Datenpanne melden: Was KMU in den 72 Stunden nach einem Datenleck tun müssen

Ende September 2026 häufen sich die Meldungen über abgeflossene Daten: eine Universität, ein Anbieter von Gesundheits-Apps, eine Stadtverwaltung. Die Ursachen sind verschieden, die Pflicht danach ist für alle gleich – und sie gilt genauso für den Handwerksbetrieb mit 20 Mitarbeitern: Wer personenbezogene Daten verliert, muss die Datenpanne melden, und zwar in der Regel innerhalb von 72 Stunden. In vielen KMU weiß im Ernstfall niemand, wer das tut, wo und mit welchen Angaben.

Was aktuell passiert ist

LMU München: 600.000 Datensätze

Laut heise online sind bei einem Cyberangriff auf die Ludwig-Maximilians-Universität München rund 600.000 Datensätze aktueller und ehemaliger Studierender abgeflossen. Die Immatrikulationsdaten reichen etwa 50 Jahre zurück. Betroffen sind Stammdaten, bei Datensätzen ab 2005 auch Bankdaten, in Einzelfällen Krankenversicherungs- und BAföG-Nummern sowie möglicherweise Beurlaubungsgründe – also teils besonders geschützte Daten nach Artikel 9 DSGVO. Hinweise auf eine Veröffentlichung liegen der Universität derzeit nicht vor.

HelloBetter: Zugriff über das BI-System

Ebenfalls laut heise online haben sich Angreifer am Abend des 6. September Zugriff auf das Business-Intelligence-System und die zugehörige Datenbank des Hamburger Anbieters digitaler Gesundheitsanwendungen verschafft. Entdeckt wurde das am nächsten Morgen. Betroffen sind Kontakt- und Stammdaten, Fragebogen-Antworten, Tagebucheinträge und Support-Anfragen. Ein erheblicher Teil lag nach Unternehmensangaben pseudonymisiert und verschlüsselt vor. HelloBetter hat das BSI und die Hamburger Datenschutzaufsicht informiert, die Betroffenen nach Artikel 34 DSGVO angeschrieben, Zugangsdaten und Schlüssel getauscht und das System auf interne Verbindungen beschränkt.

Beide Fälle zeigen zwei Dinge. Erstens: Alte Datenbestände und Nebensysteme wie Auswertungs-Tools sind häufig der Ort, an dem es wehtut. Zweitens: Nach dem technischen Vorfall beginnt ein zweiter, rechtlicher Teil – und der hat eine Uhr.

Was die DSGVO verlangt

Wann liegt eine Datenpanne vor?

Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“. Gemeint ist nicht nur der Hackerangriff. Dazu zählen auch:

• die E-Mail mit Gehaltsliste an den falschen Empfänger,
• das verlorene, unverschlüsselte Notebook,
• der offene Verteiler im CC statt BCC,
• ein Ransomware-Befall, der Kundendaten unzugänglich macht,
• die versehentlich öffentlich erreichbare Cloud-Freigabe.

Entscheidend ist, dass personenbezogene Daten vernichtet, verloren, verändert oder Unbefugten offengelegt wurden – ob absichtlich oder aus Versehen.

Artikel 33: Meldung an die Aufsichtsbehörde

Der Verantwortliche muss die Verletzung unverzüglich und möglichst binnen 72 Stunden melden, nachdem sie ihm bekannt wurde. Die Frist läuft durch – Wochenenden und Feiertage halten sie nicht an. Wer später meldet, muss die Verzögerung begründen.

Eine Ausnahme gibt es nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die betroffenen Personen führt. Diese Einschätzung muss begründet und dokumentiert sein.

Die Meldung muss mindestens enthalten:

• Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze,
• Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle,
• die wahrscheinlichen Folgen,
• die ergriffenen oder geplanten Gegenmaßnahmen.

Wichtig für die Praxis: Liegen nach 72 Stunden noch nicht alle Informationen vor, dürfen sie schrittweise nachgereicht werden. Eine unvollständige Meldung in der Frist ist besser als eine vollständige zu spät.

