Datenpanne nach DSGVO: Checkliste für die ersten 72 Stunden

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt (Art. 4 Z 12 DSGVO). Ob sie unbeabsichtigt oder schuldhaft passiert, spielt laut Datenschutzbehörde keine Rolle. Der EDSA unterscheidet drei Arten (Leitlinien 9/2022):

Wann beginnen die 72 Stunden? Laut EDSA, sobald der Verantwortliche mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat. Eine kurze Untersuchung, ob überhaupt eine Verletzung vorliegt, ist zulässig und sollte so bald wie möglich beginnen. Ein Vorfall kann Vertraulichkeit, Integrität und Verfügbarkeit zugleich betreffen.

• Hinweis aufgenommen (wer, wann, was), Leitung und Datenschutzbeauftragte verständigt.
• Kurz untersucht, ob personenbezogene Daten betroffen sind; Zeitpunkt der Kenntnis festgehalten.
• Art der Verletzung bestimmt: Vertraulichkeit, Integrität, Verfügbarkeit oder mehrere.
• Sofortmaßnahmen gesetzt, um die Verletzung zu beheben und Folgen abzumildern, etwa Zugang sperren, Empfänger um Löschung ersuchen, Daten aus Sicherung wiederherstellen.
• Risiko bewertet und Entscheidung über Meldung und Benachrichtigung mit Begründung dokumentiert.
• Bei Auftragsverarbeitung: Auftragsverarbeiter hat unverzüglich gemeldet (Art. 33 Abs. 2) bzw. wurde zur Mitwirkung aufgefordert.

Zu bewerten sind Eintrittswahrscheinlichkeit und Schwere möglicher Folgen für die betroffenen Personen, nicht für das Unternehmen. Anders als bei einer Datenschutz-Folgenabschätzung geht es um ein Ereignis, das bereits eingetreten ist. Der EDSA empfiehlt, diese Kriterien zu berücksichtigen (Leitlinien 9/2022, Abschnitt IV):

• Art der Verletzung: Offenlegung von Gesundheitsdaten wirkt anders als ihr Verlust.
• Art, Sensibilität und Umfang der Daten: Gesundheits-, Ausweis- und Finanzdaten, Kombinationen von Daten, auch scheinbar harmlose Daten mit verräterischem Inhalt.
• Wie leicht sich Personen identifizieren lassen; angemessen verschlüsselte Daten sind für Unbefugte ohne Schlüssel unverständlich.
• Schwere und Dauer der Folgen: Identitätsdiebstahl, Betrug, körperlicher Schaden, psychische Belastung, Rufschaden; ob die Daten bei vertrauenswürdigen oder unbekannten Empfängern sind.
• Besondere Merkmale der Betroffenen, etwa Kinder oder andere schutzbedürftige Personen, und des Verantwortlichen, etwa eine medizinische Einrichtung.
• Zahl der betroffenen Personen.

Im Zweifel rät der EDSA, vorsichtig zu sein und zu melden (Leitlinien 9/2022, Rn. 119).

Die Beispiele zeigen die Logik, ersetzen aber nicht die Prüfung im Einzelfall: Schon kleine Unterschiede, etwa ob eine Sicherung vorhanden ist, ob Daten abgeflossen sind oder ob sie verschlüsselt waren, ändern das Ergebnis.

• Art der Verletzung beschrieben, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze (Art. 33 Abs. 3 lit. a).
• Name und Kontaktdaten der Datenschutzbeauftragten oder einer anderen Anlaufstelle angegeben (lit. b).
• Wahrscheinliche Folgen beschrieben (lit. c).
• Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und gegebenenfalls zur Abmilderung beschrieben (lit. d).
• Fehlen noch Informationen: schrittweise melden, ohne unangemessene weitere Verzögerung nachreichen (Art. 33 Abs. 4).
• Nach Ablauf von 72 Stunden: Begründung für die Verzögerung beigefügt (Art. 33 Abs. 1).
• Meldeweg gewählt: Onlineformular oder PDF-Formular der Datenschutzbehörde, E-Mail an dsb@dsb.gv.at oder Brief an die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien.
• Grenzüberschreitende Verarbeitung: an die federführende Aufsichtsbehörde gemeldet (EDSA 9/2022, Rn. 69).
• Kopie der Meldung und, falls vorhanden, ein Sendenachweis abgelegt.

Nach der Meldung prüft die Datenschutzbehörde, ob die Mindestangaben vorliegen und geeignete Maßnahmen gesetzt wurden. Nur wenn das nicht der Fall ist, meldet sie sich und verlangt eine Ergänzung; sonst stellt sie das Verfahren formlos ein. Auftragsverarbeiter melden dem Verantwortlichen unverzüglich (Art. 33 Abs. 2); der EDSA empfiehlt, das im Vertrag zu regeln und Informationen schrittweise nachzuliefern.

• Bei voraussichtlich hohem Risiko die betroffenen Personen unverzüglich benachrichtigt (Art. 34 Abs. 1).
• In klarer und einfacher Sprache die Art der Verletzung beschrieben (Art. 34 Abs. 2).
• Kontaktstelle, wahrscheinliche Folgen und ergriffene Maßnahmen genannt (Art. 34 Abs. 2 mit Art. 33 Abs. 3 lit. b bis d).
• Konkrete Empfehlungen gegeben, etwa Kennwort ändern oder auf Betrugsversuche achten (EDSA 9/2022, Rn. 87).

Die Datenschutzbehörde kann verlangen, dass Sie die Benachrichtigung nachholen (Art. 34 Abs. 4); laut ihren Hinweisen geschieht das mit Bescheid. Verstöße gegen Art. 33 und 34 können Geldbußen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 lit. a DSGVO).

Der Verantwortliche dokumentiert jede Verletzung mit allen Fakten, ihren Auswirkungen und den ergriffenen Abhilfemaßnahmen; die Datenschutzbehörde muss damit die Einhaltung prüfen können (Art. 33 Abs. 5). Der EDSA empfiehlt ein internes Register aller Verletzungen, auch der nicht meldepflichtigen; es darf Teil des Verzeichnisses von Verarbeitungstätigkeiten sein, wenn die Einträge klar erkennbar sind.

• NIS2: Wesentliche und wichtige Einrichtungen melden erhebliche Cybersicherheitsvorfälle zusätzlich dem CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 NISG 2026). Beide Pflichten gelten nebeneinander; die Behörden arbeiten nach § 21 NISG 2026 zusammen.
• Polizei: Wer Opfer von Cyberkriminalität wird, sollte laut EDSA Anzeige bei den Strafverfolgungsbehörden erstatten.

Reform in Arbeit: Der Digital-Omnibus-Vorschlag COM(2025) 837 würde die Meldung auf Verletzungen mit voraussichtlich hohem Risiko beschränken, die Frist auf 96 Stunden verlängern und eine zentrale Meldestelle vorsehen. Am 25.10.2026 wartete das Verfahren 2025/0360(COD) im Parlament auf die Ausschussentscheidung. Bis die Änderung gilt (laut Vorschlag 18 Monate nach Inkrafttreten), bleibt Art. 33 DSGVO maßgeblich.