So läuft es heute im Ernstfall
Der Ablauf beginnt fast immer gleich. Eine Mitarbeiterin aus dem Vertrieb ruft an: Sie habe eine Angebotsmappe mit Kundendaten an den falschen Verteiler geschickt. Die IT erwähnt im Wochenmeeting nebenbei, dass ein Notebook aus einem Auto gestohlen wurde. Oder eine Kundin schreibt an das allgemeine Postfach, sie habe in einem Serienmailing die Adressen von zweihundert weiteren Empfängern gesehen.
Die Datenschutzbeauftragte oder der Datenschutzbeauftragte nimmt den Sachverhalt auf – im Telefonat, auf einem Notizzettel, in einer Mail an sich selbst. Danach beginnt die Klärung: Was genau ist passiert, wann, welche Datenkategorien, wie viele Personen, welches System? Die Antworten kommen über zwei Tage verteilt zurück, per Mail, im Chat und auf dem Flur. Am Ende entsteht eine Zeile in „Vorfaelle_2026.xlsx": Datum, kurze Beschreibung, in der Spalte „gemeldet" der Eintrag „nein". Angefasst wird die Datei danach einmal im Jahr, wenn der Bericht ansteht.
Das ist keine Nachlässigkeit. Es ist der Normalzustand in Unternehmen, die bisher keinen größeren Vorfall hatten. Für zwei Ereignisse im Jahr trägt dieser Weg. Er trägt genau so lange, wie niemand nachrechnet, wann die Frist eigentlich begonnen hat.
Denn parallel zur Klärung läuft eine Uhr. Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden – ab dem Zeitpunkt, zu dem die verantwortliche Stelle Kenntnis von der Verletzung erlangt. Verantwortliche Stelle ist das Unternehmen, nicht die Datenschutzabteilung. Die Vertriebsmitarbeiterin, die den Fehlversand bemerkt, gehört dazu. Überlegt sie zwei Tage, wen sie ansprechen soll, ist der größere Teil der Frist verbraucht, bevor der Datenschutz das erste Wort davon hört.
Dazu kommt, was in der Tabelle nicht steht. Welche Sofortmaßnahmen wurden ergriffen – wurde der Verteiler gesperrt, das Notebook aus der Ferne gelöscht, das Passwort zurückgesetzt? Wer hat entschieden, dass nicht gemeldet wird, und mit welcher Begründung? Wurde geprüft, ob die betroffenen Personen nach Art. 34 DSGVO zu benachrichtigen sind? Diese Angaben existieren als Erinnerung einzelner Beteiligter, nicht als Dokument.
Der Moment, in dem es auffällt
Sichtbar wird das selten im Alltag. Es wird sichtbar, wenn ein Kunde im Rahmen einer Lieferantenprüfung nach dem Vorfallmanagement fragt, wenn eine Aufsichtsbehörde einen gemeldeten Fall aufgreift und den Bearbeitungsverlauf sehen will, oder wenn die zuständige Person das Unternehmen verlässt. Die Frage lautet dann nicht „Hatten Sie Vorfälle?", sondern „Wann hatten Sie Kenntnis, wer hat wann was entschieden, und wo steht die Begründung?"
Auf diese Frage hat eine Vorfallliste keine Antwort. Nicht, weil sie schlecht geführt wäre, sondern weil sie über Zeitpunkte, Entscheidungen und Verantwortlichkeiten strukturell nichts weiß.
Die Analyse
Fünf Lücken, die der informelle Meldeweg erzeugt
Sie entstehen nicht durch mangelnde Sorgfalt, sondern dadurch, dass der Ablauf erst im Ernstfall erfunden wird – unter Zeitdruck und mit unvollständigen Informationen.
Auskünfte und Vorfälle in preeco ansehenDie Frist läuft früher, als alle annehmen
Die 72 Stunden beginnen mit der Kenntnis der verantwortlichen Stelle, nicht mit der Kenntnis des Datenschutzes. Was ein Beschäftigter am Montag bemerkt und am Mittwoch weitergibt, hat die Frist bereits zu zwei Dritteln aufgebraucht. Ohne festgehaltenen Zeitpunkt der Kenntnis lässt sich später nicht einmal belegen, ob fristgerecht gemeldet wurde.