Für Unternehmen mit Sitz in Sachsen ist die Sächsische Datenschutz- und Transparenzbeauftragte zuständig. Sie stellt für die Meldung ein Online-Formular bereit.

Artikel 34: Benachrichtigung der Betroffenen

Besteht voraussichtlich ein hohes Risiko für die Betroffenen – etwa bei Bankdaten, Gesundheitsdaten oder Zugangsdaten –, müssen zusätzlich die Personen selbst unverzüglich informiert werden, in klarer und einfacher Sprache. Das kann entfallen, wenn die Daten zum Beispiel wirksam verschlüsselt waren und der Schlüssel nicht mit abgeflossen ist. Wäre die Einzelbenachrichtigung unverhältnismäßig aufwendig, tritt eine öffentliche Bekanntmachung an ihre Stelle.

Dokumentationspflicht – auch ohne Meldung

Jede Datenpanne muss intern dokumentiert werden: Sachverhalt, Auswirkungen, Abhilfemaßnahmen. Das gilt auch für Fälle, die nicht gemeldet werden. Die Aufsichtsbehörde kann diese Dokumentation einsehen.

Wenn der Dienstleister betroffen ist

Passiert die Panne bei einem Auftragsverarbeiter – Hoster, Lohnbüro, SaaS-Anbieter –, muss dieser Sie unverzüglich informieren. Die Meldepflicht gegenüber der Behörde bleibt aber bei Ihnen als Verantwortlichem. Prüfen Sie, ob Ihr Auftragsverarbeitungsvertrag dafür konkrete Fristen und Ansprechpartner nennt. Mehr dazu im Artikel zur Sicherheit von Dienstleistern.

Was bei Verstößen droht

Verstöße gegen die Melde- und Benachrichtigungspflichten können nach Artikel 83 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Für KMU sind das theoretische Obergrenzen – aber eine verschleppte Meldung verschlechtert die eigene Position gegenüber Behörde, Kunden und Versicherung in jedem Fall.

Praxis: So sind KMU auf die 72 Stunden vorbereitet

Schritt 1: Zuständigkeit festlegen

Benennen Sie eine Person plus Vertretung, die entscheidet, ob gemeldet wird, und die Meldung abgibt. In kleinen Betrieben ist das meist die Geschäftsführung gemeinsam mit dem (externen) Datenschutzbeauftragten. Die Kontaktdaten gehören ausgedruckt in den IT-Notfallplan.

Schritt 2: Internen Meldeweg einrichten

Die Frist beginnt, sobald das Unternehmen von der Verletzung weiß – nicht erst, wenn die Geschäftsführung davon hört. Mitarbeiter müssen wissen, dass sie eine fehlgeleitete E-Mail oder ein verlorenes Gerät sofort melden sollen, und an wen. Eine feste Adresse oder Telefonnummer genügt. Wichtig ist eine Kultur, in der solche Meldungen nicht bestraft werden.

Schritt 3: Wissen, welche Daten wo liegen

Die Behörde fragt nach Kategorien und Anzahl der betroffenen Datensätze. Wer erst im Ernstfall herausfinden muss, was auf dem kompromittierten Server lag, verliert Stunden. Ein aktuelles Verzeichnis der Verarbeitungstätigkeiten und eine einfache Übersicht „System → Datenarten → ungefähre Menge“ sparen hier am meisten Zeit.

Schritt 4: Logs und Beweise sichern

Ohne Protokolle lässt sich nicht sagen, ob Daten nur erreichbar waren oder tatsächlich abgeflossen sind – und im Zweifel muss vom schlechteren Fall ausgegangen werden. Zentrale Logs von Firewall, Servern und Cloud-Diensten mit ausreichender Aufbewahrungszeit sind deshalb auch datenschutzrechtlich Gold wert. Was technisch in den ersten Stunden zu tun ist, beschreibt unser Artikel zur Incident Response in den ersten 24 Stunden.

