Datenschutz SOS: Ruhe bewahren, richtig handeln
Ransomware-Angriff, Mail an den falschen Empfänger oder Post von der Aufsichtsbehörde: Bei einem Datenschutzvorfall entscheiden die ersten Schritte. Wählen Sie Ihr Szenario – oder sprechen Sie direkt mit uns.
🔒 Zertifizierte Datenschutzbeauftragte · 🏋️ DSSV-Fördermitglied · 🛡️ CDPSE® · 🔍 CISA® · 📋 CIA® · 🧾 CPA · 🕵️ CFE®
Was ist passiert?
Wählen Sie das Szenario, das am besten passt. Sie sehen sofort, was jetzt zu tun ist, was Sie besser lassen und wie wir Sie unterstützen.
Ransomware-Angriff
Systeme sind verschlüsselt, Daten gesperrt oder abgeflossen.
Unbeabsichtigte Datenveröffentlichung
Personenbezogene Daten waren online oder öffentlich zugänglich.
Mail an falschen Adressaten
Eine Nachricht oder ein Anhang ging an die falsche Person.
Brief von der Datenschutzbehörde
Die Aufsichtsbehörde verlangt eine Stellungnahme oder hat entschieden.
Datenschutz-Beschwerde
Eine betroffene Person beschwert sich bei Ihnen oder bei der Behörde.
Auskunftsersuchen nach Art. 15 DSGVO
Jemand möchte wissen, welche Daten Sie über ihn speichern.
Fünf Regeln für jeden Ernstfall
Egal, was passiert ist: Mit diesen fünf Schritten behalten Sie den Überblick. Nach Art. 33 DSGVO müssen Sie eine meldepflichtige Datenpanne unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde melden.
Überblick gewinnen
Nicht überstürzt handeln. Verschaffen Sie sich mit einer sorgfältigen Bestandsaufnahme ein klares Bild von Umständen und Ausmaß.
Kenntnis dokumentieren
Halten Sie fest, wann und wie Sie den Vorfall bemerkt haben. Ab hier läuft die Frist.
Schaden begrenzen
Gegenmaßnahmen kommen vor der Meldung: Zugriffe sperren, Systeme trennen, Empfänger kontaktieren. Oberste Priorität ist, Schaden von den Betroffenen abzuwenden.
Meldepflicht prüfen
Das Risiko für die Betroffenen entscheidet über die Meldung an die Aufsichtsbehörde (Art. 33) und die Benachrichtigung der Betroffenen (Art. 34).
Expertise einbinden
Datenschutzbeauftragten informieren und alle Schritte schriftlich festhalten.
Ransomware-Angriff: Systeme verschlüsselt, Daten gesperrt
Ein Ransomware-Angriff ist in aller Regel eine Datenschutzverletzung nach Art. 4 Nr. 12 DSGVO: Daten sind nicht mehr verfügbar oder abgeflossen. Ob Sie melden müssen, hängt vom Risiko für die Betroffenen ab. Die Frist von 72 Stunden läuft ab Kenntnis.
- 1Betroffene Geräte vom Netzwerk trennen, aber nicht herunterfahren oder neu aufsetzen, damit Spuren erhalten bleiben.
- 2Geschäftsführung, IT und Datenschutzbeauftragten informieren und den Zeitpunkt der Kenntnis schriftlich festhalten.
- 3Backups sichern und prüfen, ob sie unversehrt sind, bevor Sie etwas wieder einspielen.
- 4Prüfen, welche personenbezogenen Daten betroffen sein können, und die Meldung an die Aufsichtsbehörde vorbereiten (Art. 33 DSGVO).
- ×Ohne Abstimmung Lösegeld zahlen oder mit den Tätern verhandeln.
- ×Systeme neu aufsetzen, bevor die Ursache geklärt und gesichert ist.
- ×Den Vorfall intern oder gegenüber der Behörde kleinreden.
