Was tun bei einer Datenschutzverletzung?

Schritt für Schritt richtig handeln und Schäden wirksam begrenzen

Eine Datenschutzverletzung kann jedes Unternehmen treffen – vom kleinen Handwerksbetrieb bis zum mittelständischen Dienstleister. Oft reicht schon eine falsch versendete E-Mail, ein verlorenes Notebook oder ein erfolgreiches Phishing, um sensible personenbezogene Daten offenzulegen.

In einer solchen Situation zählt vor allem eines: schnelles, strukturiertes Handeln. Wer planlos reagiert oder den Vorfall zu spät meldet, riskiert nicht nur Bußgelder, sondern auch Vertrauensverlust bei Kunden, Mitarbeitern und Geschäftspartnern.

In diesem Leitfaden erfahren Sie, was bei einer Datenschutzverletzung zu tun ist, welche Fristen gelten und wie Sie den Schaden möglichst gering halten.

Was ist überhaupt eine Datenschutzverletzung?

Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig:

• offengelegt,
• verändert,
• gelöscht,
• verloren
• oder unbefugt zugänglich werden.

Typische Beispiele sind:

• eine E-Mail mit sensiblen Daten geht an den falschen Empfänger,
• ein USB-Stick mit Kundendaten verschwindet,
• ein Hacker verschafft sich Zugriff auf ein System,
• Mitarbeiterdaten werden versehentlich öffentlich gespeichert,
• ein Laptop ohne ausreichende Verschlüsselung wird gestohlen.

Wichtig: Nicht nur große Cyberangriffe sind meldepflichtig. Auch scheinbar kleine Vorfälle können datenschutzrechtlich relevant sein.

Warum schnelles Handeln so wichtig ist

Bei einer Datenschutzverletzung geht es nicht nur um Technik, sondern auch um Recht, Organisation und Kommunikation. Unternehmen müssen schnell prüfen:

• Welche Daten sind betroffen?
• Wie schwerwiegend ist der Vorfall?
• Besteht ein Risiko für die betroffenen Personen?
• Muss die Aufsichtsbehörde informiert werden?
• Müssen Betroffene benachrichtigt werden?

Nach DSGVO gilt: Wenn ein Risiko für die Rechte und Freiheiten betroffener Personen besteht, muss der Vorfall in der Regel binnen 72 Stunden gemeldet werden.

Schritt 1: Vorfall sofort erkennen und intern melden

Der erste Schritt ist immer die sofortige interne Meldung. Jeder im Unternehmen sollte wissen, an wen ein Datenschutzvorfall gemeldet werden muss.

Das kann sein:

• die Geschäftsleitung,
• der Datenschutzbeauftragte,
• die IT-Abteilung,
• oder eine fest definierte interne Meldestelle.

Wichtig ist, dass keine Zeit verloren geht. Schon der Verdacht auf eine Datenschutzverletzung sollte ernst genommen und dokumentiert werden.

Praxis-Tipp:

Definieren Sie intern klare Meldewege. Mitarbeiter dürfen nicht erst rätseln müssen, wen sie im Ernstfall informieren sollen.

Schritt 2: Den Vorfall eindämmen

Sobald der Vorfall bekannt ist, sollte der Schaden so schnell wie möglich begrenzt werden. Ziel ist es, eine weitere Offenlegung oder einen fortgesetzten Zugriff zu verhindern.

Je nach Fall kann das bedeuten:

• Benutzerkonten sperren,
• Passwörter sofort ändern,
• Geräte vom Netzwerk trennen,
• Zugriffsrechte entziehen,
• falsch versendete Dateien zurückrufen oder löschen lassen,
• externe Dienstleister informieren,
• kompromittierte Systeme sichern.

Bei Cyberangriffen oder unbefugtem Zugriff sollte zusätzlich geprüft werden, ob IT-Forensik oder externe Unterstützung nötig ist.

Schritt 3: Den Vorfall sauber dokumentieren

Jede Datenschutzverletzung muss dokumentiert werden – auch dann, wenn sie am Ende nicht meldepflichtig ist.

Zur Dokumentation gehören unter anderem:

• Datum und Uhrzeit des Vorfalls,
• Art des Vorfalls,
• betroffene Systeme und Daten,
• Anzahl der betroffenen Personen,
• mögliche Folgen,
• bereits ergriffene Maßnahmen,
• Bewertung des Risikos,
• Entscheidung zur Meldung oder Nicht-Meldung.

Diese Dokumentation ist wichtig, um im Fall einer Prüfung nachweisen zu können, dass das Unternehmen strukturiert und DSGVO-konform gehandelt hat.

Schritt 4: Risiko bewerten

Nun muss bewertet werden, wie kritisch der Vorfall ist. Entscheidend ist nicht nur, dass Daten betroffen sind, sondern auch welche Daten.

Fragen zur Risikobewertung:

• Handelt es sich um einfache Kontaktdaten oder sensible Daten?
• Sind Gesundheitsdaten, Finanzdaten oder Zugangsdaten betroffen?
• Können Betroffene dadurch geschädigt werden?
• Besteht die Gefahr von Identitätsdiebstahl, Betrug oder Diskriminierung?
• Sind viele Personen betroffen oder nur wenige?
• Waren die Daten verschlüsselt oder anderweitig geschützt?

Je höher das Risiko für die betroffenen Personen, desto wahrscheinlicher sind Melde- und Benachrichtigungspflichten.

