Datenschutz

Datenpanne im Betrieb: Welche Frist gilt für die Meldung?

Wenn in einem Betrieb personenbezogene Daten von Kunden oder Mitarbeitern verloren gehen, gestohlen werden oder in falsche Hände geraten, spricht man von einer Datenpanne. Für solche Vorfälle gelten in Deutschland enge gesetzliche Fristen, deren Nichteinhaltung teuer werden kann.

Was gilt als Datenpanne

Eine Datenpanne, im Gesetz Verletzung des Schutzes personenbezogener Daten genannt, liegt vor, wenn personenbezogene Daten durch ein Sicherheitsproblem vernichtet, verloren, verändert oder unbefugt offengelegt werden beziehungsweise Unbefugte Zugriff darauf erhalten. Das betrifft nicht nur klassische Hackerangriffe, sondern auch einfache Fehler im Arbeitsalltag. Ein verlorener Laptop mit Kundendaten, eine falsch versendete E-Mail mit Gehaltsabrechnungen oder ein gestohlenes USB-Laufwerk zählen ebenso dazu. Entscheidend ist allein, dass personenbezogene Daten betroffen sind und ein Sicherheitsmangel die Ursache war, unabhängig davon, ob Vorsatz oder Fahrlässigkeit vorliegt.

Meldepflicht an die Behörde

Nicht jede Datenpanne muss gemeldet werden. Die Datenschutz-Grundverordnung, kurz DSGVO, verlangt eine Meldung an die zuständige Aufsichtsbehörde immer dann, wenn von dem Vorfall voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen ausgeht. Besteht dagegen nachweislich kein oder nur ein geringes Risiko, etwa weil die Daten verschlüsselt waren und niemand darauf zugreifen konnte, entfällt die Meldepflicht gegenüber der Behörde. In der Praxis sollten Betriebe im Zweifel eher melden, da Aufsichtsbehörden bei Kontrollen genau prüfen, ob die Risikoeinschätzung nachvollziehbar dokumentiert wurde.

Die 72-Stunden-Frist

Muss gemeldet werden, gilt eine feste Frist. Die Meldung an die Aufsichtsbehörde hat unverzüglich und möglichst binnen 72 Stunden zu erfolgen, gerechnet ab dem Zeitpunkt, an dem das Unternehmen von der Panne Kenntnis erlangt. Diese Frist läuft durchgehend, Wochenenden, Feiertage, Urlaub oder Krankheit von Mitarbeitern verlängern sie nicht. Wird die Frist überschritten, muss die verspätete Meldung eine nachvollziehbare Begründung für die Verzögerung enthalten. Kenntnis liegt bereits vor, wenn ausreichende Informationen vorliegen, um mit angemessener Sicherheit von einer tatsächlichen Datenpanne auszugehen, nicht erst nach vollständiger Aufklärung des Vorfalls.

Information der Betroffenen

Neben der Meldung an die Behörde kann eine zweite Pflicht entstehen. Geht von der Datenpanne voraussichtlich ein hohes Risiko für die betroffenen Personen aus, etwa bei gestohlenen Gesundheits- oder Finanzdaten, müssen diese Personen zusätzlich unverzüglich informiert werden. Eine feste Stundenfrist nennt das Gesetz hier nicht, verlangt aber ein Handeln ohne schuldhaftes Zögern, sobald die wesentlichen Fakten feststehen. Die Information kann per Brief, E-Mail, Telefon oder über ein Kundenportal erfolgen und muss in klarer, verständlicher Sprache formuliert sein, damit Betroffene selbst reagieren können, etwa durch eine Passwortänderung.

Dokumentationspflicht auch ohne Meldung

Auch wenn eine Datenpanne weder an die Behörde gemeldet noch den Betroffenen mitgeteilt werden muss, entlässt das ein Unternehmen nicht aus der Verantwortung. Jede Datenpanne ist intern zu dokumentieren, unabhängig vom Risiko. Diese Pflicht ergibt sich aus der DSGVO selbst und dient dazu, im Fall einer späteren Prüfung durch die Aufsichtsbehörde nachweisen zu können, dass der Vorfall erkannt, bewertet und die Entscheidung gegen eine Meldung sachlich begründet wurde. Eine feste Frist für die Dokumentation gibt es nicht, sie sollte aber zeitnah und fortlaufend erfolgen.

