Die meisten Datenpannen sind unspektakulär: der E-Mail-Verteiler in CC statt BCC, der Karton Personalakten im Altpapier, das gestohlene Notebook ohne Verschlüsselung. Spektakulär ist meist nur die Reaktion — hektisches Telefonieren, widersprüchliche Ansagen und die bange Frage, ob man „das überhaupt melden muss”. Die DSGVO beantwortet das nüchtern, und sie stellt die Uhr: 72 Stunden ab Kenntnis für die Meldung an die Aufsichtsbehörde (Art. 33).
Was überhaupt eine meldepflichtige Panne ist
Eine „Verletzung des Schutzes personenbezogener Daten” liegt schneller vor, als viele denken: Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung reichen. Gemeldet werden muss, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Diese Risikoprognose ist der Kern der ersten Stunden — und sie gehört dokumentiert, auch wenn das Ergebnis „keine Meldung nötig” lautet. Denn die Rechenschaftspflicht gilt immer.
Die 72-Stunden-Choreografie
- Eindämmen und Fakten sichern (Stunde 0–4): Zugang sperren, Fehlversand zurückrufen, Systeme isolieren — aber Beweise nicht vernichten. Parallel: Wer weiß was, seit wann?
- Risiko bewerten (Stunde 4–24): Welche Datenarten, wie viele Betroffene, wie wahrscheinlich ist Missbrauch? Gesundheits- oder Kontodaten wiegen anders als eine geleakte Firmen-E-Mail-Adresse.
- Entscheiden und melden (bis Stunde 72): Meldung an die zuständige Aufsicht — notfalls in Teilen, Nachreichen ist ausdrücklich erlaubt. Eine verspätete Meldung braucht eine Begründung.
- Betroffene benachrichtigen, wenn ein hohes Risiko besteht (Art. 34) — unverzüglich, in klarer Sprache, mit konkreten Empfehlungen („ändern Sie dieses Passwort”).
Aus der Praxis: Die Frist scheitert selten an der Behörde, sondern an der internen Meldekette. Wenn der Azubi den Fehlversand am Freitagnachmittag bemerkt und sich nicht traut, ihn zu melden, sind am Montag zwei Drittel der Frist weg. Eine sanktionsfreie interne Meldekultur ist der wichtigste Baustein des ganzen Prozesses.
Vorbereitung schlägt Improvisation
Ein brauchbarer Datenpannen-Prozess passt auf zwei Seiten: interne Meldewege mit Vertretung, Bewertungsschema, Meldeformular-Zugang zur Aufsicht, Textbausteine für die Betroffeneninformation, Dokumentationsvorlage. Dazu einmal jährlich ein 30-Minuten-Durchlauf mit einem fiktiven Fall — das reicht, um im Ernstfall nicht bei Null zu starten. In unseren Mandaten übernimmt die Bewertung und Meldungsbegleitung der externe Datenschutzbeauftragte — gerade die Risikoprognose ist mit Erfahrung aus vielen Fällen deutlich schneller und belastbarer.
Fazit
Datenpannen passieren auch gut organisierten Unternehmen — entscheidend ist, ob ein geübter Prozess übernimmt oder die Improvisation. Wer Meldekette, Bewertung und Dokumentation vorbereitet hat, erledigt die meisten Fälle in einem Nachmittag. Und behält dabei etwas, das im Bußgeldverfahren schwer wiegt: den Nachweis, alles richtig gemacht zu haben.