DSGVO-Datenpanne richtig melden
Fristen, Ablauf, Muster: Was Sie bei einer Datenschutzverletzung tun müssen
Eine Datenpanne kann jedes Unternehmen treffen - ob durch Hackerangriff, verlorenen USB-Stick oder fehlgeleitete E-Mail.
Die DSGVO verlangt in vielen Fällen eine Meldung an die Behörden innerhalb von 72 Stunden.
Wer die Fristen verpasst oder falsch meldet, riskiert empfindliche Bußgelder.
Dieser Ratgeber zeigt den korrekten Ablauf.
Inhaltsverzeichnis
Was ist eine meldepflichtige Datenpanne?
Nicht jeder Vorfall muss gemeldet werden. Meldepflichtig nach Art. 33 DSGVO ist eine "Verletzung des Schutzes personenbezogener Daten", die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Beispiele: Ransomware verschlüsselt Kundendaten. Ein Mitarbeiter sendet eine Kundenliste versehentlich an den falschen Empfänger. Patientendaten werden durch einen Hackerangriff gestohlen. Ein Firmenlaptop mit unverschlüsselten Daten geht verloren. Nicht meldepflichtig: Verschlüsselte Daten gehen verloren, aber der Schlüssel ist sicher - kein Risiko für Betroffene.
Die 72-Stunden-Frist: So läuft die Meldung ab
Die Frist beginnt ab dem Zeitpunkt, an dem Sie von der Datenpanne Kenntnis erlangen. Schritt 1 (sofort): Vorfall dokumentieren - wann entdeckt, was betroffen, wie viele Personen. Schritt 2 (innerhalb von 24h): Risikobewertung - besteht ein Risiko für Betroffene? Schritt 3 (innerhalb von 72h): Online-Meldung bei der zuständigen Landesdatenschutzbehörde. Die Meldung muss enthalten: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene Gegenmaßnahmen. Ist die Meldung in 72 Stunden nicht möglich, können Sie eine vorläufige Meldung einreichen und später ergänzen.
Wann müssen Betroffene informiert werden?
Art. 34 DSGVO verlangt eine direkte Benachrichtigung der betroffenen Personen, wenn die Datenpanne voraussichtlich ein "hohes Risiko" für deren Rechte und Freiheiten mit sich bringt. Das ist typischerweise der Fall bei: Diebstahl von Gesundheitsdaten, Finanzdaten oder Passwörtern. Identitätsmissbrauch ist möglich. Große Mengen sensibler Daten sind betroffen. Die Benachrichtigung muss klar, verständlich und in einfacher Sprache verfasst sein. Sie enthält: Was passiert ist, welche Daten betroffen sind, was Betroffene tun können und einen Ansprechpartner.
Bußgelder und Konsequenzen bei Verstößen
Die Konsequenzen bei Verletzung der Meldepflicht können erheblich sein: Bußgelder bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes für Meldepflichtverstöße. Höhere Bußgelder bis 20 Millionen Euro, wenn die zugrundeliegende Datenschutzverletzung auf unzureichende Sicherheitsmaßnahmen zurückgeht. Schadensersatzansprüche betroffener Personen (materiell und immateriell). Reputationsschäden und Vertrauensverlust. In der Praxis ahnden Behörden besonders streng, wenn Unternehmen Datenpannen verschweigen oder die 72-Stunden-Frist ohne guten Grund überschreiten.
So hilft die Cyberversicherung bei Datenpannen
Eine Cyberversicherung ist bei Datenpannen ein unverzichtbarer Partner. Sie deckt ab: Rechtsberatung durch spezialisierte Datenschutzanwälte. Kosten für die Benachrichtigung betroffener Personen (oft mehrere Euro pro Person). IT-Forensik zur Aufklärung des Vorfalls. DSGVO-Bußgelder (soweit versicherbar). Krisenmanagement und PR-Beratung. Die meisten Versicherer stellen über ihre 24/7-Hotline innerhalb weniger Stunden einen Datenschutzanwalt bereit, der die Meldung für Sie vorbereitet.
Häufige Fragen
Muss jede Datenpanne gemeldet werden?
An wen muss ich die Datenpanne melden?
Was passiert, wenn ich die 72-Stunden-Frist verpasse?
Übernimmt die Cyberversicherung DSGVO-Bußgelder?
Unabhängiger Versicherungsmakler mit Spezialisierung auf Cyberversicherungen für KMU, Arztpraxen und Kanzleien. Erlaubnis nach §34d GewO.
Kostenlos beraten lassen – zu Ihrem Betrieb
Schildern Sie uns Ihr Anliegen. Gemeinsam klären wir, worauf es bei Ihrem Schutz ankommt.
SSL-verschlüsselt · Verarbeitung zur Bearbeitung Ihrer Anfrage