Datenschutzverletzung (Data Breach) & Meldepflicht (Art. 33/34 DSGVO)
DefinitionMeldung an Behörde binnen 72h; ggf. Betroffene informieren.
Eine Datenschutzverletzung (Data Breach) ist ein Sicherheitsvorfall, bei dem personenbezogene Daten versehentlich oder unrechtmäßig vernichtet, verändert, verloren, unbefugt offengelegt oder zugänglich gemacht werden. Nach Art. 33 DSGVO muss der Verantwortliche solche Vorfälle in der Regel binnen 72 Stunden an die zuständige Datenschutzaufsichtsbehörde melden; nach Art. 34 DSGVO müssen ggf. auch betroffene Personen informiert werden.
Was bedeutet „Datenschutzverletzung“ im Sinne der DSGVO?
Die DSGVO meint nicht nur „Hackerangriff“. Eine Datenschutzverletzung kann auch passieren, wenn ein Laptop mit Kundendaten gestohlen wird, eine E-Mail mit Gehaltslisten an den falschen Empfänger geht, ein Cloud-Ordner versehentlich öffentlich freigegeben ist oder ein Mitarbeiter unberechtigt Zugriff auf CRM-Daten erhält. Entscheidend ist: Es geht um personenbezogene Daten (z. B. Namen, E-Mail-Adressen, Gesundheitsdaten, Mitarbeiterdaten) und um eine Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit.
Wie funktioniert die Meldepflicht nach Art. 33/34 DSGVO (praxisnah)?
- 1) Vorfall erkennen & eindämmen: Zugänge sperren, Passwörter/Keys rotieren, Systeme isolieren, Backups prüfen, Beweise sichern (Logs).
- 2) Schnell bewerten: Welche Daten sind betroffen? Wie viele Personen? Welche Folgen drohen (Identitätsdiebstahl, Betrug, Rufschaden)? War Verschlüsselung aktiv?
- 3) 72-Stunden-Frist starten: Die Uhr läuft ab dem Zeitpunkt, an dem ihr „Kenntnis“ habt (nicht erst nach Abschluss der Forensik). Wenn noch nicht alles klar ist, ist eine gestufte Meldung möglich: erst melden, dann nachreichen.
- 4) Meldung an die Aufsichtsbehörde (Art. 33): Wenn ein Risiko für Rechte/Freiheiten natürlicher Personen wahrscheinlich ist, müsst ihr melden. Inhalt typischerweise: Art des Vorfalls, Kategorien/Umfang der Daten, mögliche Folgen, ergriffene Maßnahmen, Kontakt (z. B. Datenschutzbeauftragter).
- 5) Information der Betroffenen (Art. 34): Wenn ein hohes Risiko besteht, müsst ihr Betroffene „unverzüglich“ und in klarer Sprache informieren – inkl. Empfehlungen (z. B. Passwort ändern, Phishing beachten). Ausnahmen können greifen, z. B. wenn Daten stark verschlüsselt waren oder wirksame Maßnahmen das hohe Risiko nachträglich beseitigt haben.
- 6) Dokumentation (immer!): Auch wenn ihr nicht meldet, müsst ihr den Vorfall intern dokumentieren (Nachweisbarkeit).
Warum ist das für KMU in Deutschland besonders wichtig?
KMU sind häufig Ziel von Phishing, Ransomware und Fehlkonfigurationen – und haben oft weniger Ressourcen für Incident Response. Eine saubere Melde- und Entscheidungsroutine reduziert Bußgeld- und Haftungsrisiken und hilft, Schäden zu begrenzen. Praktisch bewährt: ein kurzer Incident-Runbook, klare Zuständigkeiten (IT, Geschäftsführung, Datenschutz), Vorlagen für Behörden- und Kundenkommunikation sowie technische Basismaßnahmen wie MFA, Backup-Strategie und Rechtekonzepte.
Beispiele aus dem Alltag
- Falscher E-Mail-Empfänger: Angebot mit personenbezogenen Daten an falsche Adresse → Risikoabwägung, ggf. Meldung; Betroffene informieren, wenn sensible Daten betroffen sind.
- Gestohlenes Notebook: Gerät mit Kundenliste, aber Festplatte verschlüsselt → oft keine Betroffeneninformation nötig, trotzdem dokumentieren und ggf. melden je nach Risiko.
