Datenpanne im Unternehmen – was tun? Der 72-Stunden-Leitfaden

Lesezeit ca. 10 Minuten

Eine E-Mail mit Kundendaten geht an den falschen Empfänger. Ein Mitarbeiter klickt auf einen Phishing-Link. Ein Notebook verschwindet aus dem Auto. Ab dem Moment, in dem Sie davon erfahren, läuft eine Frist von 72 Stunden – und jede Entscheidung, die Sie jetzt treffen, wird später von der Aufsichtsbehörde und möglicherweise von Betroffenenanwälten geprüft. Dieser Leitfaden zeigt, was Sie sofort tun müssen, wann Sie melden müssen und wann nicht.

Das Wichtigste in Kürze: Stoppen Sie den Vorfall und dokumentieren Sie den Zeitpunkt der Kenntnis – ab jetzt läuft die 72-Stunden-Frist (Art. 33 DSGVO). Sichern Sie Beweise, bevor Systeme neu aufgesetzt werden. Bewerten Sie das Risiko: Eine Meldung ist nur bei einem Risiko erforderlich, bei hohem Risiko müssen auch die Betroffenen informiert werden (Art. 34 DSGVO). Dokumentieren Sie auch nicht gemeldete Vorfälle (Art. 33 Abs. 5 DSGVO) und stimmen Sie die Formulierung einer Meldung rechtlich ab.

Was ist überhaupt eine „Datenpanne“?

Der Begriff Datenpanne steht für die Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO. Erfasst ist jede Sicherheitsverletzung, die – ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang dazu führt.

Betroffen sind damit alle drei Schutzziele:

Schutzziel	Verletzung	Typische Praxisfälle
Vertraulichkeit	Unbefugte Offenlegung oder unbefugter Zugang	E-Mail an falschen Empfänger, offener CC-Verteiler, gehacktes Postfach, Fehlkonfiguration eines Cloud-Speichers, Datendiebstahl durch Mitarbeiter
Integrität	Unbefugte Veränderung	Manipulierte Datensätze, fehlerhafter Import, kompromittiertes CRM
Verfügbarkeit	Vernichtung oder Verlust	Ransomware-Verschlüsselung, versehentliche Löschung ohne Backup, verlorener USB-Stick oder Laptop, Serverausfall mit Datenverlust

Häufiger Irrtum: Auch eine Ransomware-Attacke ohne Datenabfluss ist eine meldepflichtige Datenpanne, wenn personenbezogene Daten nicht mehr verfügbar sind. Und auch die Panne, die nur „intern“ bleibt – etwa Gehaltslisten im falschen Netzlaufwerk – ist eine Verletzung im Sinne der DSGVO.

Die 72-Stunden-Frist: Wann läuft sie an?

Die Frist beginnt, sobald der Verantwortliche Kenntnis von der Verletzung hat – also sobald mit hinreichender Sicherheit feststeht, dass ein Sicherheitsvorfall mit Bezug zu personenbezogenen Daten vorliegt. Sie läuft kalendarisch, auch über Wochenenden und Feiertage.

Drei Punkte werden in der Praxis regelmäßig falsch eingeschätzt:

Kenntnis der Organisation, nicht nur der Geschäftsführung. Erfährt der Helpdesk am Freitagabend von einem Vorfall, beginnt die Frist regelmäßig dort – nicht erst am Montagmorgen im Vorstandsbüro. Eine kurze Plausibilisierungsphase ist zulässig, aber sie darf nicht zum Verzögerungsinstrument werden.
Vollständige Aufklärung ist keine Voraussetzung. Sie müssen nicht warten, bis alles ermittelt ist: Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich, Informationen schrittweise nachzureichen. Melden Sie mit dem bekannten Stand und ergänzen Sie später.
Auftragsverarbeiter melden an Sie, nicht an die Behörde. Ihr IT-Dienstleister, Hoster oder Payroll-Anbieter muss Sie unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Meldepflichtig gegenüber der Aufsichtsbehörde bleiben Sie als Verantwortlicher.

Wird die Frist überschritten, ist die Meldung trotzdem abzugeben – dann aber mit Begründung der Verzögerung (Art. 33 Abs. 1 S. 2 DSGVO). Eine verspätete Meldung ist deutlich besser als keine.