Inhalt der Meldung

Innerhalb der 72 Stunden muss die Meldung an die Behörde bestimmte Angaben enthalten. Dazu zählen eine Beschreibung der Art der Verletzung, möglichst die Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, die Kontaktdaten einer Anlaufstelle im Unternehmen, etwa des Datenschutzbeauftragten, die wahrscheinlichen Folgen des Vorfalls sowie die bereits ergriffenen oder geplanten Maßnahmen. Ist innerhalb der Frist keine vollständige Aufklärung möglich, kann zunächst eine vorläufige Meldung mit den bekannten Informationen erfolgen, die später ergänzt wird, sobald weitere Details vorliegen.

Zuständige Stelle und Meldeweg

Zuständig für die Meldung ist die Datenschutzaufsichtsbehörde des jeweiligen Bundeslandes, etwa die Landesbeauftragte für Datenschutz und Informationsfreiheit. In bestimmten Branchen, etwa Telekommunikation oder Postdienste, kann stattdessen der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig sein. Die Meldung erfolgt in der Regel über ein Online-Formular, das die jeweilige Behörde auf ihrer Internetseite bereitstellt. Betriebe sollten vorab klären, welche Behörde für sie zuständig ist, damit im Ernstfall keine Zeit mit der Suche nach der richtigen Anlaufstelle verloren geht.

Verantwortung bei externen Dienstleistern

Viele kleine Betriebe lagern die Datenverarbeitung an externe Dienstleister aus, etwa an Cloud-Anbieter, IT-Dienstleister oder Lohnbuchhalter. Diese sogenannten Auftragsverarbeiter sind gesetzlich verpflichtet, eine ihnen bekannt gewordene Datenpanne unverzüglich dem Unternehmen zu melden, das die Daten verarbeiten lässt. Damit die 72-Stunden-Frist überhaupt eingehalten werden kann, sollten Betriebe vertraglich festlegen, wie schnell und in welcher Form ein Dienstleister im Ernstfall informiert. Fehlt eine solche Regelung, drohen Verzögerungen, für die letztlich das beauftragende Unternehmen haftet.

Folgen bei Versäumnis

Wird eine meldepflichtige Datenpanne gar nicht, zu spät oder unvollständig gemeldet, handelt es sich um einen eigenständigen Verstoß gegen die DSGVO, der mit einem Bußgeld belegt werden kann. Aufsichtsbehörden prüfen bei Kontrollen nicht nur, ob überhaupt gemeldet wurde, sondern auch, ob die Frist eingehalten und die Meldung vollständig war. Auch eine fehlende interne Dokumentation kann bei einer Prüfung negativ auffallen. Für kleine Unternehmen kann bereits ein einzelner Vorfall, der falsch gehandhabt wird, zu einem behördlichen Verfahren mit finanziellen Folgen führen.

Vorbereitung im Betrieb

Um im Ernstfall handlungsfähig zu sein, sollten Betriebe vorab klare Zuständigkeiten festlegen, wer eine vermutete Datenpanne meldet, bewertet und die Entscheidung über eine Meldung trifft. Hilfreich sind vorbereitete Vorlagen für die Meldung an die Behörde sowie Mustertexte für die Information von Kunden oder Mitarbeitern. Ebenso wichtig ist ein einfaches internes Dokumentationssystem, in dem Datum, Art des Vorfalls, betroffene Daten und die getroffene Entscheidung festgehalten werden. Wer diese Punkte vor einem Vorfall klärt, gewinnt im Ernstfall wertvolle Zeit und kann die gesetzlichen Fristen sicher einhalten.

Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.

Ersttermin

Ihre Fragen im persönlichen Gespräch klären

Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.

Kostenlosen Ersttermin anfragen

Die Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.