Datenpanne melden: Was Selbstständige nach Art. 33 DSGVO tun müssen

Freitagabend, 18 Uhr: Du merkst, dass Deine Kundenliste an den falschen Verteiler gegangen ist. Oder ein Laptop ist weg. Oder Dein Newsletter-Tool meldet einen Fremdzugriff. Die erste Frage lautet dann nicht „Wer war das?“, sondern: Läuft jetzt eine Frist?

Sie kann laufen. Ich zeige Dir hier, wann Du eine Datenpanne melden musst, an wen Du sie meldest und was Du in den ersten Stunden tust.

Kurz gesagt:

• Muss ich jede Panne melden? Nein. Du meldest, es sei denn, die Panne führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Diese Einschätzung triffst Du, und Du dokumentierst sie.
• Bis wann? Unverzüglich und möglichst binnen 72 Stunden, nachdem Du von der Panne erfahren hast.

I. Was ist eine Datenpanne genau?

Eine Datenpanne ist eine Verletzung der Sicherheit, durch die personenbezogene Daten vernichtet werden, verloren gehen, sich verändern oder an Unbefugte gelangen. Die DSGVO nennt das „Verletzung des Schutzes personenbezogener Daten“ und definiert es in Art. 4 Nr. 12 DSGVO.

Wichtig: Es muss kein Hacker im Spiel sein. Ein Versehen zählt, ob unbeabsichtigt oder unrechtmäßig.

A. Welche Fälle zählen dazu?

• Falscher Empfänger: Du schickst eine Rechnung oder Kundenliste an die falsche Adresse.
• Verlorenes Gerät: Laptop, Handy oder USB-Stick mit Kundendaten sind weg.
• Fremdzugriff: Jemand loggt sich in Dein Shop-Backend oder Dein Postfach ein.
• Verschlüsselung durch Erpresser: Du kommst nicht mehr an Deine Kundendaten heran.
• Offener Speicher: Ein Export mit Kundendaten liegt öffentlich abrufbar im Netz.

Merke: Der Verlust des Zugriffs ist eine Datenpanne. Schlägt Dein Backup fehl und die Daten sind weg, liegt eine Verletzung vor, selbst wenn kein Fremder sie je gesehen hat.

II. Muss ich jede Datenpanne melden?

Nein, aber die Ausnahme ist enger, als viele denken. Art. 33 Abs. 1 DSGVO verlangt die Meldung an die Aufsichtsbehörde, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen.

Heißt für Dich: Du prüfst bei jeder Panne, ob den Betroffenen ein Schaden droht. Das kann ein finanzieller Schaden sein, ein Identitätsmissbrauch oder eine Bloßstellung.

A. So schätzt Du das Risiko ein

• Art der Daten: Eine Newsletter-Adresse wiegt weniger als Bankdaten, Gesundheitsdaten oder Ausweiskopien.
• Zahl der Betroffenen: Zehn Kunden sind etwas anderes als zehntausend.
• Zugriff durch Unbefugte: Ein bekannter, vertrauenswürdiger Empfänger, der die Mail löscht, ist besser als ein unbekannter Angreifer.
• Schutz der Daten: Waren die Daten verschlüsselt, sinkt das Risiko deutlich.

Achtung: Im Zweifel melde. Eine Meldung, die sich als unnötig herausstellt, kostet Dich Zeit. Eine unterlassene Meldung, die nötig war, kostet Dich im ungünstigen Fall ein Bußgeld. Ein Restrisiko bleibt in beiden Richtungen.

III. Bis wann muss ich die Datenpanne melden?

Die Meldung erfolgt „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“, so steht es in Art. 33 Abs. 1 DSGVO. Schaffst Du die 72 Stunden nicht, musst Du der Behörde die Verzögerung begründen.

Kurz gesagt: Die 72 Stunden sind eine Obergrenze, kein Ziel. „Unverzüglich“ bleibt der Maßstab.

A. Wann beginnt die Frist?

Die Frist beginnt, wenn Dir die Verletzung bekannt wird. Die europäischen Datenschutzbehörden sehen Dich als „informiert“, sobald Du hinreichend sicher bist, dass ein Sicherheitsvorfall stattgefunden hat und personenbezogene Daten betroffen sind. Das steht in den Leitlinien 9/2022.

Konkret heißt das: Du darfst nicht wochenlang „prüfen“. Sobald Du einen Verdacht hast, untersuchst Du sofort, ob Daten betroffen sind. Ein Beispiel aus den Leitlinien: Geht ein unverschlüsselter USB-Stick mit Kundendaten verloren, beginnt die Frist mit der Erkenntnis, dass er weg ist. Du musst nicht erst wissen, ob ihn jemand gefunden und gelesen hat.