Müssen wir überhaupt melden? Die Risikoprüfung

Nicht jede Panne muss gemeldet werden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Zwei Stufen sind zu unterscheiden:

Risikostufe	Pflicht	Frist
Kein Risiko	Keine Meldung – aber interne Dokumentation (Art. 33 Abs. 5)	–
Risiko	Meldung an die Aufsichtsbehörde (Art. 33)	72 Stunden ab Kenntnis
Hohes Risiko	Zusätzlich Benachrichtigung der Betroffenen (Art. 34)	Unverzüglich

Für die Bewertung kommt es unter anderem an auf: Art und Sensibilität der Daten (Gesundheits-, Finanz-, Bewerber- oder Kinderdaten wiegen schwer), Umfang und Zahl der Betroffenen, Identifizierbarkeit, mögliche Folgen wie Identitätsdiebstahl, Rufschädigung oder finanzielle Verluste, sowie besondere Merkmale der Betroffenen.

Ausnahmen von der Benachrichtigungspflicht nach Art. 34 Abs. 3 DSGVO greifen insbesondere, wenn die Daten wirksam verschlüsselt und damit für Unbefugte unzugänglich waren, wenn nachträgliche Maßnahmen das hohe Risiko beseitigt haben oder wenn eine individuelle Benachrichtigung unverhältnismäßigen Aufwand bedeutet – dann ist eine öffentliche Bekanntmachung erforderlich.

Vorsicht bei der „Kein-Risiko“-Entscheidung: Sie ist der häufigste Streitpunkt im späteren Verfahren. Wenn Sie nicht melden, muss die Begründung schriftlich, nachvollziehbar und datiert vorliegen. Eine mündliche Einschätzung im Meeting hilft Ihnen zwei Jahre später nicht.

Die ersten 24 Stunden: 8 Schritte

Vorfall stoppen. Systeme isolieren, Zugänge und Passwörter sperren, Fehlversand zurückrufen, betroffene Freigaben schließen.
Kenntniszeitpunkt festhalten. Datum, Uhrzeit, wer hat wie davon erfahren. Das ist der Startpunkt Ihrer Frist – und Ihr wichtigster Nachweis.
Beweise sichern. Logfiles, E-Mail-Header, Screenshots, Systemabbilder. Vor dem Neuaufsetzen sichern, sonst sind Ursache und Umfang später nicht mehr belegbar.
Incident-Team zusammenrufen. Geschäftsführung, IT, Datenschutzbeauftragter, Kommunikation – und die anwaltliche Begleitung.
Sachverhalt strukturieren. Welche Datenkategorien, wie viele Betroffene, welcher Zeitraum, welche Empfänger, welche Ursache?
Risiko bewerten und Entscheidung dokumentieren – Meldung ja oder nein, Benachrichtigung ja oder nein, jeweils mit Begründung.
Melden über das Online-Formular der zuständigen Aufsichtsbehörde – inhaltlich abgestimmt, nicht aus dem Bauch heraus.
Parallelpflichten prüfen: Meldepflichten aus dem IT-Sicherheitsrecht (etwa für Einrichtungen im Anwendungsbereich der NIS2-Umsetzung oder KRITIS-Betreiber), Anzeige bei der Cyberversicherung, Strafanzeige, Information von Auftraggebern und Vertragspartnern.

Akuter Vorfall im Haus? Die Frist läuft bereits.

Rufen Sie an, bevor die erste Meldung rausgeht. In einem kurzen Gespräch klären wir, ob Meldepflicht besteht, was in die Meldung gehört und was Sie sofort veranlassen sollten.

Jetzt anrufen: 05175 319 4035

Was in die Meldung gehört

Art. 33 Abs. 3 DSGVO gibt den Mindestinhalt vor:

Beschreibung der Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze
Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
Beschreibung der wahrscheinlichen Folgen der Verletzung
Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen

Entscheidend ist der letzte Punkt: Die Meldung ist nicht nur ein Schadensbericht, sondern Ihre erste Verteidigungsschrift. Wer glaubhaft darlegt, dass der Vorfall erkannt, gestoppt, aufgeklärt und durch konkrete Maßnahmen abgestellt wurde, verschiebt die Wahrnehmung der Behörde vom „Verstoß“ zum „funktionierenden Sicherheitsmanagement“.

Wenig bekannt, aber wichtig: Nach § 43 Abs. 4 BDSG darf eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO in einem Verfahren nach dem OWiG oder der StPO gegen den Meldepflichtigen oder seine Angehörigen nur mit dessen Zustimmung verwendet werden. Das nimmt der Meldung viel von ihrem Schrecken – ersetzt aber keine sorgfältige Formulierung, denn die Behörde kann denselben Sachverhalt aus anderen Quellen ermitteln.

