Erste Schritte & Meldepflicht nach DSGVO
Datenschutz ist Pflicht – doch was passiert, wenn es zu einem Vorfall kommt? In diesem Beitrag erfahren Sie, welche Maßnahmen Sie als Unternehmen bei einem Datenschutzvorfall unverzüglich ergreifen sollten, wie die Meldepflicht nach DSGVO funktioniert und worauf es bei der Kommunikation mit Betroffenen ankommt. So behalten Sie im Ernstfall den Überblick – und vermeiden zusätzliche rechtliche Risiken.
Weitere Informationen www.ihk.de
Was ist ein Datenschutzvorfall?
Ein Datenschutzvorfall – oder auch „Data Breach“ – ist jede Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt. Dazu zählen unter anderem:
- Der Verlust eines unverschlüsselten Laptops
- Ein Hackerangriff auf Ihre Server
- Fehlversand von sensiblen Kundendaten per E-Mail
- Offene Datenbanken ohne Passwortschutz
Besonders kritisch wird es, wenn Daten Dritter betroffen sind – etwa von Kunden, Partnern oder Mitarbeitern.
Ihre ersten Schritte
Vorfall identifizieren & dokumentieren
Halten Sie schriftlich fest:
- Wann und wie der Vorfall entdeckt wurde
- Welche Systeme oder Daten betroffen sind
- Wer beteiligt ist (intern/extern)
IT-Sicherheit aktivieren
Sperren Sie Zugänge, stoppen Sie kompromittierte Prozesse und sichern Sie Beweise wie Logfiles oder Backups.
Datenschutzbeauftragten einbeziehen
Falls Sie intern oder extern einen Datenschutzbeauftragten haben, binden Sie ihn sofort ein. Dieser hilft bei Bewertung und Meldepflicht nach DSGVO.
Risiko für Betroffene bewerten
Besteht für Betroffene ein Risiko hinsichtlich Identitätsdiebstahl, Diskriminierung, finanziellen Verlusten oder Reputationsschäden?
Wann besteht Meldepflicht nach DSGVO?
Die DSGVO verpflichtet zur Meldung, wenn der Vorfall ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Je sensibler die Daten, desto höher das Risiko – und desto eher besteht Meldepflicht nach DSGVO.
Beispiele für meldepflichtige Vorfälle:
- Verlust von Kundendaten mit Adressen & Bankverbindungen
- Hackerangriff auf Ihre CRM-Datenbank
- Versand von Gesundheitsdaten an falsche Empfänger
Keine Meldepflicht nach DSGVO besteht bei rein internen Systemfehlern ohne personenbezogenen Bezug oder wenn Daten nur von autorisierten Personen eingesehen wurden.
Meldung an die Aufsichtsbehörde
Die Meldung muss innerhalb von 72 Stunden erfolgen – am besten elektronisch über die Website der jeweiligen Datenschutzaufsicht Ihres Bundeslandes.
Inhalt der Meldung nach Art. 33 DSGVO
- Art des Vorfalls (z. B. Datenverlust, Hacking)
- Kategorien betroffener Personen & Daten
- Anzahl der Betroffenen
- Maßnahmen zur Behebung und zur Minderung des Schadens
- Kontaktdaten des Ansprechpartners im Unternehmen
Ein professionelles Meldeformular vereinfacht den Prozess – viele Aufsichtsbehörden stellen diese online zur Verfügung.
Information der Betroffenen
Wenn ein hohes Risiko für die Rechte und Freiheiten der Betroffenen besteht, müssen Sie diese unverzüglich informieren (Art. 34 DSGVO). Das gilt zum Beispiel, wenn Zugangsdaten, Passwörter oder Gesundheitsdaten kompromittiert wurden.
Die Information sollte in klarer Sprache
- den Vorfall beschreiben,
- konkrete Risiken benennen und
- Empfehlungen zur Schadensbegrenzung geben (z. B. Passwortänderung, Sperrung von Karten).
Dokumentationspflicht
Selbst wenn keine Meldepflicht nach DSGVO besteht, verlangt die DSGVO eine lückenlose Dokumentation aller Vorfälle, inkl.:
- Art des Vorfalls
- Bewertung des Risikos
- getroffene Maßnahmen
- Begründung, warum keine Meldung erfolgte
Diese Dokumentation ist bei einer Prüfung durch die Aufsichtsbehörde entscheidend.
Prävention: So beugen Sie Datenschutzvorfällen vor
Die beste Strategie ist es, Datenschutzpannen zu vermeiden. Dazu gehören:
- Verschlüsselung von mobilen Geräten & Backups
- Rechtemanagement in Systemen
- Schulungen für Mitarbeiter zum Thema Phishing & Umgang mit sensiblen Daten
- Penetrationstests und regelmäßige Sicherheits-Audits
Zusätzlich empfiehlt sich ein Notfallplan – inklusive Vorfall-Checkliste und definierten Zuständigkeiten.
Fazit
Ein Datenschutzvorfall ist kein seltenes Ereignis – gerade für kleine Unternehmen oder Selbstständige mit Kundendaten. Entscheidend ist, dass Sie schnell, strukturiert und rechtssicher reagieren. Wer vorbereitet ist, kann nicht nur Bußgelder vermeiden, sondern auch das Vertrauen seiner Kunden langfristig erhalten.
Benötigen Sie weitere Unterstützung, kontaktieren Sie uns jetzt!
