- erkennen, was eine Verletzung des Schutzes personenbezogener Daten ist
- die Pflichten nach Art. 33 und 34 DSGVO und ihre Fristen kennen
- das Risiko eines Vorfalls einschätzen
- in den ersten Stunden nach einem Vorfall strukturiert handeln
Es passiert schneller, als man denkt. Eine E-Mail an den falschen Verteiler, ein gestohlenes Notebook, ein geöffneter Anhang, der sich als Schadsoftware entpuppt. Datenschutzvorfälle sind keine seltenen Katastrophen, sondern Alltag – die deutschen Aufsichtsbehörden erhalten jedes Jahr Zehntausende Meldungen. Die Frage ist nicht, ob ein Unternehmen einen Vorfall erlebt, sondern ob es darauf vorbereitet ist. Kleine Betriebe sind dabei genauso betroffen wie große Konzerne, oft sogar stärker.
Die DSGVO setzt dafür einen engen Zeitrahmen: 72 Stunden. In dieser Zeit muss ein Unternehmen den Vorfall erkannt, eingedämmt, bewertet und gegebenenfalls gemeldet haben. Das gelingt nur, wenn der Ablauf vorher feststeht. Diese Lektion zeigt, was in diesen Stunden zu tun ist, wie das Risiko eingeschätzt wird und was nach der Meldung folgt.
1. Was ist ein Datenschutzvorfall?
Die Definition ist weit. Sie umfasst nicht nur Hackerangriffe, sondern auch alltägliche Pannen: das Fax an die falsche Nummer, die Excel-Liste im offenen Verteiler, den Ordner, der auf einer Baustelle verloren geht. Auch der Verlust der Verfügbarkeit zählt, etwa wenn ein Verschlüsselungstrojaner die Kundendatenbank unbrauchbar macht. Entscheidend ist nicht die Absicht, sondern das Ergebnis. Auch ein Vorfall bei einem Dienstleister zählt, wenn er Daten des Unternehmens betrifft.
2. Die drei Pflichten
Die DSGVO kennt drei gestufte Pflichten. Jeder Vorfall ist nach Art. 33 Abs. 5 intern zu dokumentieren – mit Sachverhalt, Auswirkungen und ergriffenen Maßnahmen, auch wenn er nicht gemeldet wird. Führt ein Vorfall voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen, ist er nach Art. 33 der zuständigen Aufsichtsbehörde zu melden, und zwar unverzüglich und möglichst binnen 72 Stunden, nachdem das Unternehmen davon Kenntnis erlangt hat. Wird die Frist überschritten, ist die Verzögerung zu begründen. Besteht voraussichtlich ein hohes Risiko, sind nach Art. 34 zusätzlich die Betroffenen selbst zu benachrichtigen, in klarer und einfacher Sprache.
| Risiko für die Betroffenen | Pflicht | Frist |
|---|---|---|
| kein Risiko | intern dokumentieren (Art. 33 Abs. 5) | – |
| Risiko | dokumentieren und der Aufsichtsbehörde melden (Art. 33) | unverzüglich, möglichst binnen 72 Stunden |
| hohes Risiko | zusätzlich Betroffene benachrichtigen (Art. 34) | unverzüglich |
Auftragsverarbeiter melden Vorfälle unverzüglich an den Verantwortlichen (Art. 33 Abs. 2). Die Meldung an die Behörde ist Sache des Verantwortlichen.
Die Meldung an die Behörde erfolgt in der Regel über ein Online-Formular. Sie enthält die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, einen Kontakt, die wahrscheinlichen Folgen und die ergriffenen oder geplanten Maßnahmen. Nicht alle Informationen müssen sofort vollständig vorliegen – sie dürfen schrittweise nachgereicht werden. Wichtig ist, die Frist nicht mit dem Warten auf Vollständigkeit zu verspielen.
3. Die ersten 72 Stunden
Der folgende Zeitstrahl zeigt einen bewährten Ablauf am Beispiel einer versehentlich verschickten Kundenliste. Klicken Sie sich durch die Stationen.
Stunde 0
Entdeckt
Ein Mitarbeiter bemerkt, dass eine Kundenliste an den falschen Verteiler ging. Die Uhr beginnt zu laufen, sobald das Unternehmen Kenntnis hat.
Zwei Fehler kommen in der Praxis besonders häufig vor. Der erste ist das Zögern: Die Person, die den Fehler bemerkt, meldet ihn aus Scham nicht oder erst Tage später. Deshalb ist eine Fehlerkultur so wichtig, in der Meldungen gewünscht sind und nicht bestraft werden. Der zweite ist die Verwechslung von Kenntnis und Gewissheit: Die Frist beginnt, sobald das Unternehmen mit hinreichender Sicherheit weiß, dass ein Vorfall vorliegt – nicht erst, wenn alle Einzelheiten geklärt sind.