- Ransomware: Systeme verschlüsselt, Daten ggf. exfiltriert → häufig meldepflichtig; Betroffeneninfo bei hohem Risiko (z. B. Identitätsmissbrauch).
Wenn ihr KI-Tools im Unternehmen nutzt (z. B. ChatGPT oder Generative KI (Generative AI)) kann eine Datenschutzverletzung auch durch falsch konfigurierte Freigaben, unzulässiges Prompt-/Datei-Teilen oder kompromittierte Zugänge entstehen. Dann gelten dieselben Melde- und Dokumentationspflichten – ergänzt um sauberes Zugriff- und Secrets-Management.
- 72h
Meldepflicht Frist
Unternehmen müssen eine Datenschutzverletzung in der Regel binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde melden, sofern ein Risiko für Betroffene besteht.
- 20 Mio. €
Maximales Bußgeld
Bei schweren DSGVO-Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes, was besonders für KMU erhebliche Risiken schafft.
- 34%
Menschlicher Fehler
Ein erheblicher Teil von Datenschutzverletzungen in Unternehmen geht auf Fehlversand, Fehlkonfigurationen oder andere menschliche Fehler zurück, was den Bedarf an klaren Melde- und Reaktionsprozessen erhöht.
72-Stunden-Notfallprozess nach Phishing-Angriff im Kundenservice auslösen
Ein KMU im Kundenservice stellt fest, dass durch ein kompromittiertes E-Mail-Konto Kundendaten eingesehen wurden. Der praktische Anwendungsfall besteht darin, intern sofort einen Data-Breach-Prozess zu starten, den Vorfall zu bewerten, Beweise zu sichern und die Meldung an die Aufsichtsbehörde fristgerecht innerhalb von 72 Stunden vorzubereiten. Wenn ein hohes Risiko für die Betroffenen besteht, werden betroffene Kunden zusätzlich mit klaren Handlungshinweisen informiert.
Meldepflicht bei verlorenem HR-Laptop mit Mitarbeiterdaten strukturiert erfüllen
In einem mittelständischen Unternehmen geht ein unverschlüsselter Laptop aus der Personalabteilung verloren, auf dem Arbeitsverträge, Gehaltsdaten und Ausweiskopien gespeichert sind. Der Use-Case zeigt, wie HR gemeinsam mit IT und Geschäftsführung prüft, welche Daten betroffen sind, das Risiko für Mitarbeitende bewertet und daraus die Meldung an die Behörde sowie gegebenenfalls die Benachrichtigung der Beschäftigten ableitet. So wird aus einem Sicherheitsvorfall ein klar gesteuerter Compliance-Prozess.
Fehlversand von Rechnungen in der Buchhaltung rechtssicher bearbeiten
Ein kleines Handelsunternehmen versendet versehentlich Rechnungen mit personenbezogenen Daten an die falschen Geschäftskunden. In der Praxis bedeutet das, den Vorfall sofort zu dokumentieren, Empfänger zur Löschung aufzufordern und zu prüfen, ob eine meldepflichtige Datenschutzverletzung nach DSGVO vorliegt. Der Anwendungsfall hilft KMU, auch bei alltäglichen Fehlern in der Buchhaltung schnell und nachvollziehbar zu reagieren.
Häufig gestellte Fragen
Was ist eine Datenschutzverletzung (Data Breach) nach DSGVO?
Eine Datenschutzverletzung ist ein Vorfall, bei dem personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder unzugänglich werden (z. B. Hackerangriff, Fehlversand, Verlust eines Laptops). Maßgeblich ist, ob Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten betroffen ist.
Wann muss ich eine Datenschutzverletzung binnen 72 Stunden melden (Art. 33 DSGVO)?
Wenn der Vorfall voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen verursacht, muss er an die zuständige Aufsichtsbehörde gemeldet werden. Die 72 Stunden beginnen, sobald ihr Kenntnis vom Vorfall habt; fehlende Details dürfen nachgereicht werden.
Wann muss ich Betroffene informieren (Art. 34 DSGVO)?
Betroffene sind zu informieren, wenn ein hohes Risiko für sie besteht (z. B. Identitätsdiebstahl, Betrug, erhebliche Nachteile). Eine Information kann entfallen, wenn z. B. starke Verschlüsselung die Daten für Dritte unlesbar macht oder Maßnahmen das hohe Risiko nachträglich beseitigen.
