit der Aufsichtsbehörde
• Information der betroffenen Personen
• Nachbereitung und Prüfung des Vorfalls
• Schulung und Sensibilisierung der Mitarbeitenden

Gerade kleine und mittelständische Unternehmen profitieren davon, solche Prozesse professionell begleiten zu lassen. Dadurch können Fehler vermieden und die Meldefrist sicher eingehalten werden.

Prävention: So vermeiden Sie Datenschutzverletzungen langfristig

Die beste Strategie besteht darin, Datenschutzverletzungen möglichst gar nicht erst entstehen zu lassen.

Dazu gehören insbesondere:

• regelmäßige Datenschutz-Audits, um technische und organisatorische Schwachstellen zu erkennen
• Schulungen für Mitarbeitende, insbesondere im Umgang mit E-Mails, Cloud-Systemen und Kundendaten
• Website-Scans und Penetrationstests, um Sicherheitslücken frühzeitig zu identifizieren
• klare Richtlinien für die Verarbeitung und Speicherung personenbezogener Daten
• Auftragsverarbeitungsverträge, in denen Meldepflichten und Sicherheitsstandards eindeutig geregelt sind
• klar definierte Zuständigkeiten und interne Meldewege

Unseren Artikel zu Datenschutz-Schulungen können Sie hier lesen.

Moderne Datenschutzmanagementsysteme können Unternehmen dabei helfen, diese Maßnahmen zentral zu steuern, regelmäßig zu überprüfen und nachvollziehbar zu dokumentieren.

Fazit

Datenschutzverletzungen sind nicht automatisch ein Zeichen schlechter Unternehmensführung. Sie gehören zu den realistischen Risiken des digitalen Arbeitsalltags. Entscheidend ist, wie ein Unternehmen mit einem Vorfall umgeht.

Wer schnell reagiert, transparent kommuniziert und klare Prozesse etabliert, kann Bußgelder und Imageschäden reduzieren. Unternehmen, die Datenschutz ernst nehmen, stärken zudem langfristig das Vertrauen ihrer Kunden, Beschäftigten und Geschäftspartner.

Ein klarer Notfallplan, regelmäßige Audits und wiederkehrende Schulungen machen den Unterschied zwischen Chaos und Kontrolle. So wird Datenschutz nicht zum Problem, sondern zu einem Qualitätsmerkmal des Unternehmens.