Wir bewerten gemeinsam mit Ihnen, ob eine Meldung nötig ist, bereiten sie vor und dokumentieren den Vorfall nach Art. 33 Abs. 5 DSGVO. Für die technische Aufarbeitung bieten wir IT-Forensik auf Anfrage an. Danach prüfen wir mit einem Pen-Test, ob die Schwachstelle geschlossen ist.
Unbeabsichtigte Datenveröffentlichung: Daten waren öffentlich einsehbar
Ob falsches Dokument auf der Website, offener Cloud-Link oder Beitrag in sozialen Medien: Sobald Unbefugte personenbezogene Daten einsehen konnten, liegt eine Datenschutzverletzung vor. Entscheidend sind schnelles Sperren und eine saubere Dokumentation.
- 1Veröffentlichung entfernen oder Zugriff sperren, zum Beispiel den Freigabelink deaktivieren.
- 2Vorher Screenshots sichern: Was war sichtbar, seit wann und wie oft wurde es abgerufen?
- 3Bei Suchmaschinen die Löschung zwischengespeicherter Inhalte beantragen.
- 4Betroffene Personen und Datenarten feststellen. Meldung an die Aufsichtsbehörde (Art. 33) und Benachrichtigung der Betroffenen bei hohem Risiko (Art. 34) prüfen.
- ×Den Inhalt kommentarlos löschen, ohne den Ablauf zu dokumentieren.
- ×Annehmen, dass es schon niemand gesehen hat.
- ×Betroffene erst informieren, wenn sie selbst darauf stoßen.
Wir schätzen das Risiko ein, entscheiden mit Ihnen über Meldung und Benachrichtigung und formulieren die Schreiben an Behörde und Betroffene. Die Benachrichtigung der Betroffenen muss verständlich sein und mindestens die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen nennen. Danach klären wir, wie es zur Veröffentlichung kam, und schließen die Lücke im Prozess, zum Beispiel mit Freigabe- und Vier-Augen-Regeln.
Mail an den falschen Adressaten: der Klassiker unter den Datenpannen
Eine falsch adressierte Mail ist eine Datenschutzverletzung, aber nicht jede muss gemeldet werden. Entscheidend ist, welche Daten betroffen sind und wer sie erhalten hat. Dokumentieren müssen Sie den Vorfall in jedem Fall.
- 1Den Vorfall sofort intern melden, auch wenn er unangenehm ist. Lieber einmal zu viel als einmal zu wenig.
- 2Die Nachricht zurückrufen, falls möglich, und den Empfänger bitten, die Mail ungelesen zu löschen und das schriftlich zu bestätigen.
- 3Festhalten: Welche Daten und Anhänge, welcher Empfänger (intern, Geschäftspartner, unbekannt)?
- 4Das Risiko bewerten. Gesundheits-, Bank- oder Personaldaten wiegen schwerer als eine Terminbestätigung. Kommt ein falsch adressierter Brief ungeöffnet zurück, ist das Risiko in der Regel gering. Die Entscheidung über eine Meldung dokumentieren (Art. 33 Abs. 5 DSGVO).
- ×Eine Bitte-ignorieren-Mail an einen großen Verteiler schicken.
- ×Den Vorfall nicht melden, weil nichts passiert sei.
- ×Auf die schriftliche Bestätigung des Empfängers verzichten.
Wir ordnen den Vorfall ein und halten die Entscheidung zur Meldung nachvollziehbar fest. Mit einer Datenschutz-Schulung und klaren Regeln für Verteiler, Anhänge und Autovervollständigung sorgen wir dafür, dass sich der Fehler nicht wiederholt.
Brief von der Datenschutzbehörde: nicht liegen lassen
Schreiben der Aufsichtsbehörde sind keine Routinepost. Sie können einen Fragebogen, eine Anhörung, den Hinweis auf eine Beschwerde oder einen Bescheid enthalten. Unternehmen sind zur Zusammenarbeit verpflichtet (Art. 31 DSGVO) und müssen gesetzte Fristen einhalten.
