Was ist eine Datenpanne?

Was als Datenpanne zählt

Art. 4 Nr. 12 DSGVO definiert die Datenpanne als Verletzung der Sicherheit, die – ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Ein Hackerangriff ist also nur ein Fall von vielen. Im Büroalltag sind es meist unspektakuläre Pannen:

• Ein Meeting-Protokoll mit Gehaltsdaten geht an den falschen Verteiler.
• Ein Laptop mit unverschlüsselten Kundenakten bleibt im Zug liegen.
• Ein Freigabelink zu Transkripten ist öffentlich statt nur für das Team sichtbar.
• Ein Verschlüsselungstrojaner macht die Kundendatenbank tagelang unbrauchbar.

Auch der letzte Fall zählt: Daten müssen nicht abfließen, es reicht, dass sie nicht mehr verfügbar sind.

Meldung an die Behörde: unverzüglich, möglichst binnen 72 Stunden

Nach Art. 33 Abs. 1 DSGVO meldet der Verantwortliche eine Datenpanne unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde. Die Meldung entfällt nur, wenn die Panne voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Betroffenen führt. Kommt die Meldung später, ist die Verzögerung zu begründen.

Die Meldung enthält zumindest: Art der Panne mit ungefährer Zahl der Betroffenen und Datensätze, Kontakt des Datenschutzbeauftragten oder einer Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen. Was noch nicht feststeht, darf nachgereicht werden (Art. 33 Abs. 4). Zuständig ist in Österreich die Datenschutzbehörde, die ein Formular für Data-Breach-Meldungen bereitstellt; in Deutschland meist die Landesdatenschutzbehörde des Bundeslands, in dem das Unternehmen sitzt.

Ein Auftragsverarbeiter – etwa der Anbieter eines Cloud-Tools – meldet eine Panne nicht der Behörde, sondern unverzüglich seinem Auftraggeber (Art. 33 Abs. 2). Die 72 Stunden laufen dann beim Verantwortlichen.

Wann auch die Betroffenen Bescheid bekommen

Bringt die Panne voraussichtlich ein hohes Risiko mit sich, sind die betroffenen Personen selbst unverzüglich zu benachrichtigen – in klarer, einfacher Sprache (Art. 34). Das entfällt, wenn die Daten etwa durch Verschlüsselung für Unbefugte unzugänglich waren, wenn das hohe Risiko durch Nachfolgemaßnahmen nicht mehr besteht oder wenn die Benachrichtigung unverhältnismäßig aufwendig wäre; dann ist stattdessen eine öffentliche Bekanntmachung nötig.

Die Stufen sind also: kein Risiko – nur intern dokumentieren; Risiko – Behörde melden; hohes Risiko – Behörde und Betroffene informieren.

Dokumentieren, auch wenn nicht gemeldet wird

Art. 33 Abs. 5 verlangt, jede Datenpanne zu dokumentieren: Sachverhalt, Auswirkungen, Abhilfemaßnahmen. Damit muss die Behörde später prüfen können, ob die Entscheidung gegen eine Meldung vertretbar war. Ein einfaches Panne-Register mit Datum, Beschreibung, Risikoeinschätzung und Begründung reicht oft aus.

Hilfreich ist ein vorab festgelegter Ablauf: Wer nimmt Hinweise entgegen, wer bewertet, wer meldet? Wer erst am Freitagnachmittag überlegt, wen er anrufen soll, verliert schnell einen Tag. Die EU-Kommission hat im November 2025 im Rahmen des „Digital Omnibus“ vorgeschlagen, die Meldepflicht auf Pannen mit hohem Risiko zu beschränken und die Frist auf 96 Stunden zu verlängern. Solange das nicht beschlossen ist, gilt die Regel oben.