Datenpanne melden: Was Unternehmen tun müssen

Die Beispiele verdeutlichen: Die Art des Vorfalls allein erlaubt keine abschließende Entscheidung. Entscheidend sind Daten, Empfänger, Schutzmaßnahmen und mögliche Folgen im Einzelfall.

Ransomware und Backups: Warum ein Backup die Meldepflicht nicht ersetzt

Ein häufiger Fehler bei der Risikobewertung besteht darin, ein vorhandenes Backup mit fehlendem Datenschutzrisiko gleichzusetzen. Ein Backup stellt zunächst nur sicher, dass Daten wiederhergestellt werden können. Es beantwortet nicht die Frage, ob Angreifer personenbezogene Daten lesen oder kopieren konnten. Außerdem kann schon die zeitweise Nichtverfügbarkeit erhebliche Folgen verursachen, etwa wenn medizinische Versorgung oder Lohnzahlungen betroffen sind.

Fehlen belastbare Informationen über einen möglichen Datenabfluss, darf dessen Ausbleiben nicht einfach unterstellt werden. Besteht ein Risiko für Betroffene, ist die Meldung innerhalb der gesetzlichen Frist vorzunehmen, gegebenenfalls zunächst mit unvollständigen Informationen.

Wann beginnt die 72-Stunden-Frist?

Nach Art. 33 Abs. 1 DSGVO muss eine meldepflichtige Datenpanne unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Maßgeblich ist nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses der Zeitpunkt, an dem der Verantwortliche mit hinreichender Sicherheit weiß, dass eine Verletzung des Schutzes personenbezogener Daten vorliegt.

Die Frist beginnt nicht erst, wenn die Geschäftsführung oder der Datenschutzbeauftragte persönlich informiert wurde. Auch die Kenntnis zuständiger Beschäftigter kann maßgeblich sein. Interne Meldungen müssen deshalb ohne vermeidbare Verzögerung bei den entscheidungsbefugten Personen ankommen.

Drei Regeln helfen bei der Fristberechnung:

• Wochenenden und Feiertage zählen mit. Wird eine Datenpanne am Freitag um 15 Uhr bekannt, endet die Frist grundsätzlich am Montag um 15 Uhr.
• Eine kurze Prüfung des Verdachts ist zulässig. Das Unternehmen darf zügig klären, ob tatsächlich eine Verletzung vorliegt. Diese Prüfung darf aber nicht unnötig verzögert werden.
• Eine Meldung kann schrittweise ergänzt werden. Art. 33 Abs. 4 DSGVO erlaubt die Nachreichung von Informationen. Eine notwendige Meldung sollte deshalb nicht auf eine vollständige forensische Analyse warten.

Erfolgt die Meldung nach Ablauf der 72 Stunden, muss die Verzögerung gegenüber der Aufsichtsbehörde begründet werden.

Datenschutzverletzung melden: An wen und mit welchen Angaben?

Die Meldung geht an die zuständige Datenschutzaufsichtsbehörde. Für die meisten privatwirtschaftlichen Unternehmen in Deutschland ist das eine der Datenschutzaufsichtsbehörden der Länder, und zwar die des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Die Zuständigkeit richtet sich nach den konkreten Umständen. Bei grenzüberschreitenden Verarbeitungen können zusätzliche europäische Zuständigkeitsregeln gelten. Viele Behörden stellen ein Online-Meldeformular bereit, das die erforderlichen Angaben Schritt für Schritt abfragt.

Welche Angaben muss die Behördenmeldung enthalten?

Art. 33 Abs. 3 DSGVO verlangt mindestens folgende Informationen:

• Art der Datenschutzverletzung: Beschreibung des Vorfalls einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, soweit möglich.
• Ansprechpartner: Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle.
• Mögliche Folgen: Beschreibung der wahrscheinlichen Auswirkungen der Datenpanne.
• Gegenmaßnahmen: Darstellung der bereits ergriffenen oder geplanten Maßnahmen zur Behebung und zur Begrenzung möglicher Schäden.

Wann müssen betroffene Personen informiert werden?

Neben der Behördenmeldung kann eine weitere Pflicht entstehen: die Benachrichtigung der Personen, deren Daten betroffen sind. Nach Art. 34 Abs. 1 DSGVO müssen sie grundsätzlich unverzüglich informiert werden, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Die Benachrichtigung soll es den Menschen ermöglichen, geeignete Schutzmaßnahmen zu ergreifen.

