Datenpanne: Was in den ersten 72 Stunden zu tun ist

Eine Datenpanne muss binnen 72 Stunden, nachdem Sie davon erfahren, der Datenschutzbehörde gemeldet werden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Dokumentiert werden muss jede Panne, auch die, die Sie nicht melden.

Datenpannen sehen selten aus wie im Film. Meist ist es eine E-Mail mit Kundenliste an die falsche Adresse, ein im Zug vergessener Laptop oder ein Postfach, das per Phishing übernommen wurde. Dann zählt ein kühler Kopf und eine klare Reihenfolge.

Was als Datenpanne gilt

Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“: Personenbezogene Daten werden vernichtet, gehen verloren, werden verändert, unbefugt offengelegt oder von jemandem eingesehen, der keinen Zugriff haben dürfte, ob versehentlich oder absichtlich. Beispiele:

• eine E-Mail mit personenbezogenen Daten an den falschen Empfänger
• ein verlorener oder gestohlener Laptop oder ein Handy mit Kundendaten
• Ransomware, die den Server verschlüsselt
• ein per Phishing übernommenes Konto

Die ersten Stunden

1. Notieren Sie, wann Sie davon erfahren haben. Ab dann laufen die 72 Stunden.
2. Stoppen Sie das Leck: Passwörter ändern, Zugänge sperren, betroffene Geräte vom Netz nehmen, den falschen Empfänger bitten, die E-Mail zu löschen.
3. Klären Sie, was passiert ist, welche Daten betroffen sind und wie viele Personen.
4. Schätzen Sie das Risiko für die Betroffenen ein: Was könnte ihnen dadurch passieren?

Melden oder nicht?

Führt die Panne voraussichtlich zu keinem Risiko für die Betroffenen, müssen Sie sie nicht melden, aber dokumentieren (Art. 33 Abs. 5 DSGVO). Ein typisches Beispiel: Ein verschlüsselter Laptop geht verloren, und der Schlüssel war nicht dabei. In allen anderen Fällen melden Sie die Panne unverzüglich und möglichst binnen 72 Stunden der Datenschutzbehörde (Art. 33 DSGVO). In Österreich stellt die Datenschutzbehörde dafür ein Formular auf ihrer Website bereit. Sind noch nicht alle Fakten bekannt, melden Sie, was Sie wissen, und ergänzen Sie den Rest später.

Wann die Betroffenen informiert werden müssen

Ist das Risiko hoch, etwa bei Gesundheitsdaten, Bankdaten oder Passwörtern, müssen Sie zusätzlich die Betroffenen unverzüglich informieren, in einfacher Sprache: was passiert ist, was Sie dagegen tun und was sie selbst tun können, etwa ein Passwort ändern (Art. 34 DSGVO).

Wenn ein Dienstleister beteiligt ist

Passiert die Panne bei einem Auftragsverarbeiter, etwa Ihrem IT-Dienstleister oder Cloud-Anbieter, muss er Sie unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Die Meldepflicht gegenüber der Behörde bleibt bei Ihnen als Verantwortlichem. Achten Sie darauf, dass Ihre Auftragsverarbeitungsverträge das regeln.

Vorbereitet ist halb gelöst

Drucken Sie unsere Checkliste für Datenpannen aus und legen Sie vorab fest, wer entscheidet und wer meldet. Wenn es passiert und Sie Hilfe brauchen, schreiben Sie uns.