Was muss in die Meldung an die Datenschutzbehörde hinein?
Typisch sind: Beschreibung des Vorfalls, betroffene Datenkategorien und Personengruppen, geschätzter Umfang, wahrscheinliche Folgen sowie ergriffene/ geplante Gegenmaßnahmen. Außerdem sollten eine Kontaktstelle (z. B. Datenschutzbeauftragter) und Updates bei neuen Erkenntnissen genannt werden.
Muss ich auch melden, wenn ich mich gegen eine Meldung entscheide?
Nein, aber ihr müsst den Vorfall intern dokumentieren und begründen, warum keine Meldepflicht besteht (Accountability). Diese Dokumentation ist wichtig, falls die Aufsichtsbehörde später nachfragt oder Betroffene Ansprüche geltend machen.
Welche Vorfälle gelten als Datenschutzverletzung nach der DSGVO?
Als Datenschutzverletzung gelten nicht nur Hackerangriffe, sondern auch interne Fehler wie Fehlversand von E-Mails, verlorene Geräte, falsche Zugriffsrechte oder versehentlich gelöschte personenbezogene Daten. Entscheidend ist, dass Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten beeinträchtigt wurde.
Was passiert, wenn eine Datenschutzverletzung nicht oder zu spät gemeldet wird?
Wird eine meldepflichtige Datenschutzverletzung nicht fristgerecht gemeldet, drohen aufsichtsbehördliche Maßnahmen, Bußgelder und zusätzlicher Reputationsschaden. Wichtig ist deshalb eine schnelle Risikobewertung, saubere Dokumentation und ein klarer interner Meldeprozess nach Art. 33 und 34 DSGVO.
Ich bin kein IT-Experte – kannst du trotzdem bei der Einordnung einer Datenschutzverletzung helfen?
Ja. Gerade wenn dir intern technische Führung fehlt, unterstütze ich dich als externer CTO dabei, Vorfälle strukturiert einzuordnen, betroffene Systeme zu verstehen und technische Risiken sauber aufzubereiten. So musst du dich nicht allein durch Tool-Chaos, Logs und Zuständigkeiten kämpfen.
Wie finde ich heraus, wo in meinem Unternehmen überhaupt Datenschutzrisiken und mögliche Data-Breach-Schwachstellen liegen?
Mit dem Tech-Gutachten analysiere ich deine bestehende Tool-Landschaft, Zugriffe, Prozesse und Datenflüsse, damit Schwachstellen sichtbar werden, bevor ein Vorfall eskaliert. Du bekommst konkrete Empfehlungen, welche Tools, Prozesse oder Berechtigungen kritisch sind und wie du das Risiko reduzierst.
Kannst du auch Systeme so aufsetzen, dass Datenschutzverletzungen seltener passieren?
Ja, genau darum geht es bei der Tech-Umsetzung mit OrbitOS: klare Prozesse, saubere Rollenrechte, zentrale Datenhaltung und weniger Insellösungen. Das reduziert typische Fehlerquellen wie unkontrollierte Freigaben, doppelte Datenbestände oder unsichere Workarounds im Alltag.
Hilfst du auch dabei, KI-Tools datenschutzbewusst einzusetzen, damit kein Data Breach durch neue Tools entsteht?
Ja. In der KI-Beratung prüfe ich mit dir, welche KI-Anwendungen sinnvoll und verantwortbar sind, welche Daten dort verarbeitet werden und wo echte Risiken liegen. So setzt du KI nicht blind ein, sondern mit klaren Regeln, passenden Prozessen und einem realistischen Blick auf Datenschutz und ROI.
Lohnt sich externe Unterstützung auch für kleinere Unternehmen ohne eigene IT-Leitung?
Gerade dann. Mit der Tech-Partnerschaft bekommst du laufende technische Sparringshilfe, ohne einen festen CTO einstellen zu müssen – ideal für Geschäftsführer mit 5 bis 30 Mitarbeitern. Das spart Fehlentscheidungen, schafft klare Verantwortlichkeiten und hilft dir, Risiken wie Datenschutzverletzungen frühzeitig zu erkennen.