Mitarbeitende wissen nicht, wohin sie melden
Es gibt keine Adresse, kein Formular und keinen Satz im Onboarding, der die Frage beantwortet. Also fragt die Belegschaft zuerst die eigene Führungskraft, dann die IT, und irgendwann landet der Fall beim Datenschutz. Jede dieser Stationen kostet Stunden, in denen die Frist bereits läuft.
Die Meldeentscheidung wird nicht begründet
In der Tabelle steht „nein" – aber nicht, warum. Dabei sind nach Art. 33 Abs. 5 DSGVO alle Verletzungen zu dokumentieren, auch die nicht gemeldeten, samt Auswirkungen und ergriffenen Abhilfemaßnahmen. Genau diese Dokumentation ist der Nachweis dafür, dass überhaupt bewertet wurde.
Die Benachrichtigung Betroffener wird übersehen
Die Aufmerksamkeit richtet sich auf die Aufsichtsbehörde. Dass bei voraussichtlich hohem Risiko zusätzlich die betroffenen Personen nach Art. 34 DSGVO zu informieren sind, fällt im Ablauf hinten herunter. Fällt es erst Wochen später auf, ist aus einem beherrschbaren Vorfall ein zweiter geworden.
Maßnahmen und Auswertung verschwinden
Was unmittelbar nach dem Vorfall veranlasst wurde, steht in einem Mailverlauf, nicht in einem Dokument mit Verantwortlichen und Terminen. Und weil die Vorfallliste nur einmal jährlich geöffnet wird, taucht kein Muster auf: dass dreimal derselbe Verteiler betroffen war, sieht niemand.
Der Soll-Prozess in sechs Schritten
Ein belastbares Vorfallmanagement unterscheidet sich vom Notizzettel nicht durch mehr Aufwand, sondern durch einen Ablauf, der vor dem Ernstfall feststeht. Diese sechs Schritte beschreiben ihn – unabhängig davon, mit welchem Werkzeug Sie arbeiten.
1. Einen Meldeweg schaffen, den alle kennen. Ein Formular im Intranet, verlinkt aus dem Onboarding und aus der Schulung, erreichbar ohne Anmeldung. Die Hürde muss niedriger sein als die Überlegung, ob es sich überhaupt um einen Vorfall handelt. Diese Bewertung ist nicht die Aufgabe der meldenden Person – ihre Aufgabe ist, den Fall in die richtige Stelle zu bringen. Zehn Meldungen zu viel sind besser als eine zu spät.
2. Den Zeitpunkt der Kenntnis festhalten. Sobald eine Meldung eingeht, entsteht ein Datensatz mit Zeitstempel. Erfasst wird dabei nicht nur, wann der Datenschutz informiert wurde, sondern auch, wann die meldende Person den Sachverhalt bemerkt hat. Aus diesen beiden Angaben ergibt sich der tatsächliche Fristbeginn.
3. Den Sachverhalt strukturiert erfassen. Kategorie, Schweregrad, betroffene Datenkategorien, Anzahl der betroffenen Personen, Ursache, Zeitraum. Sind Vorfall, Verarbeitungstätigkeit und eingesetztes System miteinander verknüpft, ergeben sich Datenkategorien und Empfänger aus dem Verzeichnis, statt erneut zusammengetragen zu werden.
4. Das Risiko bewerten statt zu schätzen. Eintrittswahrscheinlichkeit und Schadenshöhe werden getrennt beurteilt und in einer Risikomatrix sichtbar gemacht. Diese Bewertung ist nicht Selbstzweck: Sie trägt beide Folgeentscheidungen – die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen.
