Muss diese Datenschutzverletzung gemeldet werden?

Ob ein Betrieb eine Datenschutzverletzung melden muss, entscheidet nicht die Größe des Fehlers aus Unternehmenssicht. Maßgeblich ist das voraussichtliche Risiko für betroffene Menschen. Eindämmung und Risikobewertung beginnen sofort, während der Zeitpunkt der Kenntniserlangung und offene Fakten kontrolliert festgehalten werden.

Kurzantwort: Eine Datenschutzverletzung melden muss ein Verantwortlicher, wenn sie voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Die Meldung erfolgt möglichst binnen 72 Stunden nach Kenntniserlangung. Ist das Risiko unwahrscheinlich, entfällt die Meldung, nicht aber die Pflicht, Vorfall, Bewertung, Folgen und Abhilfemaßnahmen nachvollziehbar zu dokumentieren ^1,2.

Zuletzt aktualisiert: 26. August 2026

Für eine gewöhnliche private Organisation richtet sich die Zuständigkeit nach ihrem Sitz: Kontakt- und gegebenenfalls Meldebehörde ist die zuständige Landesdatenschutzaufsichtsbehörde; der offizielle Kontaktfinder der BfDI führt zur richtigen Stelle.

Ab der Kenntniserlangung laufen zwei Arbeitsstränge

Sobald eine mögliche Verletzung eingeht, laufen Eindämmung und rechtliche Bewertung parallel. Wer nur die Technik repariert, verliert möglicherweise Belege; wer nur das Meldeformular diskutiert, lässt den Schaden weiterlaufen. Ein benannter Incident Owner hält beide Stränge in einer Chronologie zusammen.

Der Incident Owner muss nicht jede technische Aufgabe selbst erledigen, sorgt aber dafür, dass IT, Fachbereich, Dienstleister und entscheidungsbefugte Rolle mit denselben Fakten arbeiten. Jede Schätzung trägt Quelle, Zeitpunkt und Unsicherheit, damit spätere Updates nicht wie Widersprüche wirken.

Bei einem Vorfall des Auftragsverarbeiters fordert der Verantwortliche nicht bloß eine fertige Schlussmeldung an, sondern benötigt früh Art des Ereignisses, betroffene Systeme, Datenkategorien, mögliche Zugriffe, Zeitstempel, Eindämmung und die geplante Beweisgewinnung. Der Dienstleister liefert technische Fakten; die Meldeschwelle für die eigenen betroffenen Personen beurteilt weiterhin der Verantwortliche.

Eine Entscheidungstafel trennt bestätigte Fakten, plausible Annahmen und offene Fragen, damit eine erste Vermutung nicht unbemerkt zur Grundlage aller späteren Meldungen wird. Ändert sich der Status, bleiben frühere Fassungen sichtbar, sodass das Team erklären kann, warum eine Schätzung enger oder weiter geworden ist.

Eine erste Lagebesprechung beantwortet vier Fragen: Was läuft noch, welche Daten sind betroffen, wer könnte Folgen erleiden und wann hatte der Verantwortliche hinreichende Sicherheit über eine Verletzung? Offene Punkte erhalten einen Namen und eine nächste Prüffrist.

Bei grenzüberschreitender Verarbeitung wird geprüft, ob nach dem One-Stop-Shop eine federführende Aufsichtsbehörde besteht. Eine bloße Vertretung eines außerhalb des EWR niedergelassenen Verantwortlichen begründet keine Hauptniederlassung und damit keine One-Stop-Shop-Berechtigung.

Der Datensatz beginnt vor der Meldeentscheidung. Das verhindert, dass ein nicht gemeldeter Fall ohne Spuren verschwindet. DSGVO verlangt Dokumentation aller Verletzungen, einschließlich Fakten, Auswirkungen und ergriffener Abhilfemaßnahmen ^1,2.

Parallel legt der Eigentümer Entscheidungstermine fest: erste Risikoeinschätzung, Meldeschwelle, Betroffeneninformation und nächstes Update. Aufgaben ohne Uhrzeit sind in einer laufenden 72-Stunden-Frist keine belastbare Steuerung.

