Eine Datenpanne (auch Data Breach oder Datenschutzverletzung) ist eine Verletzung der Sicherheit personenbezogener Daten — etwa durch Hackerangriff, Fehlversand, Verlust eines Geräts oder unbefugten Zugriff. Nach Art. 33 DSGVO muss eine Datenpanne der Aufsichtsbehörde in der Regel innerhalb von 72 Stunden gemeldet werden, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen.
Was zählt als Datenpanne?
Der Begriff ist weiter, als viele denken: Neben Hackerangriffen und Ransomware zählen auch alltägliche Vorfälle dazu — eine E-Mail mit offenem Verteiler an viele Empfänger, ein Brief an den falschen Mandanten, ein verlorener USB-Stick, ein gestohlener Laptop ohne Verschlüsselung oder ein falsch konfigurierter Cloud-Ordner, der öffentlich zugänglich war. Entscheidend ist, dass Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten verletzt wurde.
Auch die unbeabsichtigte Löschung ohne Backup ist eine Datenpanne — es muss also kein Angreifer beteiligt sein. Ob eine Meldepflicht besteht, hängt vom Risiko für die betroffenen Personen ab.
Welche Pflichten löst eine Datenpanne aus?
Nach Art. 33 DSGVO muss der Verantwortliche die Panne unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden, der zuständigen Aufsichtsbehörde melden — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Die Meldung beschreibt Art der Verletzung, betroffene Datenkategorien, voraussichtliche Folgen und ergriffene Maßnahmen. Die meisten Behörden bieten dafür Online-Formulare an.
Besteht ein voraussichtlich hohes Risiko — etwa bei geleakten Zugangsdaten oder Gesundheitsdaten — müssen nach Art. 34 DSGVO auch die betroffenen Personen unverzüglich informiert werden. Unabhängig von der Meldepflicht ist jede Datenpanne intern zu dokumentieren, auch die nicht meldepflichtigen.
Datenpanne in der Praxis
Weil die 72-Stunden-Frist kurz ist, brauchen Unternehmen einen vorbereiteten Notfallprozess: Wer meldet intern an wen? Wer bewertet das Risiko — idealerweise mit dem Datenschutzbeauftragten? Wer meldet an die Behörde und informiert Betroffene? Ein einfaches Formular für die interne Erfassung und eine hinterlegte Zuständigkeitskette sparen im Ernstfall wertvolle Zeit.
Für Kanzleien und Steuerberater ist das Thema besonders heikel, weil neben der DSGVO die Verschwiegenheitspflicht betroffen sein kann. Prävention bleibt der beste Schutz: Verschlüsselung von Geräten und E-Mail-Anhängen, Zwei-Faktor-Authentifizierung, restriktive Zugriffsrechte und geschulte Mitarbeitende verhindern einen Großteil typischer Pannen — vom Fehlversand bis zum Phishing-Erfolg.