Wichtig: Rechne ohne Wochenend-Puffer. Bemerkst Du eine Panne am Freitagabend, steht Deine Meldung bis Montagabend an.

B. Was gilt, wenn mein Dienstleister die Panne bemerkt?

Wenn Dein Hoster oder ein anderer Auftragsverarbeiter die Panne bemerkt, muss er sie Dir unverzüglich melden. Das regelt Art. 33 Abs. 2 DSGVO. Die Leitlinien gehen davon aus, dass Du als Verantwortlicher als „informiert“ giltst, sobald Dein Dienstleister Dich informiert hat. Deine 72 Stunden laufen dann ab dieser Nachricht.

IV. An wen melde ich die Datenpanne?

Du meldest an die zuständige Aufsichtsbehörde. Für Selbstständige und Unternehmen ist das in Deutschland in der Regel die Datenschutzbehörde des Bundeslands, in dem Du Deinen Sitz hast. Der Bundesbeauftragte für den Datenschutz führt eine Liste aller Landesbehörden.

Such Dir die Behörde Deines Bundeslands heraus, bevor etwas passiert. Dann verlierst Du im Ernstfall keine Stunden mit der Suche.

V. Was muss in der Meldung stehen?

Die Meldung enthält nach Art. 33 Abs. 3 DSGVO mindestens vier Angaben:

• Art der Verletzung: Was ist passiert? Soweit möglich mit Kategorien und ungefährer Zahl der Betroffenen und der Datensätze.
• Kontakt: Name und Kontaktdaten Deines Datenschutzbeauftragten oder einer anderen Anlaufstelle.
• Folgen: Was ist wahrscheinlich die Konsequenz für die Betroffenen?
• Maßnahmen: Was hast Du getan oder was planst Du, um die Panne zu beheben und den Schaden zu begrenzen?

Fehlen Dir noch Informationen, liefere sie nach. Art. 33 Abs. 4 DSGVO erlaubt, die Angaben schrittweise und ohne unangemessene weitere Verzögerung nachzureichen. Melde also lieber früh mit dem, was Du weißt, als spät mit allem.

Merke: Du brauchst keinen Datenschutzbeauftragten, um zu melden. Hast Du keinen, nennst Du eine andere Anlaufstelle, zum Beispiel Dich selbst.

VI. Muss ich die Betroffenen informieren?

Nur wenn die Panne voraussichtlich ein hohes Risiko bedeutet. Dann benachrichtigst Du die Betroffenen unverzüglich, so verlangt es Art. 34 Abs. 1 DSGVO. Die Nachricht beschreibt in klarer und einfacher Sprache, was passiert ist, und nennt die Kontaktstelle, die Folgen und Deine Maßnahmen.

A. Wann entfällt die Benachrichtigung der Betroffenen?

Art. 34 Abs. 3 DSGVO nennt drei Ausnahmen:

• Verschlüsselung: Du hattest geeignete Schutzmaßnahmen getroffen, und die Daten sind für Unbefugte unzugänglich, zum Beispiel durch Verschlüsselung.
• Nachträgliche Entschärfung: Du hast durch spätere Maßnahmen sichergestellt, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.
• Unverhältnismäßiger Aufwand: Dann folgt stattdessen eine öffentliche Bekanntmachung oder eine ähnliche, vergleichbar wirksame Maßnahme.

Die Aufsichtsbehörde kann trotzdem verlangen, dass Du die Betroffenen benachrichtigst. Verlass Dich also nicht darauf, dass die Ausnahme schon greift.

VII. Muss ich Pannen dokumentieren, die ich nicht melde?

Das musst Du. Nach Art. 33 Abs. 5 DSGVO dokumentierst Du jede Verletzung mit allen Fakten, Auswirkungen und Abhilfemaßnahmen. Das schließt Pannen ein, die Du nicht meldest. Die Dokumentation muss der Behörde ermöglichen, Deine Entscheidung nachzuprüfen.

Muster: „Datum und Uhrzeit der Entdeckung. Was ist passiert. Welche Daten, wie viele Personen. Risikoeinschätzung mit Begründung. Entscheidung: gemeldet oder nicht gemeldet, mit Grund. Ergriffene Maßnahmen.“

Eine Seite pro Vorfall reicht. Entscheidend ist, dass Du den Zeitpunkt, die Risikoeinschätzung und Deine Begründung festhältst.

VIII. Was passiert, wenn ich nicht melde?

Dann riskierst Du ein Bußgeld. Verstöße gegen Art. 33 und 34 DSGVO fallen unter Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist der Rahmen. Die Höhe im Einzelfall richtet sich nach den Umständen.