Den Zeitpunkt der Kenntniserlangung vor der Frist festlegen

Die 72 Stunden beginnen mit der Kenntniserlangung, nicht automatisch mit dem ersten technischen Alarm, und Kenntnis liegt vor, wenn der Verantwortliche hinreichend sicher ist, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat. Eine vollständige Ursachenanalyse ist dafür nicht nötig ^2,3.

Entdeckung und Kenntniserlangung können zusammenfallen. Eine Mitarbeiterin sieht, dass sie eine unverschlüsselte Gehaltsliste an einen falschen externen Empfänger geschickt hat; Inhalt, Empfänger und Offenlegung stehen sofort fest. Bei einem ungewöhnlichen Systemalarm kann zunächst unklar sein, ob personenbezogene Daten betroffen wurden. Diese kurze Prüfung wird dokumentiert und zügig geführt.

Der Betrieb darf die Kenntniserlangung nicht künstlich verschieben, indem er eine Nachricht im Supportpostfach liegen lässt oder interne Gewissheit nur einer bestimmten Führungskraft zurechnet. Meldewege müssen Vorfälle ohne vermeidbare Verzögerung an die verantwortliche Funktion bringen. Dienstleister informieren den Verantwortlichen ebenfalls unverzüglich nach Bekanntwerden einer Verletzung in ihrem Bereich ¹.

Zeitstempel werden mit Zeitzone und Ereignis erfasst. „Montagvormittag“ reicht nicht, wenn eine 72-Stunden-Frist geprüft werden muss. Der Datensatz erklärt außerdem, weshalb frühere Hinweise noch keine hinreichende Sicherheit gaben, falls Entdeckung und Kenntniserlangung auseinanderliegen.

Ein Beispiel verdeutlicht die Grenze: Ein Virenscanner meldet um 09:10 Uhr verdächtiges Verhalten, doch erst die Logprüfung um 11:40 Uhr zeigt einen Export mit Kundendaten. Beide Zeiten bleiben im Register. Die Kenntniserlangung wird anhand der tatsächlichen Gewissheit begründet, nicht nachträglich auf den bequemeren Zeitpunkt gelegt.

Risiko für Menschen statt Unternehmensschaden bewerten

Der gesetzliche Test betrachtet Rechte und Freiheiten natürlicher Personen; Rufschaden, Vertragsfolgen oder Reparaturkosten des Betriebs können wichtig sein, entscheiden aber nicht die Meldeschwelle. Die Bewertung verbindet mögliche Schwere mit Eintrittswahrscheinlichkeit.

Die Risikobewertung verwendet den besten verfügbaren Sachstand und kennzeichnet Unsicherheit. Fehlende Logdaten sprechen nicht automatisch für ein geringes Risiko. Sie können die Gewissheit über Umfang und Zugriff gerade verringern.

Ein zurückgesandtes Dokument kann das Risiko reduzieren, aber nicht ungeschehen machen, weshalb der Betrieb Beziehung zum Empfänger, Glaubwürdigkeit der Bestätigung, mögliche Kopien und Sensibilität des Inhalts berücksichtigt. Eine bloße Löschzusage wird nicht wie technisch nachgewiesene Unlesbarkeit behandelt.

Die Bewertung wird bei neuen Tatsachen aktualisiert. Aus einer zunächst begrenzten Offenlegung kann ein größerer Vorfall werden, wenn weitere Empfänger oder Datenquellen bekannt werden. Umgekehrt können belastbare Logs den möglichen Umfang eingrenzen.

Schwere und Wahrscheinlichkeit werden getrennt notiert, weil sehr sensible Daten auch bei kleiner Personenzahl erhebliche Folgen haben können, während ein großer Bestand öffentlich bekannter Kontaktdaten anders zu bewerten ist. Eine numerische Matrix darf diese Begründung unterstützen, aber nicht ersetzen; dieselbe Punktzahl kann aus völlig verschiedenen Gefahren entstehen.

Die Behörden-Meldung an der Unwahrscheinlichkeitsgrenze entscheiden

Eine Meldung ist erforderlich, sofern die Verletzung voraussichtlich ein Risiko für Rechte und Freiheiten verursacht. Nur wenn ein solches Risiko unwahrscheinlich ist, entfällt die Behörden-Meldung ^1,2. Die Entscheidung wird ausdrücklich mit Tatsachen und Unsicherheiten begründet.

