Gesetze und Normen
Meldepflicht bei Datenpannen
Die gesetzliche Pflicht, eine Datenpanne mit Risiko für Betroffene binnen 72 Stunden der Datenschutzbehörde zu melden.
Eine Datenpanne liegt vor, wenn personenbezogene Daten in falsche Hände geraten, verloren gehen oder unbefugt verändert werden. Das kann ein gehacktes Postfach sein, ein im Zug vergessenes Notebook ohne Verschlüsselung oder eine E-Mail mit Patientenbefunden an den falschen Empfänger.
Nach Artikel 33 der DSGVO muss der Betrieb so einen Vorfall binnen 72 Stunden der Datenschutzbehörde melden, sobald er davon weiß und ein Risiko für die betroffenen Menschen besteht. Ist das Risiko hoch, etwa bei Gesundheits- oder Kontodaten, sind zusätzlich die Betroffenen selbst zu informieren. Auch Pannen, die nicht gemeldet werden müssen, gehören intern dokumentiert, samt Begründung.
Für Einrichtungen, die unter NIS2 und das NISG 2026 fallen, kommt eine zweite Schiene dazu: Erhebliche Sicherheitsvorfälle sind dort eigens zu melden, mit eigenen Fristen und eigenen Stellen. Ein und derselbe Angriff kann also zwei Meldungen auslösen.
72 Stunden sind schnell vorbei, besonders wenn ein Vorfall am Freitagabend auffällt. Wer erst dann überlegt, wer zuständig ist und welche Daten auf dem betroffenen System lagen, verliert wertvolle Zeit. Ein vorbereiteter Ablauf für Sicherheitsvorfälle nimmt diesen Druck heraus.
Für Ihren Betrieb
Legen Sie schriftlich fest, wer im Betrieb über eine Meldung entscheidet und wer sie abschickt, auch für den Fall, dass diese Person auf Urlaub ist.