Was muss die Benachrichtigung enthalten?

Eine Benachrichtigung muss klar und verständlich formuliert sein und diese Fragen beantworten:

• Welche Datenschutzverletzung ist aufgetreten und welche Daten sind betroffen?
• Welche Folgen können sich daraus ergeben?
• Welche Maßnahmen hat das Unternehmen bereits ergriffen?
• An wen können sich betroffene Personen wenden?
• Welche eigenen Schutzmaßnahmen sind sinnvoll?

Bei kompromittierten Zugangsdaten kann eine Passwortänderung nötig sein, bei Zahlungsdaten der Hinweis auf die Prüfung von Kontobewegungen. Die Empfehlungen sollten zum konkreten Risiko passen und nicht aus allgemeinen Textbausteinen bestehen.

Wann entfällt die individuelle Benachrichtigung?

Art. 34 Abs. 3 DSGVO sieht drei Konstellationen vor:

• Wirksame Schutzmaßnahmen: Die Daten waren beispielsweise so verschlüsselt, dass Unbefugte sie nicht lesen konnten.
• Nachträgliche Risikobeseitigung: Geeignete Maßnahmen stellen sicher, dass das hohe Risiko voraussichtlich nicht mehr besteht.
• Unverhältnismäßiger Aufwand: Statt einer individuellen Benachrichtigung erfolgt eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme. Auf jede Information darf also nicht verzichtet werden.

Auch eine freiwillige Benachrichtigung kann sinnvoll sein, wenn dadurch mögliche Schäden sinken. Sie sollte sorgfältig vorbereitet und mit der Risikobewertung abgestimmt werden.

Datenpanne beim Dienstleister: Wer muss melden?

Viele mittelständische Unternehmen nutzen externe Dienstleister für Hosting, Cloud-Anwendungen, Personalabrechnung oder IT-Administration. Kommt es dort zu einer Datenpanne, müssen die datenschutzrechtlichen Rollen geklärt werden. Handelt der Dienstleister als Auftragsverarbeiter, muss er den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich über eine festgestellte Verletzung informieren. Die Prüfung und gegebenenfalls die Meldung an die Aufsichtsbehörde bleiben grundsätzlich Aufgabe des Verantwortlichen.

Was sollte im Auftragsverarbeitungsvertrag stehen?

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt dazu insbesondere:

• An welchen Ansprechpartner ist ein Datenschutzvorfall zu melden?
• Wie schnell muss die Erstinformation erfolgen?
• Welche Mindestinformationen muss der Dienstleister liefern?
• Welche Unterstützung leistet der Auftragsverarbeiter bei der Risikobewertung?
• Wie werden Nachmeldungen, technische Untersuchungen und Beweissicherung organisiert?

Eine konkret vereinbarte kurze Reaktionszeit ist sinnvoll. Die DSGVO schreibt dem Auftragsverarbeiter allerdings keine allgemeine 72-Stunden-Frist vor, sondern verlangt eine unverzügliche Information. Entscheidend ist, dass der Verantwortliche früh genug von einem Vorfall erfährt, um seine eigenen Meldefristen einzuhalten.

Der interne Meldeweg: Warum Datenschutzvorfälle häufig nicht gemeldet werden

Wie groß das Problem ist, zeigt die Untersuchung der LDI NRW zum Datenpannenmanagement an Kliniken, die die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen am 28. April 2026 veröffentlichte. Zwölf von 33 geprüften Kliniken hatten über zwei Jahre hinweg keine einzige Datenpanne festgestellt.

Die Behörde hielt das in größeren Organisationen für unwahrscheinlich und vermutete, dass Beschäftigte Vorfälle nicht erkannten oder direkt mit den Betroffenen klärten, ohne sie intern weiterzugeben. Cyberangriffe machten nur einen geringen Anteil aus. Häufig waren Fehlversendungen und andere unbefugte Weitergaben.

Dieselben Fehler kommen im Mittelstand vor: Eine Gehaltsabrechnung landet beim falschen Beschäftigten, ein Kundendokument wird versehentlich weitergeleitet, ein Cloud-Ordner ist öffentlich zugänglich. Ein dokumentierter Meldeprozess allein genügt nicht. Entscheidend ist, ob Beschäftigte Datenpannen erkennen und intern melden. Die Ursachen für fehlende Meldungen sind vielfältig:

• Beschäftigte erkennen nicht, dass ein Datenschutzvorfall vorliegt.
• Sie halten eine falsch versendete E-Mail für einen unbedeutenden Fehler.
• Sie glauben, mit einer Löschbestätigung sei der Vorgang abgeschlossen.
• Sie kennen den internen Meldeweg nicht.
• Sie befürchten persönliche Konsequenzen.
• Sie gehen davon aus, dass bereits jemand anderes den Vorfall gemeldet hat.