• Melden: Mindestens ein realistischer Schadensweg bleibt bestehen und ist nicht nur theoretisch fernliegend.
• Nicht melden: Schutz, Empfänger, Inhalt und Eindämmung machen ein Risiko für Menschen nach dokumentierter Prüfung unwahrscheinlich.
• Noch offen: Eine entscheidende Tatsache fehlt; sie erhält eine kurzfristige Ermittlung, während Frist und mögliche gestufte Meldung vorbereitet werden.

Der Ablauf beginnt mit dem Festhalten des Zeitpunkts der Kenntniserlangung und trennt die Sicherheitsuntersuchung von der Meldeentscheidung. Der Verantwortliche darf von der Meldung an die zuständige Aufsichtsbehörde nur absehen, wenn ein Risiko für die Rechte und Freiheiten von Menschen unwahrscheinlich ist; Unsicherheit über entscheidende Tatsachen muss kurzfristig geklärt und darf nicht mit fehlendem Risiko gleichgesetzt werden ^1,2. Lässt sich die Ausnahme nicht belegen, wird die Verletzung der zuständigen Behörde gemeldet und die Information der Betroffenen bei hohem Risiko separat geprüft.

Die dritte Kategorie ist keine Dauerlösung: Wenn die Schwelle erreicht ist, wartet der Betrieb nicht auf perfekte Zahlen. Kann das Risiko innerhalb der Frist nicht verlässlich ausgeschlossen werden, darf Unsicherheit nicht still wie „kein Risiko“ behandelt werden.

Eine zweite befugte Person prüft die Entscheidung, sofern die Zeit dies zulässt. Sie liest nicht nur das Ergebnis, sondern die Datenarten, Personengruppen, Folgenannahmen und Schutzbelege. Meinungsunterschiede werden in der Akte aufgelöst oder sichtbar eskaliert.

Die Freigabe enthält eine kurze Gegenprobe: Welche konkrete Tatsache müsste falsch sein, damit das Ergebnis kippt? Ist diese Tatsache noch offen, bekommt sie Vorrang in der Ermittlung. So konzentriert der Betrieb knappe Zeit auf die Unsicherheit, die tatsächlich zwischen Meldung und Nichtmeldung entscheidet.

Die Entscheidung benennt zudem den aktuellen Meldeweg und die zuständige oder federführende Behörde. „Noch offen“ erhält eine Uhrzeit für die nächste Entscheidung; es darf weder den Zeitpunkt der Kenntniserlangung verschieben noch still zu „nicht melden“ werden.

Aus einer Chronologie eine gestufte Meldung bauen

Die erste Behörden-Meldung wird aus dem laufenden Incident-Datensatz erstellt, nicht in einem getrennten Dokument neu erfunden. So bleiben Zeitangaben, Kategorien und Schätzungen konsistent. Artikel 33 nennt die erforderlichen Informationen und erlaubt eine schrittweise Bereitstellung, wenn nicht alles gleichzeitig verfügbar ist ^1,2.

Maßnahmen zur Eindämmung und Minderung werden ebenfalls beschrieben, während bekannte Tatsachen, Schätzungen und offene Fragen sprachlich getrennt bleiben. „Etwa 1.000 Datensätze laut Exportprotokoll, Prüfung läuft“ ist ehrlicher und nützlicher als eine unbelegte Endzahl.

Fehlende Angaben werden ohne weitere unangemessene Verzögerung nachgereicht. Der Betrieb nennt in der ersten Meldung, was noch geprüft wird und wann das nächste Update erwartet wird. Eine fortlaufende Fallnummer und ein einziger Eigentümer verhindern widersprüchliche Parallelmeldungen. Derselbe Datensatz unterscheidet neue Meldung und Folgemeldung sowie vollständige und unvollständige Angaben. Eine Rücknahme erhält Grund und Belege; weder Folgemeldung noch Rücknahme setzen Kenntniserlangung, 72-Stunden-Berechnung oder Risikoprüfung neu an.

