Datenpanne: wann melden, wann nicht, innerhalb von 72 Stunden

Nicht jeder Vorfall ist eine Datenpanne. Nicht jede Datenpanne muss der Aufsichtsbehörde gemeldet werden. Hier der Entscheidungsbaum und eine Muster-Meldevorlage.

Eine Datenpanne (Breach) ist eine Verletzung der Datensicherheit, bei der personenbezogene Daten vernichtet, verloren, verändert, unbefugt offengelegt oder zugänglich gemacht wurden. Wann muss gemeldet werden?

Entscheidungsbaum

\n
1. Handelt es sich um eine Datenpanne? Im Zweifel: ja.
\n
2. Risiko für Betroffene? Daten öffentlich zugänglich? Finanzieller Schaden möglich? Gefahr von Identitätsbetrug?
\n
3. Geringes Risiko (z. B. verschlüsseltes Gerät verloren): keine Meldepflicht gegenüber der Aufsichtsbehörde, aber intern im Vorfallsprotokoll dokumentieren.
\n
4. Erhebliches Risiko: innerhalb von 72 Stunden bei der zuständigen Datenschutzbehörde melden.
\n
5. Hohes Risiko für Betroffene: Betroffene zusätzlich unverzüglich informieren.
\n

Was melden?

\n
• Art der Datenpanne.
\n
• Kategorien und Anzahl der betroffenen Personen.
\n
• Kategorien und Anzahl der betroffenen personenbezogenen Daten.
\n
• Folgen der Datenpanne.
\n
• Ergriffene oder geplante Maßnahmen.
\n
• Kontaktdaten des Datenschutzbeauftragten oder einer Ansprechperson.
\n

Die 72-Stunden-Uhr

Die Frist beginnt in dem Moment, in dem Sie Kenntnis erhalten haben – nicht ab dem Zeitpunkt des Vorfalls selbst. Wochenenden zählen mit. Eine vorläufige Meldung ist zulässig und kann später ergänzt werden.

Wo melden?

In Deutschland: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) oder die zuständige Landesbehörde – Online-Meldeformular für Datenpannen. Bewahren Sie eine Kopie auf.

Was innerhalb der Organisation zu tun ist

\n
• Team aktivieren: Security-Verantwortlicher, Geschäftsführung, Kommunikation.
\n
• Untersuchung: Was ist genau passiert?
\n
• Eindämmung: Datenpanne stoppen.
\n
• Forensische Dokumentation: Beweise für die weitere Untersuchung sichern.
\n
• Kommunikation vorbereiten: intern, extern, Medien.
\n

Siehe auch: Vorfallsprotokoll einrichten, Incident Response.