Checklisten

Checkliste Datenpanne — die ersten 72 Stunden

Für: Geschäftsführer, IT- und Datenschutzverantwortliche in KMU.

Kurz erklärt

Bei einer Datenpanne gilt: eindämmen (Zugriff sperren, Passwörter wechseln), dokumentieren (was, wann, wer, welche Daten), Risiko für die Betroffenen bewerten, bei hohem Risiko den EDÖB so rasch als möglich informieren (DSGVO: 72 Stunden), Betroffene informieren, wenn es zu ihrem Schutz nötig ist, und die Ursache beheben.

Ein falsch adressiertes E-Mail mit Kundenliste, ein verlorener Laptop, ein Freelancer mit altem Zugang: Datenpannen sind alltäglich. Was zählt, ist die Reaktion in den ersten Stunden — und ob es einen Prozess gab oder nur Panik. Diese Liste ist der Prozess.

Eine Person führt

Im Vorfall entscheidet nicht das Team, sondern eine benannte Person — wer sperrt, wer bewertet, wer meldet. Die Liste im Voraus mit Namen zu füllen, ist die halbe Reaktion.

Nicht jede Panne ist meldepflichtig — jede ist dokumentationspflichtig

Das revDSG verlangt die Meldung bei «voraussichtlich hohem Risiko» für die Betroffenen. Ein verschlüsselter Laptop ohne Schlüssel ist meist kein hohes Risiko; eine Kundenliste mit Gesundheitsdaten an falsche Empfänger schon. Die Bewertung wird schriftlich begründet — das ist im Nachhinein die entscheidende Frage.

Als Auftragsbearbeiter: Kunde sofort

Wenn du Daten für Kunden bearbeitest (Agentur, Treuhand, IT-Dienstleister), meldest du nicht dem EDÖB, sondern deinem Kunden — unverzüglich. Er entscheidet über die Meldung. Diese Pflicht steht im AVV.

Häufige Fragen

Wie schnell muss ich dem EDÖB melden?

«So rasch als möglich» nach revDSG — es gibt keine feste Frist, aber Tage, nicht Wochen. Nach DSGVO sind es 72 Stunden ab Kenntnis. Wer beide Gesetze unterliegt, richtet sich nach 72 Stunden.

Muss ich melden, wenn die Daten verschlüsselt waren?

Wenn der Schlüssel nicht mitverloren ist, ist das Risiko meist gering und keine Meldung nötig. Die Bewertung und ihre Begründung gehören trotzdem ins Verzeichnis.

Was, wenn ich unsicher bin?

Im Zweifel melden. Eine unnötige Meldung hat keine Sanktion; eine unterlassene bei hohem Risiko schon. Und: Anwalt oder Datenschutzberater anrufen — das ist der Fall, für den man sie kennt.