Schritt 5: Aufsichtsbehörde innerhalb von 72 Stunden informieren

Wenn die Datenschutzverletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, muss die zuständige Datenschutzaufsichtsbehörde informiert werden.

Die Frist beträgt 72 Stunden ab Bekanntwerden des Vorfalls.

Die Meldung sollte möglichst folgende Informationen enthalten:

• Art der Datenschutzverletzung,
• Kategorien und ungefähre Anzahl betroffener Personen,
• Kategorien und ungefähre Anzahl betroffener Datensätze,
• Name und Kontaktdaten des Datenschutzbeauftragten oder Ansprechpartners,
• wahrscheinliche Folgen des Vorfalls,
• bereits ergriffene oder geplante Gegenmaßnahmen.

Wenn noch nicht alle Informationen vorliegen, sollte trotzdem fristgerecht gemeldet und später ergänzt werden.

Schritt 6: Betroffene Personen informieren, wenn ein hohes Risiko besteht

Besteht ein hohes Risiko für die betroffenen Personen, müssen diese ebenfalls unverzüglich informiert werden.

Das ist zum Beispiel der Fall, wenn:

• Zugangsdaten offengelegt wurden,
• sensible Gesundheitsdaten betroffen sind,
• Konto- oder Zahlungsinformationen kompromittiert wurden,
• Missbrauch oder Identitätsdiebstahl drohen.

Die Information an Betroffene sollte klar und verständlich sein und Folgendes enthalten:

• Was ist passiert?
• Welche Daten sind betroffen?
• Welche möglichen Folgen gibt es?
• Welche Maßnahmen wurden bereits ergriffen?
• Was können Betroffene selbst tun?
• Wer ist Ansprechpartner im Unternehmen?

Wichtig: Die Benachrichtigung sollte sachlich, transparent und ohne unnötige Beschönigung erfolgen.

Schritt 7: Ursachen analysieren und Sicherheitslücken schließen

Nach der akuten Reaktion beginnt die eigentliche Aufarbeitung. Jetzt muss geklärt werden, warum es zur Datenschutzverletzung gekommen ist.

Häufige Ursachen sind:

• fehlende Zugriffskontrollen,
• schwache Passwörter,
• fehlende Verschlüsselung,
• mangelnde Mitarbeiterschulung,
• unzureichende Prozesse,
• technische Sicherheitslücken,
• fehlende Backups oder Monitoring.

Nur wenn die Ursache sauber analysiert wird, lassen sich Wiederholungen vermeiden.

Schritt 8: Interne Prozesse verbessern

Ein Datenschutzvorfall sollte immer genutzt werden, um interne Abläufe zu verbessern. Dazu gehören zum Beispiel:

• Anpassung der IT-Sicherheitsmaßnahmen,
• Einführung klarer Meldeprozesse,
• Schulung der Mitarbeiter,
• Überarbeitung von Berechtigungskonzepten,
• Verbesserung der Backup- und Wiederherstellungsstrategie,
• regelmäßige Tests von Notfallplänen.

Datenschutz und Informationssicherheit gehören zusammen. Oft zeigt ein Vorfall sehr deutlich, wo organisatorische oder technische Schwächen bestehen.

Typische Fehler bei Datenschutzverletzungen

Viele Unternehmen verschlimmern die Situation durch vermeidbare Fehler. Dazu zählen vor allem:

• Vorfälle werden zu spät erkannt,
• Mitarbeiter melden den Vorfall nicht sofort,
• es gibt keine klare Zuständigkeit,
• die 72-Stunden-Frist wird versäumt,
• der Vorfall wird nicht dokumentiert,
• Betroffene werden unklar oder zu spät informiert,
• die Ursache wird nicht nachhaltig behoben.

Gerade kleine und mittlere Unternehmen sollten deshalb einen einfachen, aber klaren Notfallprozess definieren.

So bereiten sich Unternehmen am besten vor

Am besten ist es, wenn Sie nicht erst im Ernstfall überlegen müssen, was zu tun ist. Sinnvoll sind unter anderem:

• ein interner Ablaufplan für Datenschutzvorfälle,
• feste Ansprechpartner,
• Vorlagen für Meldungen und Dokumentation,
• regelmäßige Mitarbeiterschulungen,
• technische Schutzmaßnahmen wie Verschlüsselung und MFA,
• eine enge Abstimmung zwischen Datenschutz und IT.

Wer vorbereitet ist, spart im Ernstfall wertvolle Zeit und reduziert das Risiko von Folgeschäden deutlich.

Fazit: Datenschutzverletzung ernst nehmen und strukturiert handeln

Eine Datenschutzverletzung ist immer kritisch – aber kein Grund für Chaos. Entscheidend ist, dass Unternehmen schnell, nachvollziehbar und rechtssicher reagieren.

Die wichtigsten Punkte sind:

• Vorfall sofort intern melden,
• Schaden eindämmen,
• alles dokumentieren,
• Risiko bewerten,
• gegebenenfalls Behörde und Betroffene informieren,
• Ursachen beheben und Prozesse verbessern.

So lassen sich rechtliche, finanzielle und reputationsbezogene Schäden deutlich reduzieren.

Checkliste: Was tun bei einer Datenschutzverletzung?

1. Vorfall intern melden
2. Schaden sofort begrenzen
3. Vorfall vollständig dokumentieren
4. Risiko für Betroffene bewerten
5. Aufsichtsbehörde binnen 72 Stunden melden
6. Betroffene informieren, falls hohes Risiko besteht
7. Ursache analysieren
8. Schutzmaßnahmen und Prozesse verbessern