Zwei Gründe sprechen dafür, im Zweifel zu melden. Erstens gewichtet die Behörde mit, ob Du die Panne selbst angezeigt hast. Zweitens schützt Dich das Gesetz teilweise: Eine Meldung nach Art. 33 darf in einem Ordnungswidrigkeitenverfahren gegen Dich nur mit Deiner Zustimmung verwendet werden, so regelt es § 43 Abs. 4 BDSG.

Achtung: Dieser Schutz gilt für das Ordnungswidrigkeitenverfahren. Eine Meldung bleibt nicht folgenlos. Die Behörde kann die Panne prüfen und Maßnahmen anordnen.

IX. So machst Du es richtig: Dein Ablauf in sechs Schritten

1. Stoppen: Schließe die Lücke. Ändere Passwörter, sperre Zugänge, rufe die Mail zurück, nimm den Speicher vom Netz.
2. Uhrzeit notieren: Halte fest, wann Du die Panne bemerkt hast. Ab hier läuft Deine Frist.
3. Umfang klären: Welche Daten, wie viele Personen, wer hatte Zugriff?
4. Risiko bewerten: Droht den Betroffenen ein Schaden? Wie hoch ist er?
5. Melden: Wenn ein Risiko besteht, meldest Du an die Landesbehörde. Fehlen Angaben, reichst Du sie nach.
6. Betroffene informieren und dokumentieren: Bei hohem Risiko schreibst Du die Betroffenen an. Danach dokumentierst Du den ganzen Vorgang.

Bei großen Pannen oder sensiblen Daten ziehst Du früh einen Datenschutzberater hinzu.

Zur Vorbeugung lohnt sich ein Blick auf die Checkliste zu den Maßnahmen nach Art. 32 DSGVO. Gute technische und organisatorische Maßnahmen senken das Risiko einer Panne und das Risiko für die Betroffenen, falls sie eintritt.

X. FAQ: Typische Fragen zur Datenpanne

A. Ich habe eine Mail an den falschen Empfänger geschickt. Muss ich das melden?

Das kommt auf die Daten an. Eine Terminbestätigung an einen falschen, aber vertrauenswürdigen Empfänger, der die Mail löscht, führt oft zu keinem nennenswerten Risiko. Eine Liste mit Bankdaten oder Gesundheitsangaben ist dagegen ein klarer Meldefall. Dokumentiere in beiden Fällen Deine Einschätzung.

Merke: Je sensibler die Daten, desto eher meldest Du.

B. Jemand hat meinen Laptop gestohlen. Was jetzt?

War die Festplatte verschlüsselt, ist das Risiko deutlich geringer, und Art. 34 Abs. 3 DSGVO kann die Benachrichtigung der Betroffenen entbehrlich machen. War sie es nicht, gehst Du von einem Verlust der Vertraulichkeit aus und prüfst die Meldung sofort.

C. Muss ich eine Ransomware-Attacke melden?

Verschlüsseln Erpresser Deine Kundendaten, verlierst Du den Zugriff, und das ist selbst eine Verletzung. Sind Daten abgeflossen oder kannst Du sie nicht aus einem Backup wiederherstellen, musst Du in aller Regel melden. Stellst Du sie zeitnah aus dem Backup wieder her und ist nichts abgeflossen, kann die Meldung entfallen. Dokumentieren musst Du den Vorfall in jedem Fall. Ob Du zusätzlich die Betroffenen informierst, entscheidet die Risikobewertung.

D. Ich bin solo-selbstständig und habe keinen Datenschutzbeauftragten. Wer meldet?

Du. Die Meldepflicht trifft den Verantwortlichen, also Dich. Einen Datenschutzbeauftragten brauchst Du dafür nicht, Du nennst in der Meldung eine Anlaufstelle.

E. Reicht eine Meldung per E-Mail an die Behörde?

Prüf das auf der Seite Deiner Landesbehörde. Dort steht, welchen Weg sie vorsieht. Bereite die vier Pflichtangaben vor, dann bist Du unabhängig vom Kanal schnell.

XI. Fazit

So ist die Lage: Eine Datenpanne löst eine kurze Frist aus, sobald Du hinreichend sicher bist, dass personenbezogene Daten betroffen sind. Du meldest an Deine Landesbehörde, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Bei hohem Risiko informierst Du zusätzlich die Betroffenen. So gehst Du vor: Stoppen, Uhrzeit notieren, Risiko bewerten, melden, dokumentieren. Ein Restrisiko bleibt immer, weil die Behörde Deine Einschätzung später anders bewerten kann. Deshalb gilt im Zweifel: lieber früh melden als spät rechtfertigen.