Vier Merkmale eines wirksamen internen Meldeprozesses

• Ein klarer Meldekanal: Alle Beschäftigten kennen eine zentrale, leicht erreichbare Anlaufstelle, die eine schnelle Weiterleitung ermöglicht.
• Eine niedrige Meldeschwelle: Bei Verdacht auf eine Datenpanne wird sofort intern gemeldet. Die fachliche Bewertung übernehmen die zuständigen Personen.
• Eine konstruktive Fehlerkultur: Beschäftigte melden Vorfälle ohne Angst vor Schuldzuweisungen. Entscheidend ist, dass Fehler schnell erkannt und behoben werden.
• Klare Zuständigkeiten und Vertretungen: Es ist geregelt, wer Meldungen entgegennimmt, technische Maßnahmen veranlasst, das Risiko bewertet und externe Meldungen auslöst. Die Regelung funktioniert auch bei Urlaub, Krankheit, Wochenenden und Feiertagen.

Wer entscheidet über eine Datenpannenmeldung?

Die datenschutzrechtliche Verantwortung trägt der Verantwortliche, also die Gesellschaft, die über Zwecke und Mittel der Datenverarbeitung entscheidet. Innerhalb des Unternehmens lassen sich die Aufgaben auf unterschiedliche Funktionen verteilen. Eine praktikable Aufteilung sieht so aus:

• Beschäftigte: Datenschutzvorfälle und Verdachtsfälle erkennen und sofort melden.
• Datenschutzkoordination: Vorfälle erfassen, Informationen koordinieren und Fristen überwachen.
• IT oder Informationssicherheit: Technische Untersuchung, Beweissicherung und Schadensbegrenzung.
• Datenschutzbeauftragter: Datenschutzrechtliche Beratung und Unterstützung bei Risikobewertung und Meldung.
• Geschäftsführung oder befugte Leitung: Organisation und Überwachung des Prozesses sowie Entscheidungen im Rahmen festgelegter Zuständigkeiten.

Die DSGVO verlangt nicht, dass die Geschäftsführung jede einzelne Meldung persönlich freigibt. Entscheidungs- und Meldebefugnisse lassen sich im Unternehmen regeln, die Verantwortung des Verantwortlichen bleibt bestehen. Gerade bei kurzen Meldefristen ist das wichtig, denn ein Verfahren, das von der Freigabe einer einzigen nicht verfügbaren Person abhängt, kann im Ernstfall scheitern.

Welche Rolle hat der externe Datenschutzbeauftragte?

Zu den Aufgaben des Datenschutzbeauftragten gehört die Beratung und Unterstützung bei der Einhaltung der gesetzlichen Anforderungen, insbesondere bei der Risikobewertung, der Vorbereitung von Behördenmeldungen und der Dokumentation. Die Entscheidungsverantwortung des Unternehmens übernimmt er nicht automatisch, denn sie liegt beim Verantwortlichen. Welche operativen Leistungen ein externer Datenschutzbeauftragter im Ernstfall erbringt, sollte vertraglich klar geregelt sein. So bleibt eindeutig, wer bei einem Vorfall bewertet, wer meldet und wer berät.

Führt die Meldung einer Datenpanne automatisch zu einem Bußgeld?

Nein. Eine Datenpannenmeldung bedeutet nicht automatisch, dass die Aufsichtsbehörde ein Bußgeld verhängt. Unternehmen können auch bei angemessenen Schutzmaßnahmen von Sicherheitsvorfällen betroffen sein. Entscheidend sind unter anderem die Ursachen, die vorhandenen Schutzmaßnahmen, die Schwere des Vorfalls und der Umgang des Unternehmens damit.

Darüber hinaus enthalten § 42 Abs. 4 BDSG und § 43 Abs. 4 BDSG Verwendungsbeschränkungen für Informationen aus Datenpannenmeldungen in Straf- und Ordnungswidrigkeitenverfahren. Eine generelle Freiheit von Sanktionen entsteht dadurch nicht. Erhält eine Behörde Informationen aus anderen Quellen, bleiben aufsichtsrechtliche Maßnahmen möglich.