Jeder Statuswechsel trägt Zeitpunkt, Freigabe und Bezug zur vorherigen Fassung. Eine Folgemeldung ersetzt nicht kommentarlos die Erstmeldung, sondern kennzeichnet neue Tatsachen und korrigierte Schätzungen. Bei einer Rücknahme bleibt erkennbar, welche Annahme entfallen ist und weshalb die rechtliche Bewertung nun anders ausfällt.

Erfolgt die Meldung später als 72 Stunden nach Kenntniserlangung, werden die Verzögerungsgründe mitgeteilt ^1,2. Die Akte zeigt deshalb nicht nur, wann gesendet wurde, sondern welche Entscheidungen und Hindernisse zwischen Kenntniserlangung und Meldung lagen.

Die gestufte Arbeitsweise benötigt Versionskontrolle. Jede Meldung enthält Stand, verantwortliche Kontaktstelle und Bezug zur vorherigen Fassung. Korrigierte Zahlen werden nicht kommentarlos überschrieben, sondern mit der neuen Quelle erläutert. Dadurch kann die zuständige Landesdatenschutzaufsichtsbehörde die Entwicklung des Sachverhalts verstehen, und der Betrieb vermeidet den Eindruck widersprüchlicher Parallelberichte.

Vor dem Versand prüft eine zweite Person Namen, Zeitstempel, Zahlenbereiche und Kontaktweg. Diese Prüfung darf die Meldung nicht blockieren, verhindert aber leicht vermeidbare Fehler, etwa ein Zeitpunkt der Kenntniserlangung im falschen Zeitzonenformat oder eine Schätzung ohne Kennzeichnung. Die finale Kopie wird unverändert zur Chronologie genommen.

Die Entscheidung über Betroffeneninformation getrennt treffen

Eine Behörden-Meldung und die direkte Information betroffener Personen sind zwei getrennte Schwellen, denn Personen werden grundsätzlich informiert, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten verursacht ¹. Ein meldepflichtiger Vorfall löst daher nicht automatisch dieselbe Kommunikation aus.

Die Nachricht soll Menschen helfen, nicht nur den Betrieb absichern. Sie beschreibt die Art der Verletzung in klarer Sprache, nennt Kontaktstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Praktische Hinweise können Passwortwechsel, Kontobeobachtung oder besondere Vorsicht vor gezielten Nachrichten umfassen, wenn diese Schritte zum konkreten Risiko passen.

Zeitpunkt und Inhalt dürfen die Eindämmung nicht unnötig gefährden, doch bloße Sorge vor negativer Aufmerksamkeit rechtfertigt kein Zurückhalten. Wenn individuelle Benachrichtigung unverhältnismäßig aufwendig wäre, gelten nur die gesetzlich vorgesehenen Alternativen und Voraussetzungen.

Der Betrieb koordiniert Support und Kommunikation vor dem Versand. Mitarbeitende erhalten Antworten auf erwartbare Fragen, ohne neue unbestätigte Details zu erfinden. Updates werden über denselben verifizierbaren Kanal veröffentlicht.

Die Kommunikation berücksichtigt erreichbare Formate und Sprachen der betroffenen Gruppe. Sie versteckt wesentliche Risiken nicht in allgemeinen Sicherheitshinweisen. Gibt es noch Unsicherheit, wird sie klar benannt, ohne Spekulation als Tatsache auszugeben. Ein eigener Kontaktweg verhindert, dass Rückfragen im normalen Support untergehen.

Vier Alltagsfälle durch die Schwelle führen

Eine falsch adressierte Rechnung an einen bekannten Kunden enthält Name, Anschrift und gewöhnliche Kaufdetails einer anderen Person. Der Empfänger bestätigt sofortige Löschung, die Beziehung ist vertrauenswürdig, und es gibt keine Anzeichen für Kopien. Unter diesen eng beschriebenen Tatsachen kann ein Risiko als unwahrscheinlich beurteilt und auf eine Behörden-Meldung verzichtet werden; die Begründung bleibt dennoch vollständig dokumentiert.