- 1Eingangsdatum und gesetzte Frist notieren. Das Schreiben vollständig an Geschäftsführung und Datenschutzbeauftragten geben.
- 2Klären, worum es geht: Anfrage, Anhörung, Beschwerde oder Bescheid. Bei einem Bescheid gelten Rechtsbehelfsfristen, die im Schreiben genannt sind.
- 3Benötigte Unterlagen zusammentragen, etwa Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Verträge und Nachweise.
- 4Brauchen Sie mehr Zeit, rechtzeitig vor Fristablauf um Verlängerung bitten.
- ×Die Frist verstreichen lassen oder gar nicht antworten.
- ×Dokumente nachträglich ändern oder zurückdatieren.
- ×Ungeprüft Verstöße einräumen oder pauschal alles abstreiten.
Wir sichten das Schreiben, stellen die Unterlagen zusammen und bereiten Ihre Stellungnahme vor. Als externer Datenschutzbeauftragter sind wir Ansprechpartner für die Aufsichtsbehörde (Art. 39 DSGVO). Bei Bußgeldbescheiden helfen wir Ihnen, auch rückwirkend, und sagen Ihnen klar, wann Sie zusätzlich einen Rechtsanwalt hinzuziehen sollten.
Datenschutz-Beschwerde erhalten: sachlich bleiben, fristgerecht reagieren
Betroffene dürfen sich direkt bei Ihnen oder bei der Aufsichtsbehörde beschweren (Art. 77 DSGVO). Eine Beschwerde ist kein Angriff. Sie ist die Chance, den Sachverhalt geradezurücken, bevor daraus ein Verfahren wird.
- 1Die Beschwerde mit Eingangsdatum erfassen und an den Datenschutzbeauftragten weiterleiten.
- 2Sachverhalt klären: Welche Daten, welcher Vorgang, welche Rechtsgrundlage?
- 3Prüfen, ob die Beschwerde ein Betroffenenrecht enthält, etwa Auskunft oder Löschung. Dafür gilt in der Regel eine Frist von einem Monat (Art. 12 Abs. 3 DSGVO).
- 4Sachlich und verständlich antworten, ohne Vorwürfe, und den Ablauf dokumentieren.
- ×Die beschwerdeführende Person abwimmeln oder unter Druck setzen.
- ×Daten in Hektik löschen, die als Nachweis oder für eine Auskunft noch gebraucht werden.
- ×Die Beschwerde liegen lassen, bis die Behörde nachfragt.
Wir prüfen die Beschwerde fachlich, entwerfen die Antwort an die betroffene Person und stimmen uns bei Bedarf mit der Behörde ab. Anschließend beheben wir die Ursache, damit sich der Fall nicht wiederholt.
Auskunftsersuchen nach Art. 15 DSGVO: die Uhr läuft ab Eingang
Jeder Mensch darf wissen, welche Daten Sie über ihn verarbeiten. Sie müssen unverzüglich antworten, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). In komplexen Fällen ist eine Verlängerung um bis zu zwei weitere Monate möglich, wenn Sie das innerhalb der ersten Monatsfrist mitteilen.
- 1Eingang und Fristende notieren, die Anfrage an den Datenschutzbeauftragten weitergeben.
- 2Die Identität mit angemessenem Aufwand prüfen, ohne mehr Daten zu verlangen als nötig.
- 3Daten in allen Systemen zusammentragen: CRM, Mail-Postfächer, Personalakte, Ablage, Backups.
- 4Auskunft vollständig geben: Zwecke, Datenkategorien, Empfänger, Speicherdauer, Herkunft, Betroffenenrechte und eine Kopie der Daten (Art. 15 DSGVO). Beim Schwärzen die Rechte Dritter beachten.
- ×Die Anfrage ignorieren. Ein unbeantwortetes Auskunftsersuchen ist ein häufiger Anlass für Beschwerden und Bußgelder.
- ×Daten löschen, bevor Sie geantwortet haben.
- ×Pauschal antworten, man habe keine Daten, ohne gesucht zu haben.
Wir prüfen den Umfang, strukturieren die Datensuche, formulieren die Auskunft und achten auf Fristen und Rechte Dritter. Mit einem eingerichteten Auskunftsprozess antworten Sie beim nächsten Mal ohne Hektik.
Wie hoch ist das Risiko?
Nicht jeder Datenschutzvorfall muss gemeldet werden. Entscheidend ist das Risiko für die betroffenen Personen. Wir bewerten es in drei Schritten, immer aus deren Sicht: gesundheitliche, finanzielle und soziale Folgen ebenso wie das Recht auf informationelle Selbstbestimmung.
Mögliche Schäden bestimmen
Welche Folgen kann der Vorfall haben? Typisch sind Identitätsdiebstahl, finanzielle Schäden, Rufschädigung oder Diskriminierung.
Wahrscheinlichkeit und Schwere abschätzen
Daten, die im Internet veröffentlicht wurden, werden eher missbraucht als Daten, die nur wenige Personen gesehen haben. Schwerer wiegen besondere Kategorien nach Art. 9 DSGVO, schutzbedürftige Personen wie Kinder, viele Betroffene und umfangreiche Datensätze. Ein Name allein ist eher unkritisch, eine Bankverbindung eher nicht.
Risiko einstufen
Eintrittswahrscheinlichkeit mal Schwere ergibt die Risikostufe. Sie entscheidet, wen Sie informieren müssen.
In der Regel keine Meldung, aber interne Dokumentation (Art. 33 Abs. 5 DSGVO).
Beispiele: Ein verschlüsselter USB-Stick geht verloren, die Daten liegen noch an anderer Stelle vor. Ein falsch adressierter Brief kommt ungeöffnet zurück. Ein Stromausfall verhindert für einige Minuten den Datenzugriff.
Meldung an die Aufsichtsbehörde, unverzüglich und möglichst binnen 72 Stunden nach Kenntnis (Art. 33 DSGVO).
Meldung an die Aufsichtsbehörde und Benachrichtigung der Betroffenen (Art. 34 DSGVO). Je höher das Risiko, desto schneller sollten Sie handeln.
Grundlage ist unsere interne Leitlinie Datenschutzvorfall, geprüft von Marko Diepold (CISA, CDPSE, zertifizierter Datenschutzbeauftragter). Bei Unsicherheit gilt: Sprechen Sie mit Ihrem Datenschutzbeauftragten.
Was gehört in die Meldung an die Behörde?
Eine schnelle, aber bruchstückhafte Meldung hilft niemandem. Nach Art. 33 Abs. 3 DSGVO muss sie mindestens Folgendes enthalten:
- 1Art der Verletzung, zum Beispiel Datenverlust, Diebstahl oder Offenlegung.
- 2Kategorien und ungefähre Zahl der Betroffenen, zum Beispiel Kunden oder Mitarbeitende.
- 3Kategorien und ungefähre Zahl der betroffenen Datensätze.
- 4Name und Kontaktdaten des Datenschutzbeauftragten.
- 5Wahrscheinliche Folgen, zum Beispiel finanzielle Nachteile.
- 6Ergriffene oder geplante Maßnahmen, um den Vorfall zu beheben und die Folgen abzumildern.
Dann melden Sie schrittweise: eine vorläufige Meldung, sobald sich ein aussagekräftiges Bild ergibt, Details per Folgemeldung (Art. 33 Abs. 4 DSGVO). Bereiten Sie sich vorher auf Rückfragen der Behörde vor.
Nach dem Vorfall: aus Fehlern lernen
Ein Restrisiko bleibt in jedem Betrieb. Kehren Sie einen Vorfall nicht unter den Teppich, sondern nutzen Sie ihn, um die Datensicherheit zu verbessern.
- 1Vorfall, Auswirkungen und Gegenmaßnahmen dokumentieren, auch bei geringem Risiko ohne Meldepflicht (Art. 33 Abs. 5 DSGVO).
- 2Erfahrungen auswerten und die Gegenmaßnahmen auf ihre Tauglichkeit prüfen.
- 3Gegenmaßnahmen für vergleichbare Vorfälle festhalten, damit Sie beim nächsten Mal sofort und sicher reagieren.
Datenschutz-Notfall? Melden Sie sich bei uns.
Schildern Sie uns kurz, was passiert ist und wann Sie es bemerkt haben. Wir melden uns umgehend zurück und besprechen die nächsten Schritte. Wenn es eilt, rufen Sie uns direkt an.
Welches Szenario trifft zu? Wann haben Sie den Vorfall bemerkt? Welche Systeme oder Daten sind betroffen? Wer ist Ihr Ansprechpartner? Bitte senden Sie keine Zugangsdaten oder sensiblen Personendaten per Formular oder E-Mail. Die Details klären wir im Gespräch.
Häufige Fragen zu Datenpannen und Betroffenenanfragen
Eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) liegt vor, wenn Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert oder Unbefugten offengelegt werden. Auch ein Ransomware-Angriff oder eine falsch adressierte Mail kann dazu gehören. Es muss weder ein Schaden eingetreten sein, noch muss jemand den Vorfall bemerkt haben. Im Zweifel gehen Sie davon aus, dass ein Vorfall vorliegt.
Nein. Sie müssen eine Datenpanne der Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen (Art. 33 DSGVO). Dokumentieren müssen Sie aber jeden Vorfall.
Solche mit voraussichtlich geringem Risiko für die Betroffenen. Beispiele: Ein verschlüsselter USB-Stick geht verloren, die Daten liegen aber noch an anderer Stelle vor. Ein falsch adressierter Brief kommt ungeöffnet zurück. Ein Stromausfall verhindert für einige Minuten den Datenzugriff. Dokumentieren müssen Sie auch diese Fälle.
Die Meldung soll unverzüglich und nach Möglichkeit binnen 72 Stunden erfolgen, nachdem Ihnen die Verletzung bekannt wurde. Erfolgt sie später, müssen Sie die Verzögerung begründen.
Dann geben Sie eine vorläufige Meldung ab und reichen fehlende Informationen per Folgemeldung nach (Art. 33 Abs. 4 DSGVO). Sorgfalt geht vor Schnelligkeit: Eine bruchstückhafte Meldung hilft auch der Behörde nicht. Je höher das Risiko, desto schneller sollte die Meldung aber erfolgen.
Wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt, etwa bei abgeflossenen Gesundheits- oder Bankdaten (Art. 34 DSGVO).
Unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). In komplexen Fällen kann die Frist um zwei weitere Monate verlängert werden, wenn Sie die betroffene Person innerhalb der ersten Frist darüber informieren.
Das hängt vom Einzelfall und der Aufsichtsbehörde ab. Beispiele aus der Praxis liegen im vierstelligen Bereich. In schweren Fällen sieht die DSGVO Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor (Art. 83 DSGVO).
Nein. Die Hinweise auf dieser Seite geben einen ersten Überblick (Stand: Oktober 2026). Wir begleiten Sie als Datenschutz-Experten und sagen Ihnen, wann Sie zusätzlich einen Rechtsanwalt hinzuziehen sollten.
Besser vorbereitet als überrascht
Wir können Ihnen Ihre Verantwortung nicht abnehmen, aber wir können Ihnen helfen, sie zu tragen. Starten Sie mit einer kostenfreien Erstberatung – bevor der Ernstfall eintritt.