Verstöße gegen die Pflichten aus Art. 33 und 34 DSGVO können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern nach der DSGVO von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist. Zusätzlich können betroffene Personen Schadensersatz verlangen. Unternehmen sollten Vorfälle deshalb nicht verschweigen, sondern rechtzeitig bewerten, melden und alle Entscheidungen dokumentieren.

DSGVO und NIS2: Wann entstehen doppelte Meldepflichten?

Seit dem 6. Dezember 2025 gelten in Deutschland das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz (BSIG). Für wichtige und besonders wichtige Einrichtungen können damit zusätzliche Meldepflichten entstehen. Ein Sicherheitsvorfall kann zugleich eine Datenschutzverletzung nach der DSGVO und ein erheblicher Sicherheitsvorfall nach dem BSIG sein. Beide Pflichten unterscheiden sich deutlich.

Meldepflichten nach DSGVO und NIS2 im Vergleich

Meldepflicht nach der DSGVO:

• Gegenstand: Verletzung des Schutzes personenbezogener Daten.
• Maßstab: Risiko für die Rechte und Freiheiten betroffener Personen.
• Frist: Unverzüglich, möglichst binnen 72 Stunden. Die Meldung kann schrittweise ergänzt werden. Eine allgemeine Abschlussmeldefrist gibt es nicht.
• Adressat: Zuständige Datenschutzaufsichtsbehörde.
• Betroffen: Verantwortliche im Anwendungsbereich der DSGVO.

Meldepflicht nach NIS2 und BSIG:

• Gegenstand: Erheblicher Sicherheitsvorfall.
• Maßstab: Auswirkungen nach den gesetzlichen Kriterien für erhebliche Sicherheitsvorfälle.
• Frist: Frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden. Weitere Meldung spätestens binnen 72 Stunden. Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Bei einem noch andauernden Vorfall ist zunächst eine Fortschrittsmeldung nach § 32 BSIG vorzulegen.
• Adressat: Gemeinsame Meldestelle nach dem BSIG.
• Betroffen: Insbesondere wichtige und besonders wichtige Einrichtungen.

Beispiel: Cyberangriff auf einen Maschinenbauer

Ein NIS2-pflichtiger Maschinenbauer wird Opfer eines Ransomware-Angriffs. Die Produktion fällt aus, gleichzeitig werden Personal- und Kundendaten verschlüsselt und möglicherweise unbefugt abgegriffen. Zwei Fragen sind getrennt zu prüfen: Liegt ein erheblicher Sicherheitsvorfall nach dem BSIG vor, der die NIS2-Meldepflicht auslöst? Und liegt eine Verletzung des Schutzes personenbezogener Daten mit Risiko für die Betroffenen vor? Beide Prüfungen laufen unabhängig voneinander und können unterschiedliche Meldepflichten auslösen.

Empfehlung bei mehreren Meldepflichten

Statt getrennte Incident-Management-Prozesse aufzubauen, nutzen Unternehmen besser einen gemeinsamen Eingangskanal für Sicherheitsvorfälle. Von dort wird der Vorfall anhand der unterschiedlichen gesetzlichen Anforderungen bewertet. Das erleichtert die Zusammenarbeit von IT, Informationssicherheit, Datenschutz und Geschäftsführung, wobei für die Geschäftsführung die Geschäftsführerhaftung nach NIS2 zu beachten ist. Fristen und Verantwortlichkeiten bleiben dabei getrennt, und je nach Branche können weitere Meldepflichten gelten. Ein gemeinsamer Eingangskanal verhindert, dass ein Vorfall nur unter einem Rechtsgebiet bewertet wird und eine der beiden Meldefristen unbemerkt verstreicht.

Datenpannen vermeiden: Welche technischen und organisatorischen Maßnahmen helfen?

Gutes Datenpannenmanagement besteht nicht nur aus der Reaktion auf Vorfälle. Ebenso wichtig ist es, die Wahrscheinlichkeit und die möglichen Folgen von Datenschutzverletzungen mit technischen und organisatorischen Maßnahmen nach der DSGVO systematisch zu senken. Für mittelständische Unternehmen sind diese Maßnahmen besonders sinnvoll:

• Fehlversendungen verhindern: Bei sensiblen Dokumenten helfen die Kontrolle von Empfängern und Anhängen, technische Warnhinweise bei externen Empfängern und Freigabeprozesse.
• Zugriffe beschränken: Beschäftigte greifen nur auf die Daten zu, die sie für ihre Aufgaben brauchen. Berechtigungen werden regelmäßig überprüft und bei Aufgabenwechsel oder Ausscheiden zeitnah angepasst.
• Endgeräte und Datenträger schützen: Mobile Geräte und Datenträger sind verschlüsselt, Zugriffssperren und Fernsperrung ergänzen den Schutz.
• Konten und Systeme absichern: Mehrfaktor-Authentifizierung, aktuelle Sicherheitsupdates und Phishing-Awareness im Unternehmen senken das Risiko kompromittierter Konten.
• Datensicherungen testen: Backups müssen nicht nur vorhanden, sondern wiederherstellbar sein. Regelmäßige Tests zeigen, wie lange die Wiederherstellung dauert.
• Beschäftigte sensibilisieren: Datenschutzschulungen wirken besonders, wenn sie typische Situationen aus Personalabteilung, Vertrieb, IT und Buchhaltung behandeln. Beschäftigte müssen vor allem wissen, woran sie eine Datenpanne erkennen und wie sie reagieren.

Digital Omnibus: Werden Datenpannen künftig erst bei hohem Risiko meldepflichtig?

Die Europäische Union plant Änderungen an den Meldepflichten für Datenschutzverletzungen. Die Europäische Kommission legte am 19. November 2025 einen Vorschlag im Rahmen des Digital Omnibus vor. Am 21. Oktober 2026 beschloss der Rat der Europäischen Union seine Verhandlungsposition. Im Mittelpunkt stehen zwei Änderungen:

• Höhere Meldeschwelle: Eine Meldung an die Datenschutzaufsichtsbehörde soll grundsätzlich erst erforderlich sein, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
• Längere Meldefrist: Die Frist von 72 Stunden soll auf 96 Stunden steigen.

Außerdem soll die Meldung unterschiedlicher Sicherheitsvorfälle einfacher werden. Die Kommission schlug eine zentrale europäische Meldestelle vor, der Rat bevorzugt nationale zentrale Eingangspunkte.

Was gilt aktuell? Stand 4. November 2026 sind diese Änderungen noch nicht geltendes Recht. Das Europäische Parlament muss seine Position noch festlegen. Bis zu einer wirksamen Änderung gelten die Art. 33 und 34 DSGVO unverändert.

Die Pflicht zur internen Dokumentation soll nach dem bisherigen Stand der Vorschläge bestehen bleiben. Auch bei höherer Meldeschwelle bleibt die interne Risikobewertung nötig: Gerade bei nicht gemeldeten Vorfällen muss nachprüfbar sein, warum das Unternehmen keine Meldepflicht angenommen hat.

Checkliste: Datenpannenmanagement in sieben Schritten aufbauen

Ein wirksamer Prozess muss nicht kompliziert sein. Für mittelständische Unternehmen empfiehlt sich dieses Vorgehen:

1. Zentralen Meldekanal einrichten: Legen Sie fest, an welche Stelle Beschäftigte mögliche Datenschutzvorfälle melden, und sorgen Sie für Erreichbarkeit und Stellvertretungen.
2. Verantwortlichkeiten verbindlich regeln: Bestimmen Sie in der Datenschutzrichtlinie, wer Vorfälle dokumentiert, Sofortmaßnahmen veranlasst, Risiken bewertet und Meldungen ausführt.
3. Vorfallregister einführen: Erfassen Sie Verdachtsfälle und dokumentieren Sie bestätigte Datenpannen mit Risikobewertung und Entscheidung.
4. Bewertungsschema festlegen: Definieren Sie nachvollziehbare Kriterien, um zwischen unwahrscheinlichem, vorhandenem und hohem Risiko zu unterscheiden.
5. Meldevorlagen vorbereiten: Halten Sie standardisierte Vorlagen für Behördenmeldungen und Benachrichtigungen betroffener Personen bereit.
6. Beschäftigte regelmäßig schulen: Vermitteln Sie mit praxisnahen Beispielen, etwa im Datenschutz-E-Learning, wie Datenpannen erkannt und unverzüglich intern gemeldet werden.
7. Vorfälle auswerten und verbessern: Analysieren Sie das Vorfallregister regelmäßig, prüfen Sie, ob sich Fehler häufen, und passen Sie die technischen und organisatorischen Maßnahmen an.

Auch eine dauerhaft leere Vorfallliste sollte Anlass sein, die Wirksamkeit der internen Erkennung und Meldung im Rahmen eines Datenschutzaudits zu überprüfen.