Ein unverschlüsselter Laptop mit Gehalts- und Bankdaten wird in einem Zug verloren. Gerät und Daten sind zugänglich, Empfänger unbekannt, mögliche Folgen erheblich. Eine Behörden-Meldung ist naheliegend; wegen möglicher finanzieller Schäden wird zusätzlich die hohe Risikoschwelle für Betroffeneninformation geprüft.

Ein Produktionssystem ist kurzzeitig nicht verfügbar, aber redundante Systeme halten einen medizinisch relevanten Dienst ohne Verzögerung aufrecht. Eine Verletzung der Verfügbarkeit kann vorliegen; wenn Versorgung, Datenintegrität und Zugriff der Befugten nachweislich unbeeinträchtigt bleiben, kann das Risiko für Menschen unwahrscheinlich sein. Technischer Ernst allein ersetzt den gesetzlichen Test nicht.

Ein externer Lohnabrechner meldet kompromittierte Zugangsdaten, kann aber noch nicht sagen, ob Beschäftigtendaten eingesehen wurden. Der Arbeitgeber fordert sofort Logs und Umfang an, setzt Kontrollen durch und hält eine gestufte Meldung bereit. Zeigen die verfügbaren Fakten vor Fristablauf einen realistischen Zugriff auf Lohn- und Bankdaten, meldet er mit den bekannten Angaben, statt auf den Abschlussbericht des Dienstleisters zu warten.

Diese Fälle haben keine Ein-Wort-Antwort. Jeder führt vom Sachverhalt über Daten und Menschen zu Folgen, Schutz und Entscheidung. Wer nur „gestohlen“, „gelöscht“ oder „zurückgerufen“ sieht, überspringt die gesetzlich relevante Verbindung.

Der Nutzen der Fallarbeit liegt im Vergleich, denn derselbe Versandfehler kann bei einer gewöhnlichen Lieferadresse und bei einer vertraulichen Gesundheitsangabe zu unterschiedlichen Entscheidungen führen, während dasselbe technische Ereignis wegen starker Verschlüsselung ein anderes Risiko tragen kann. Vorlagen sollten deshalb Fragen standardisieren, nicht Ergebnisse.

Nichtmelden ebenso sorgfältig dokumentieren

Ein nicht gemeldeter Vorfall braucht einen vollständigen Datensatz. Gerade hier gibt es keine externe Meldung, an der spätere Prüfer die damalige Entscheidung ablesen könnten. Artikel 33 verlangt die Dokumentation von Fakten, Auswirkungen und Abhilfemaßnahmen ^1,2.

Der Datensatz nennt offene Annahmen und spätere Erkenntnisse; wird nach Abschluss ein weiterer Empfänger entdeckt, öffnet der Betrieb die Bewertung erneut. „Geschlossen“ darf keine technische Sperre gegen bessere Informationen sein.

Auch Beinahe-Fälle können getrennt erfasst werden, obwohl keine Verletzung eingetreten ist. Sie dürfen jedoch nicht mit echten, nicht gemeldeten Verletzungen vermischt werden. Die Unterscheidung hält Kennzahlen und Lernmaßnahmen aussagekräftig.

Nach der Entscheidung werden Ursachen und Kontrollen bearbeitet. Eine zurückgerufene E-Mail kann eine Empfängerwarnung, ein Vier-Augen-Prinzip oder eine geänderte Exportberechtigung auslösen. Der Eigentümer verfolgt die Maßnahme bis zum Nachweis ihrer Umsetzung.

Nach einer Behörden-Meldung beginnt die nächste Arbeitsphase

Eine Meldung ist keine automatische Sanktion und kein Abschluss, denn die zuständige Landesdatenschutzaufsichtsbehörde kann Rückfragen stellen, weitere Informationen verlangen oder die ergriffenen Maßnahmen bewerten ³. Der Betrieb hält Kontaktperson, Fallnummer und gesendete Fassungen kontrolliert zusammen.

Parallel wird weiter eingedämmt. Zugangsdaten werden ersetzt, falsche Freigaben geschlossen, Empfänger kontaktiert und betroffene Systeme überwacht. Jede Maßnahme erhält Verantwortlichen, Frist und Nachweis. Die Meldung darf nicht zum Ersatz für tatsächliche Risikoreduzierung werden.