4. Das Risiko einschätzen
Die schwierigste Aufgabe ist die Bewertung des Risikos. Sie hängt davon ab, welche Daten betroffen sind, wie viele Personen, wie leicht diese identifizierbar sind, welche Folgen drohen und ob Schutzmaßnahmen wie eine Verschlüsselung greifen. Gesundheitsdaten, Bankverbindungen, Zugangsdaten und Daten von Kindern wiegen schwer. Eine wirksame Verschlüsselung kann das Risiko dagegen so weit senken, dass keine Meldung nötig ist. Üben Sie die Einschätzung an fünf typischen Fällen.
Ein verschlüsselter Firmenlaptop mit starkem Passwort wird gestohlen.
Eine E-Mail mit 300 Kundenadressen im offenen Verteiler geht an alle Kunden.
Eine Mail mit Krankmeldungen von fünf Beschäftigten geht an einen externen Empfänger.
Ransomware verschlüsselt den Server mit Kundendaten, ein Backup ist vorhanden, Datenabfluss unklar.
Ein Brief an einen Kunden wird versehentlich an die Nachbaradresse zugestellt und ungeöffnet zurückgegeben.
5. Vorbereitung ist alles
Die 72 Stunden sind nur dann ausreichend, wenn vorher feststeht, wer was tut. Bewährt hat sich ein einseitiger Notfallplan: Wer wird zuerst informiert? Wie ist der Datenschutzbeauftragte erreichbar, auch am Wochenende? Wo ist das Meldeformular der zuständigen Behörde? Wer darf nach außen kommunizieren? Dazu kommt eine Vorlage für die interne Dokumentation, damit im Ernstfall niemand bei null anfängt. Einmal im Jahr lohnt es sich, den Plan an einem erfundenen Fall durchzuspielen. Das dauert eine halbe Stunde und deckt Lücken auf, die im Ernstfall teuer würden. Wie sich Vorfälle mit KI-Systemen einordnen lassen, behandelt die Lektion Dokumentation, Vorfälle und Aufsicht im Kurs zum EU AI Act.
6. Nach dem Vorfall
Mit der Meldung ist der Vorfall nicht abgeschlossen. Die Aufsichtsbehörde kann Rückfragen stellen, Unterlagen anfordern oder Maßnahmen anordnen. In den meisten Fällen genügt es, nachvollziehbar darzulegen, was passiert ist, wie reagiert wurde und was künftig anders gemacht wird. Behörden unterscheiden sehr deutlich zwischen Unternehmen, die offen und strukturiert mit einem Fehler umgehen, und solchen, die ihn verschleiern oder kleinreden.
Mindestens ebenso wichtig ist die interne Nachbereitung. Jeder Vorfall zeigt eine Schwachstelle: eine fehlende Regel, eine unklare Zuständigkeit, eine Technik, die Fehler zu leicht macht. Ein E-Mail-Programm, das bei externen Empfängern warnt, verhindert die nächste versehentlich verschickte Liste zuverlässiger als jede Ermahnung. Eine Verschlüsselung aller mobilen Geräte macht den nächsten Diebstahl zu einem Vorfall ohne Meldepflicht. Solche Verbesserungen sind der eigentliche Gewinn aus einem Vorfall.
Schließlich lohnt ein Blick auf die Kommunikation. Wer Betroffene benachrichtigen muss, sollte das ehrlich und verständlich tun: was passiert ist, welche Daten betroffen sind, was das Unternehmen unternimmt und was die Betroffenen selbst tun können, etwa ein Passwort ändern. Eine gute Benachrichtigung schützt das Vertrauen der Kunden oft besser, als es ein Schweigen je könnte.
Zuletzt ein Wort zu Bußgeldern, die bei Datenschutzvorfällen oft im Vordergrund der Sorgen stehen. Die Aufsichtsbehörden verhängen sie vor allem dann, wenn grundlegende Maßnahmen fehlten, ein Vorfall verschwiegen wurde oder sich dieselben Fehler wiederholen. Ein Unternehmen, das angemessen vorgesorgt, schnell reagiert und offen gemeldet hat, wird in aller Regel anders behandelt. Die beste Absicherung gegen Bußgelder ist deshalb nicht die Hoffnung, dass nichts passiert, sondern ein geübter Ablauf für den Fall, dass doch etwas passiert.
- [1]Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 12, Art. 33, 34, 83.
- [2]Europäischer Datenschutzausschuss (2022): Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten.
- [3]Europäischer Datenschutzausschuss (2022): Leitlinien 01/2021 mit Beispielen zur Meldung von Datenschutzverletzungen.
Stand: September 2026. Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.