Datenpanne melden: wann es Pflicht ist und wie es geht
Eine E-Mail mit Kundenliste an den falschen Empfänger, ein gestohlener Laptop oder ein Brief an die falsche Adresse: Eine Datenpanne ist schnell passiert. Die DSGVO regelt genau, was dann zu tun ist. Hier erfahren Sie, wann Sie eine Panne melden müssen, bei wem, und wie Sie die nächste vermeiden.
Was ist eine Datenpanne?
Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“ (Art. 4 Nr. 12): eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig. Es muss also kein Hackerangriff sein. Auch ein falsch versandter Brief oder das unbeabsichtigte Teilen von Daten mit einem externen Dienst wie einem KI-Chatbot kann eine Datenpanne sein.
Meldung an die Aufsichtsbehörde
Nach Art. 33 DSGVO meldet der Verantwortliche eine Panne unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, in Deutschland in der Regel der Datenschutzbehörde des jeweiligen Bundeslandes. Keine Meldung ist nötig, wenn die Panne voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Bei einer Meldung nach mehr als 72 Stunden ist die Verzögerung zu begründen.
Die Meldung enthält unter anderem die Art der Panne, die Kategorien und die ungefähre Zahl der Betroffenen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Fehlende Informationen dürfen schrittweise nachgereicht werden.
Betroffene informieren
Hat die Panne voraussichtlich ein hohes Risiko zur Folge, etwa bei Gesundheitsdaten, Finanzdaten oder Steuer-IDs, müssen Sie auch die Betroffenen unverzüglich benachrichtigen (Art. 34 DSGVO). Das entfällt zum Beispiel, wenn die Daten wirksam verschlüsselt waren oder Sie Maßnahmen getroffen haben, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.
Immer: die Dokumentation
Auch Pannen, die nicht meldepflichtig sind, müssen intern dokumentiert werden: Fakten, Auswirkungen und Abhilfemaßnahmen (Art. 33 Abs. 5 DSGVO). So können Sie gegenüber der Aufsichtsbehörde nachweisen, dass Sie die Regeln einhalten. Sind Sie Auftragsverarbeiter? Dann melden Sie eine Panne unverzüglich Ihrem Auftraggeber (Art. 33 Abs. 2).
Häufige Ursachen
Laut dem Bericht der niederländischen Datenschutzbehörde über Datenpannen 2024 betraf in den Bereichen Gesundheit, öffentliche Verwaltung und Finanzdienstleistungen etwa die Hälfte der Meldungen einen Brief an einen falschen Empfänger und etwa 15 % eine falsch versandte E-Mail. Außerdem erhielt die Behörde 2024 mehrere Meldungen über Beschäftigte, die personenbezogene Daten in KI-Chatbots eingegeben hatten; siehe ChatGPT DSGVO-konform nutzen.
So vermeiden Sie Pannen beim Teilen von Dokumenten
- Teilen Sie nur, was der Empfänger wirklich braucht (Datenminimierung, Art. 5 DSGVO).
- Anonymisieren oder pseudonymisieren Sie Dokumente, bevor Sie sie mit Externen oder KI-Tools teilen. VerumVault erledigt das lokal, ohne Upload.
- Prüfen Sie den Empfänger vor dem Absenden und nutzen Sie BCC für Gruppenmails.
- Verschlüsseln Sie Laptops und USB-Sticks.
Lesen Sie auch: DSGVO für KMU und Steuer-ID schwärzen.
Dokument jetzt kostenlos mit VerumVault anonymisieren →Läuft lokal in Ihrem Browser · kein Upload · kein KontoHäufige Fragen
Wie schnell muss ich eine Datenpanne melden?
Unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde, bei der zuständigen Aufsichtsbehörde. Eine spätere Meldung ist möglich, muss aber begründet werden.
Muss ich jede Datenpanne melden?
Nein. Keine Meldung ist nötig, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Dokumentieren müssen Sie aber jede Panne.
Wann muss ich die Betroffenen informieren?
Wenn die Panne voraussichtlich ein hohes Risiko für sie bedeutet, etwa bei Gesundheits- oder Finanzdaten oder Steuer-IDs.
Ist eine falsch versandte E-Mail eine Datenpanne?
Ja, wenn sie personenbezogene Daten enthielt. Ob sie meldepflichtig ist, hängt vom Risiko für die Betroffenen ab.