Dokumentationspflicht: auch ohne Meldung

Nach Art. 33 Abs. 5 DSGVO müssen sämtliche Verletzungen dokumentiert werden – einschließlich der Fakten, der Auswirkungen und der ergriffenen Abhilfemaßnahmen, damit die Aufsichtsbehörde die Einhaltung überprüfen kann. Führen Sie deshalb ein internes Datenpannen-Register mit mindestens: laufender Nummer, Kenntniszeitpunkt, Sachverhalt, betroffenen Datenkategorien und Personenzahl, Risikobewertung mit Begründung, Meldeentscheidung, ergriffenen Maßnahmen und Verantwortlichem.

Fehlt dieses Register, entsteht bei einer Prüfung fast automatisch der Eindruck, es habe entweder nie Vorfälle gegeben – was unglaubwürdig ist – oder sie seien nicht bearbeitet worden.

7 Fehler, die aus einer Panne ein Verfahren machen

Abwarten, bis „alles klar“ ist. Die Frist läuft ab Kenntnis, nicht ab vollständiger Aufklärung.
Spuren vernichten. Systeme neu aufsetzen, Logs überschreiben, Postfächer bereinigen – damit verlieren Sie jeden Entlastungsbeweis.
Ungeprüft und umfassend melden. Vermutungen, Schuldzuweisungen und Formulierungen wie „bekanntes Problem“ oder „war schon länger geplant“ begründen Fahrlässigkeit oder gar Vorsatz.
Betroffene zu früh oder zu spät informieren. Zu früh mit falschen Angaben erzeugt Panik und Ansprüche, zu spät verstößt gegen Art. 34 DSGVO.
Nicht melden, ohne die Entscheidung zu dokumentieren. Die Nichtmeldung selbst kann Gegenstand des Bußgeldverfahrens werden.
Den Dienstleister vergessen. Ansprüche aus dem AV-Vertrag und dem Hauptvertrag verjähren, Regressmöglichkeiten bleiben ungenutzt.
Nach der Meldung nichts tun. Die Behörde fragt nach den Konsequenzen. Wer keine Maßnahmen nachweisen kann, wird härter behandelt als der, der bereits nachgebessert hat.

Was droht: Bußgeld, Schadensersatz, Folgeverfahren

Bußgeld für Melde- und Dokumentationsverstöße: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahreskonzernumsatzes (Art. 83 Abs. 4 DSGVO). Kommen unzureichende technische und organisatorische Maßnahmen nach Art. 32 DSGVO hinzu, bleibt es bei diesem Rahmen; bei Verstößen gegen Verarbeitungsgrundsätze greift der höhere Rahmen von 20 Mio. Euro oder 4 %.
Immaterieller Schadensersatz nach Art. 82 DSGVO. Der EuGH hat entschieden, dass bereits die begründete Befürchtung eines Datenmissbrauchs ein ersatzfähiger Schaden sein kann (Urt. v. 14.12.2023, C-340/21). Der Bundesgerichtshof hat den bloßen Kontrollverlust über personenbezogene Daten als Schaden anerkannt (Urt. v. 18.11.2024, VI ZR 10/24). Einzelbeträge sind meist niedrig – bei tausenden Betroffenen und Legal-Tech-gestützter Bündelung wird daraus ein erhebliches Risiko.
Beweislast beim Unternehmen. Sie müssen darlegen, dass Ihre Sicherheitsmaßnahmen angemessen im Sinne des Art. 32 DSGVO waren – nicht der Betroffene das Gegenteil.
Anordnungen der Aufsichtsbehörde nach Art. 58 Abs. 2 DSGVO, bis hin zur Beschränkung der Verarbeitung.
Vertragliche Folgen: Informationspflichten und Vertragsstrafen aus Kunden- und AV-Verträgen, Kündigungsrechte, Ausschluss aus Ausschreibungen.

Warum Sie bei einer Datenpanne früh anwaltlich beraten sein sollten

Der Zeitdruck ist genau das Problem: In 72 Stunden treffen Sie Entscheidungen, die später in Ruhe geprüft werden. Anwaltliche Begleitung setzt dort an, wo es im Nachhinein teuer wird:

Meldepflicht sauber entscheiden. Ob gemeldet wird, ist eine Rechtsfrage – und die Begründung der Nichtmeldung muss der späteren Prüfung standhalten.
Die Meldung formulieren. Vollständig genug, um kooperativ zu sein; präzise genug, um keine unnötigen Angriffspunkte zu liefern.
Vertraulichkeit der internen Aufklärung. Die im Mandat erstellte Untersuchung unterliegt der anwaltlichen Verschwiegenheit und ist besser geschützt als ein interner Fehlerbericht, der im Zweifel in die Behördenakte wandert.
Betroffenen-Benachrichtigung rechtssicher gestalten. Der Text nach Art. 34 DSGVO ist zugleich die Grundlage künftiger Schadensersatzforderungen – Wortwahl und Umfang entscheiden mit.
Rückfragen und Folgeverfahren. Nach der Meldung folgt häufig ein Schreiben der Datenschutzaufsichtsbehörde mit Fragenkatalog. Dieselbe Linie muss dort konsistent fortgeführt werden.
Regress und Versicherung. Prüfung der Ansprüche gegen IT-Dienstleister und Auftragsverarbeiter, Abstimmung mit der Cyberversicherung, Sicherung von Fristen.
Prävention danach. Aktualisierung von TOMs, Löschkonzept, AV-Verträgen und Notfallplan – genau das, was Behörde und Gerichte als Nachweis erwarten.

Datenpanne im Unternehmen? Ich unterstütze Sie sofort.

Von der Ersteinschätzung der Meldepflicht über die Formulierung der Meldung bis zur Vertretung gegenüber der Aufsichtsbehörde – schnell, strukturiert und mandatsgeschützt.

Jetzt Kontakt aufnehmen

Rechtsanwalt Brian Scheuch
Bürgerstr. 12B, 31275 Lehrte
Telefon: 05175 319 4035
E-Mail: kontakt@ra-scheuch.de
Web: www.ra-scheuch.de

Häufige Fragen zur Datenpanne

Was ist eine Datenpanne im Sinne der DSGVO?

Eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO: jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind auch reine Verfügbarkeitsverluste, etwa durch Ransomware oder versehentliche Löschung.

Muss jede Datenpanne gemeldet werden?

Nein. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Diese Bewertung muss aber sorgfältig getroffen und schriftlich dokumentiert werden – die Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO gilt auch für nicht gemeldete Vorfälle.

Wann beginnt die 72-Stunden-Frist genau?

Mit der Kenntnis des Verantwortlichen, also sobald mit hinreichender Sicherheit feststeht, dass ein Sicherheitsvorfall mit Bezug zu personenbezogenen Daten vorliegt. Eine kurze Plausibilisierung ist zulässig, eine bewusste Verzögerung nicht. Die Frist läuft kalendarisch weiter, auch am Wochenende.

Was passiert, wenn wir die 72 Stunden überschreiten?

Melden Sie trotzdem – dann aber mit Begründung der Verzögerung (Art. 33 Abs. 1 S. 2 DSGVO). Die unterlassene Meldung wiegt deutlich schwerer und kann mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Müssen wir die betroffenen Personen informieren?

Ja, wenn ein hohes Risiko für die Rechte und Freiheiten besteht (Art. 34 Abs. 1 DSGVO). Ausnahmen bestehen unter anderem bei wirksamer Verschlüsselung der Daten, wenn nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder bei unverhältnismäßigem Aufwand – dann ist eine öffentliche Bekanntmachung erforderlich.

Kann unsere eigene Meldung gegen uns verwendet werden?

Nach § 43 Abs. 4 BDSG darf eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO in einem Verfahren nach dem OWiG oder der StPO gegen den Meldepflichtigen oder seine Angehörigen nur mit Zustimmung verwendet werden. Die Behörde kann den Sachverhalt aber aus anderen Quellen ermitteln – sorgfältige Formulierung bleibt entscheidend.

Haften wir gegenüber betroffenen Personen auf Schadensersatz?

Möglich ist ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO. Der EuGH hat entschieden, dass auch die begründete Befürchtung eines Missbrauchs ein ersatzfähiger Schaden sein kann (C-340/21); der BGH hat den bloßen Kontrollverlust als Schaden anerkannt (VI ZR 10/24). Einzelbeträge sind meist niedrig, das Gesamtrisiko bei vielen Betroffenen erheblich.

Der Fehler lag bei unserem IT-Dienstleister – was gilt dann?

Meldepflichtig bleiben Sie als Verantwortlicher. Der Auftragsverarbeiter muss Sie unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Parallel sollten Sie Regress-, Kündigungs- und Vertragsstrafenregelungen aus dem AV-Vertrag und dem Hauptvertrag prüfen und Fristen sichern.

Sollten wir Strafanzeige erstatten?

Bei Hackerangriffen, Erpressung oder Datendiebstahl durch Mitarbeiter ist eine Anzeige häufig sinnvoll – auch als Nachweis der eigenen Sorgfalt gegenüber Behörde und Versicherung. Zeitpunkt und Umfang sollten mit der übrigen Kommunikationsstrategie abgestimmt sein.

Rechtlicher Hinweis: Dieser Beitrag gibt den Rechtsstand vom 17. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall.