Datenpanne der GBA melden: Frist und Schritt-für-Schritt-Plan

Eine falsch adressierte Gehaltsabrechnung, ein gestohlenes Gerät oder eine nicht erreichbare Kundendatenbank erfordert zuerst Fakten. Halte fest, was du sicher weißt und was noch untersucht wird. Auch der Verlust der Verfügbarkeit personenbezogener Daten kann eine Datenpanne sein; ein Backup oder eine Verschlüsselung macht einen Vorfall nicht automatisch harmlos.

1. Notiere den Zeitpunkt, zu dem der Vorfall entdeckt wurde und wann ausreichende Gewissheit über die Datenpanne entstand.
2. Benenne eine Koordinatorin oder einen Koordinator und eine Vertretung. Lege fest, wer Technik, Kommunikation und rechtliche Beurteilung begleitet.
3. Begrenze gemeinsam mit deinem IT-Partner weiteren Zugriff oder weitere Verbreitung. Sichere relevante Logs und Beweismaterial sorgfältig.
4. Bestimme deine Rolle: Verantwortlicher, Auftragsverarbeiter oder eine andere Rolle. Ein Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich; er wartet nicht auf eine eigene 72-Stunden-Frist.

Die gesetzlichen Rollen und Pflichten stehen in Artikel 33 DSGVO. Ein Website-Audit ersetzt keine Untersuchung des Vorfalls.

Beurteile den möglichen Schaden für Personen, nicht nur den Ruf oder Umsatz deines Unternehmens. Trage für jeden Punkt die Fakten, Unsicherheiten und Begründung ein:

Ein vertrauenswürdiger Empfänger, der die Löschung bestätigt, ist relevante Information, aber keine automatische Befreiung. Ebenso beweist eine unbekannte Zahl betroffener Personen nicht, dass das Risiko gering ist. Erkläre, warum das Risiko unwahrscheinlich ist oder nicht, und lass Zweifel rechtzeitig beurteilen. Die EDPB-Leitlinien zu Meldungen arbeiten diese Beurteilung weiter aus.

Fiktives Arbeitsbeispiel: Am Freitag um 10:00 Uhr erhält ein Unternehmen ausreichende Gewissheit, dass eine unbefugte Person Kundendaten eingesehen hat. Die 72-Stunden-Grenze fällt auf Montag um 10:00 Uhr. Das ist kein Grund, bis Montag zu warten: Die Pflicht lautet, unverzüglich und, wenn möglich, spätestens innerhalb dieser Frist zu melden.

Fehlen noch Untersuchungsergebnisse, mache das in der ersten Meldung sichtbar. Liefere zusätzliche Informationen anschließend ohne weitere unangemessene Verzögerung nach. Erfolgt die Meldung später, füge die Gründe für die Verzögerung bei. Bewahre die Zeitleiste und den Nachweis der Einreichung zusammen mit der Ergänzung auf. Eine interne Besprechung oder ein fehlender vollständiger Bericht hält die Uhr nicht an.

Prüfe auf der offiziellen GBA-Seite die Zuständigkeit und folge dem Link zum Portal. Die GBA gibt an, dass Meldungen per E-Mail nicht bearbeitet werden. Befolge auch die Hinweise zu Kontozugang und Sprache.

Bereite vier Informationsblöcke vor: die Art der Verletzung mit Kategorien und geschätzten Zahlen von Personen und Datensätzen; eine erreichbare Kontaktstelle; die wahrscheinlichen Folgen; und die ergriffenen oder vorgesehenen Maßnahmen. Schreibe bei fehlenden Angaben, was noch untersucht wird. Lass vor dem Absenden eine zweite Person prüfen, ob Kontaktdaten, Zeitangaben und Anhänge zum selben Vorfall gehören.

Bei einem wahrscheinlich hohen Risiko informiert der Verantwortliche auch die betroffenen Personen unverzüglich in klarer Sprache. Artikel 34 DSGVO beschreibt Inhalt und Ausnahmen, etwa wirksamen Schutz, der die Daten für Unbefugte unverständlich macht, oder spätere Maßnahmen, die das hohe Risiko beseitigen. Bei unverhältnismäßigem Aufwand kann eine ebenso wirksame öffentliche Bekanntmachung nötig sein; das ist keine allgemeine Befreiung von der Informationspflicht.

Gestalte die Mitteilung praktisch: Was ist passiert, was bedeutet das für die Empfängerin oder den Empfänger, welche Handlung ist nützlich und wohin kann man sich wenden? Nimm keine unbewiesene Beruhigung auf wie „Ihre Daten wurden sicher nicht verwendet“. Halte die Kommunikation an Betroffene und die Aufsichtsbehörde untereinander konsistent.

Dokumentiere jede Datenpanne, auch wenn keine Meldung erforderlich ist. Nutze zum Beispiel diese eigene Dossierstruktur:

1. Faktenlog: Zeitpunkt, Beobachtung, Quelle und verantwortliche Ermittlerin oder verantwortlicher Ermittler.
2. Entscheidungslog: Risikoeinschätzung, zuständige Behörde, Meldebeschluss und Begründung.
3. Maßnahmenlog: Maßnahme, Verantwortliche, Umsetzungszeitpunkt und Kontrolle des Ergebnisses.
4. Kommunikationslog: eingereichte Meldung, Ergänzungen und eventuelle Nachrichten an Betroffene.
5. Nachkontrolle: Ursache, strukturelle Verbesserungen und Datum, an dem diese überprüft werden.

Beschränke den Zugriff auf dieses Dossier und füge nicht unnötig zusätzliche Kopien der abgeflossenen personenbezogenen Daten ein. Nutze nach der Abwicklung des Vorfalls eine Kontrolle deiner digitalen Vertrauensbasis, um einzelne Verbesserungspunkte zu planen.