Neue Erkenntnisse fließen in Updates; ändern sich Betroffenenzahl, Datenart oder wahrscheinliche Folgen wesentlich, prüft der Betrieb auch die Kommunikation an Personen erneut. Interne und externe Aussagen werden auf Widersprüche kontrolliert.

Nach Stabilisierung folgt eine sachliche Ursachenanalyse. Sie trennt unmittelbaren Fehler, beitragende Bedingungen und fehlende Kontrollen. „Menschliches Versagen“ ist keine ausreichende Wurzelursache, wenn unklare Prozesse, weitreichende Berechtigungen oder fehlende Prüfungen den Fehler erst wirksam machten.

Die Nachbereitung endet erst, wenn Maßnahmen umgesetzt und getestet sind; Schulung kann dazugehören, ersetzt aber keine technische oder organisatorische Kontrolle. Ein falsch adressierter Export braucht vielleicht Empfängerbeschränkung und Freigabe, nicht nur eine Erinnerung, vorsichtiger zu sein.

Geschäftsführung erhält eine kurze, entscheidungsfähige Zusammenfassung: Auswirkungen auf Menschen, Melde- und Kommunikationsentscheidungen, offene Risiken, Maßnahmen, Eigentümer und Termine. Sensible Details bleiben auf den notwendigen Kreis begrenzt.

Rückfragen der zuständigen Landesdatenschutzaufsichtsbehörde werden in derselben Akte verwaltet, und jede Anfrage erhält Verantwortlichen, Frist, Informationsquelle sowie freigegebene Antwort. Wenn eine Zahl nur geschätzt werden kann, bleibt die Methode sichtbar; mündliche Gespräche werden unmittelbar protokolliert, damit spätere Teams nicht von Erinnerung oder einzelnen Mailboxen abhängig sind.

Die Beweissicherung endet nicht mit der Meldung. Logs können rotieren, Geräte neu aufgesetzt und Benutzerkonten gelöscht werden, obwohl Ursachen- und Risikoprüfung noch laufen. Eine zeitlich begrenzte Erhaltungsanweisung benennt konkrete Quellen, Verantwortliche und Aufhebungsentscheidung, ohne pauschal sämtliche Unternehmensdaten unbegrenzt einzufrieren.

Maßnahmen werden nach Wirkung priorisiert: Das Schließen eines exponierten Zugangs kann sofort Risiko senken, während eine allgemeine Richtlinienüberarbeitung länger benötigt und den laufenden Fall nicht schützt. Der Plan trennt Sofortkontrolle, dauerhafte technische Änderung und organisatorische Verbesserung, damit ein langfristiges Projekt keine dringende Lücke verdeckt.

Nach Umsetzung folgt ein Wirksamkeitstest. Eine neue Empfängerwarnung wird mit einem kontrollierten Szenario geprüft, Berechtigungsänderungen werden aus Sicht eines gewöhnlichen Nutzers verifiziert, und Alarmwege werden außerhalb der Bürozeit getestet. Ein bloßer Status „erledigt“ beweist nicht, dass dieselbe Verletzung jetzt verhindert oder früher erkannt würde.

Der Abschlussbericht hält außerdem fest, welche Information für die Meldeschwelle am schwersten zu beschaffen war; fehlten Dateninventar, Dienstleisterkontakt oder verlässliche Logs, wird genau diese Lücke einem Eigentümer und Termin zugewiesen. So verbessert der Fall die nächste 72-Stunden-Entscheidung an ihrem tatsächlichen Engpass.

Schließlich wird das Incident-Verfahren selbst geprüft: Waren Meldelinien schnell genug, konnte der Zeitpunkt der Kenntniserlangung bestimmt werden, und lagen Datenquellen sowie Kontaktlisten vor? Die Antworten verbessern Vorlagen, Rollen und Übungen vor dem nächsten Vorfall.

Ein guter Prozess endet weder mit „gemeldet“ noch mit „nicht gemeldet“. Er endet mit einer belegten Risikentscheidung, kontrollierter Kommunikation, wirksamer Eindämmung und einer nachweisbar verbesserten Schutzmaßnahme.