Schritt 5: Risiko bewerten und entscheiden

Halten Sie schriftlich fest: Welche Daten, wie viele Personen, wie sensibel, wie wahrscheinlich ist ein Missbrauch? Daraus ergibt sich, ob keine Meldung, nur die Meldung an die Behörde oder zusätzlich die Benachrichtigung der Betroffenen nötig ist. Im Zweifel melden.

Schritt 6: Vorlagen bereithalten

Ein vorbereitetes Dokumentationsblatt und ein Textbaustein für die Information Betroffener (Was ist passiert? Welche Daten? Was sollten Sie jetzt tun? Wer ist Ansprechpartner?) verhindern, dass unter Zeitdruck improvisiert wird. Denken Sie auch an Ihre Cyber-Versicherung: Die meisten Policen verlangen eine umgehende Schadensmeldung.

Schritt 7: Die Fallhöhe vorher senken

Die beste Datenpanne ist die, die klein bleibt:

• Alte Daten löschen. Was nach Ablauf der Aufbewahrungsfristen gelöscht wurde, kann nicht abfließen. Der LMU-Fall mit Daten aus fünf Jahrzehnten zeigt, wie sehr Altbestände den Schaden vergrößern.
• Verschlüsseln. Verschlüsselte Notebooks und Datenträger machen aus einem verlorenen Gerät in vielen Fällen einen nicht meldepflichtigen Vorgang.
• Nebensysteme nicht ins Internet stellen. Auswertungs- und BI-Tools, Admin-Oberflächen und Datenbanken gehören hinter VPN und Firewall. Welche Dienste von außen erreichbar sind, zeigt eine Prüfung der externen Angriffsfläche.

Was das für KMU in Sachsen bedeutet

Viele ostdeutsche KMU haben einen externen Datenschutzbeauftragten und einen IT-Dienstleister – aber keinen abgestimmten Ablauf zwischen beiden. Im Ernstfall fragt der Datenschützer nach Fakten, die nur die IT liefern kann, und die IT weiß nicht, dass eine Frist läuft. Für Betriebe in Dresden und ganz Sachsen lohnt es sich, diesen Ablauf einmal an einem konkreten Szenario durchzuspielen: Freitag, 16 Uhr, ein Mitarbeiter meldet ein gestohlenes Notebook. Wer macht was bis Montag?

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU bei der technischen Seite der Datenpanne: zentrale Protokollierung, Verschlüsselung, Absicherung exponierter Systeme und ein Notfallablauf, der im Ernstfall belastbare Fakten für die Meldung liefert. Die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten oder Anwalt – wir sorgen dafür, dass er schnell die Informationen bekommt, die er braucht. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Muss ich jede Datenpanne melden?

Nein. Die Meldung an die Aufsichtsbehörde entfällt, wenn die Verletzung voraussichtlich kein Risiko für die betroffenen Personen bedeutet – etwa beim verlorenen, wirksam verschlüsselten Notebook. Dokumentieren müssen Sie den Vorfall und Ihre Einschätzung trotzdem.

Wann beginnt die 72-Stunden-Frist?

Mit dem Zeitpunkt, an dem dem Unternehmen die Verletzung bekannt wird, also sobald hinreichend sicher ist, dass personenbezogene Daten betroffen sind. Die Frist läuft auch am Wochenende und an Feiertagen weiter.

Was, wenn ich nach 72 Stunden noch nicht alles weiß?

Dann melden Sie, was bekannt ist, und reichen weitere Informationen nach. Die DSGVO sieht diese schrittweise Meldung ausdrücklich vor. Eine verspätete Meldung müssen Sie dagegen begründen.

Wo melden Unternehmen aus Sachsen eine Datenpanne?

Bei der Sächsischen Datenschutz- und Transparenzbeauftragten. Die Behörde bietet dafür ein Online-Meldeformular an. Maßgeblich ist der Sitz des Unternehmens, nicht der Standort des betroffenen Servers.

Ersetzt dieser Artikel eine Rechtsberatung?

Nein. Er gibt einen Überblick über die Pflichten und die praktische Vorbereitung. Die Bewertung eines konkreten Vorfalls sollten Sie mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt abstimmen.