Datenpanne: Ablauf mit 72-Stunden-Frist
Vom Erkennen über Eindämmen und Bewerten bis zur Meldung an die Aufsichtsbehörde und der Benachrichtigung Betroffener.
DatenschutzBasis (kostenlos)Geprüft am 30.10.2026
Voraussetzungen
- Du bist für den Vorfall verantwortlich (Vorfallleitung, Datenschutz) oder wirst von ihr angewiesen.
- Das Dokument ist ein Entwurf: Rollen, Erreichbarkeiten und Behörde trägt der Betreiber ein.
Wer darf das?
Das ist ein Betreiberprozess, keine Funktion der Oberfläche. Jede beschäftigte Person meldet einen Verdacht sofort an die Vorfallleitung; die Entscheidung über Meldung trifft die Vorfallleitung mit der oder dem Datenschutzbeauftragten.
Schritt für Schritt
Erkennen und melden
Quellen: Monitoring (z. B. Lücke im Audit-Log, gehäufte Sicherheitsereignisse), Meldung einer Nutzerin oder eines Nutzers, Hinweis eines Auftragsverarbeiters. Jeder Verdacht geht sofort an die Vorfallleitung. Eine Verletzung liegt auch bei versehentlicher Offenlegung vor.
Zeitpunkt T0 festhalten
T0 ist die Kenntnis, also begründete Gewissheit. Ab hier läuft die Frist von 72 Stunden.
Eindämmen
Alle Sitzungen beenden (Notfall-Skript, zuerst als Trockenlauf), Geheimnisse und Zugangsdaten erneuern, bei Verdacht auf Schlüsselabfluss neue Schlüsselversion und Rotation, betroffene Funktion abschalten, Speicherbereich sperren. Beweise sichern und die Kette des Audit-Logs prüfen.
Bewerten
Bewerte Art der Daten (Kinder, besondere Kategorien, Zugangsdaten, Nachrichten), Menge, Identifizierbarkeit, Verschlüsselung (Schlüssel unberührt?), Schwere und Betroffenenkreis; halte das Ergebnis mit Begründung fest.
An die Aufsichtsbehörde melden
Spätestens 72 Stunden nach T0, es sei denn die Verletzung führt voraussichtlich nicht zu einem Risiko; auch das wird begründet dokumentiert. Informationen dürfen nachgereicht werden.
Organisationen und Betroffene informieren
Betrifft die Panne Vereinsdaten, werden die Organisationen unverzüglich informiert (vertraglich spätestens 24 Stunden nach Kenntnis). Bei hohem Risiko werden die Betroffenen unverzüglich benachrichtigt, bei Kindern die Sorgeberechtigten.
Dokumentieren und aufarbeiten
Jede Verletzung kommt ins Vorfallregister (auch nicht meldepflichtige), außerhalb der Anwendungsdatenbank geführt. Danach: Ursache, Maßnahmen mit Termin, Anpassung von Schutzmaßnahmen, Verarbeitungsverzeichnis und Folgenabschätzung. Mindestens jährlich ein Planspiel.
Typische Fehler und Lösungen
- Unklar, ob eine Meldepflicht besteht.
- Im Zweifel melden; bei Kinderdaten immer. Die Einschätzung wird mit Begründung dokumentiert.
- Die 72 Stunden sind überschritten.
- Trotzdem melden und die Verspätung begründen; fehlende Angaben nachreichen.
- Ein Auftragsverarbeiter meldet spät.
- Der Vertrag verlangt eine unverzügliche Meldung; halte fest, wann die Kenntnis eintrat.
Gut zu wissen
- Entwurf ohne Rechtsberatung: Meldeinhalt und Risikobewertung klärst du im Einzelfall mit der oder dem Datenschutzbeauftragten und ggf. Rechtsbeistand.
- Zu prüfen bleibt, ob zusätzlich weitere Meldepflichten (z. B. Netz- und Informationssicherheit) gelten.