Die Datenpanne: was zählt, was die 72 Stunden bedeuten — und der eine Reflex, der alles rettet
Die meisten Datenpannen sehen nicht nach Hackerangriff aus. Sie sehen aus wie ein Dienstagnachmittag: eine Rundmail mit offenem Verteiler, eine Gehaltsabrechnung an den falschen Empfänger, ein Laptop im Zug. Was dann zählt, ist nicht der Fehler — sondern ob die Organisation binnen 72 Stunden handlungsfähig ist. Und das entscheidet sich in der ersten Minute: beim Melden.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Was eine Datenpanne ist — die ehrliche Definition
Das Gesetz nennt es „Verletzung des Schutzes personenbezogener Daten“: jedes Ereignis, das zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt — ob versehentlich oder vorsätzlich. Die Klassiker im KMU:
| Vorfall | Panne? |
|---|---|
| Rundmail an Kunden mit allen Adressen in CC statt BCC | Ja — Offenlegung der Adressen an alle Empfänger |
| Gehaltsabrechnung oder Angebot an den falschen Empfänger | Ja |
| Laptop/USB-Stick ohne Verschlüsselung verloren | Ja |
| Kundenliste in ein öffentliches KI-Tool eingegeben | Ja — Weitergabe an einen Dritten ohne Grundlage |
| Verschlüsselter Laptop verloren, Schlüssel sicher | Vorfall dokumentieren; Risiko oft gering |
Die 72-Stunden-Frist — und wann sie beginnt
Meldepflichtige Pannen sind der Aufsichtsbehörde binnen 72 Stunden ab Kenntnis zu melden (Art. 33). Zwei Punkte werden dabei regelmäßig unterschätzt. Erstens: Die Uhr startet, sobald irgendjemand im Unternehmen den Vorfall kennt — nicht erst, wenn die Geschäftsführung davon erfährt. Zweitens: Nicht jede Panne ist meldepflichtig — die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Diese Bewertung trifft die verantwortliche Person, nicht die Mitarbeiterin am Schreibtisch. Bei hohem Risiko kommt zusätzlich die Benachrichtigung der Betroffenen dazu (Art. 34).
Der Reflex, der alles rettet: sofort intern melden
Damit die verantwortliche Person binnen 72 Stunden bewerten und melden KANN, gibt es für alle anderen genau eine Regel: sofort intern melden — was ist passiert, welche Daten, seit wann. Und damit dieser Reflex funktioniert, braucht es die zweite Regel: Für eine ehrliche, sofortige Meldung bekommt niemand Ärger. Eine verschwiegene Panne nimmt dem Unternehmen jede Reaktionsmöglichkeit — das ist das eigentliche Risiko, nicht der Tippfehler im Adressfeld.
Was in den 72 Stunden konkret passiert
Eindämmen (Zugang sperren, Empfänger um Löschung bitten — ehrlich bleiben: Löschen wirkt nur nach vorn), bewerten (Risiko für die Betroffenen?), entscheiden (Meldung ja/nein), dokumentieren. Die Dokumentationspflicht gilt immer — auch für Pannen, die nicht gemeldet werden müssen (Art. 33 Abs. 5): Vorfall, Auswirkungen, Abhilfe. Dieses interne Verzeichnis ist bei einer späteren Prüfung Ihr Beleg, dass die Organisation funktioniert.
Vorbereitung schlägt Improvisation
Die 72 Stunden sind gut zu schaffen — wenn drei Dinge vorher stehen: eine benannte Ansprechperson, die jeder kennt; ein Team, das Pannen erkennt und angstfrei meldet (genau das trainiert eine Datenschutz-Schulung); und die Kontaktdaten der zuständigen Aufsichtsbehörde in Reichweite. Wer das erst am Tag der Panne googelt, verliert die Hälfte der Frist mit Zuständigkeitsfragen.
Der Startpunkt
Der kostenlose 2-Minuten-Check zeigt, ob Ihre Melde-Grundlagen stehen. Im Abo (ab 49 €/Monat) schult Ihr Team den Melde-Reflex mit prüfbarem Nachweis je Person — inklusive der firmenspezifischen Ansprechperson direkt im Kurs.
Häufige Fragen
Ab wann läuft die 72-Stunden-Frist bei einer Datenpanne?
Ab Kenntnis im Unternehmen — also sobald irgendjemand den Vorfall bemerkt, nicht erst, wenn die Geschäftsführung informiert ist. Deshalb ist die interne Sofortmeldung die wichtigste Einzelmaßnahme im ganzen Melde-Prozess.
Muss jede Datenpanne der Behörde gemeldet werden?
Nein. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt — etwa beim Verlust eines sauber verschlüsselten Geräts. Dokumentiert werden muss aber jede Panne, auch die nicht meldepflichtige (Art. 33 Abs. 5 DSGVO).
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosArt. 33 DSGVO — Meldung an die Aufsichtsbehörde
Art. 34 DSGVO — Benachrichtigung der betroffenen Person