5. Die Meldeentscheidung dokumentieren, auch das Nein. Zu jedem Vorfall gehört ein eindeutiger Fristenstatus und eine Begründung: fristgerecht gemeldet, verspätet gemeldet mit Erläuterung der Verzögerung, oder nicht meldepflichtig mit der Bewertung, die dazu geführt hat. Für die Meldungen selbst stehen Vorlagen bereit – Erst-, Folge- und Abschlussmeldung an die Aufsichtsbehörde, die Benachrichtigung betroffener Personen nach Art. 34 DSGVO und die Meldung an den Verantwortlichen durch einen Auftragsverarbeiter.
6. Maßnahmen, Lessons Learned und Auswertung. Jede Sofort- und Folgemaßnahme bekommt eine verantwortliche Person und einen Termin. Der Vorfall wird nicht geschlossen, weil die Aufregung vorbei ist, sondern wenn die Maßnahmen umgesetzt sind. Was gelernt wurde, wird am Fall festgehalten und fließt in das regelmäßige Reporting ein.
Warum die Vorbereitung mehr zählt als die Reaktionsgeschwindigkeit
Der Reflex im Ernstfall ist Tempo. Tatsächlich lässt sich in den ersten Stunden wenig beschleunigen: Der Sachverhalt muss geklärt, das Risiko beurteilt und die Entscheidung getroffen werden – das dauert, wie es dauert. Schneller wird nur, was vorher geregelt war. Kennt die Belegschaft den Meldeweg, erreicht der Fall die richtige Stelle in Minuten statt in Tagen. Liegen Vorlagen und Bewertungsschema bereit, entsteht die Meldung an einem Nachmittag statt über ein Wochenende. Sind Verarbeitungstätigkeiten und Systeme gepflegt, ist die Frage nach Datenkategorien und Empfängern eine Abfrage und keine Recherche. Wer diese Grundlagen erst im Vorfall schafft, verliert genau die Zeit, die die Frist ihm nicht lässt.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Anruf und Vorfallliste | Nachher: strukturierter Vorfallprozess |
|---|---|---|
| Meldeweg | Jeder fragt zuerst jemand anderen | Ein bekanntes Formular für alle Beschäftigten |
| Fristbeginn | Unbekannt, weil nicht festgehalten | Zeitstempel ab Kenntnis, Frist läuft sichtbar |
| Erfassung | Freitext aus Telefonat und Mailverlauf | Strukturierte Felder mit Kategorie und Schweregrad |
| Risikobewertung | Bauchgefühl im Einzelfall | Eintrittswahrscheinlichkeit und Schadenshöhe in der Risikomatrix |
| Meldeentscheidung | Spalte mit „ja" oder „nein" | Fristenstatus mit dokumentierter Begründung, auch bei Nichtmeldung |
| Betroffenenbenachrichtigung | Wird im Ablauf leicht übersehen | Eigener Prüfschritt nach Art. 34 DSGVO mit Vorlage |
| Maßnahmen | Im Mailverlauf verstreut | Am Vorfall dokumentiert, mit Verantwortlichen und Terminen |
| Reporting und Nachweis | Tabelle, einmal jährlich geöffnet | Aktivitätenprotokoll und Statusbericht auf Knopfdruck |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Ablauf tragen.
Auskünfte und Vorfälle
Strukturierte Erfassung der Datenschutzverletzung, automatisch überwachte 72-Stunden-Frist und ein eindeutiger Meldefrist-Status je Meldung – mit dokumentierter Begründung bei Fristversäumnis. Meldeformulare für Website und Intranet nehmen Hinweise direkt entgegen, neun einsatzbereite Vorlagen decken die Meldungen nach Art. 33 und Art. 34 DSGVO ab.
Risikoanalyse und Folgenabschätzungen
Die grafische Risikokartierung stellt Eintrittswahrscheinlichkeit und Schadenshöhe in einer Matrix dar und macht die Bewertung nachvollziehbar. Maßnahmen zur Risikoreduzierung werden mit Verantwortlichen und Fristen erfasst.
Reporting und Aktivitäten
Das automatische Aktivitätenprotokoll dokumentiert jeden Bearbeitungsschritt mit Zeitstempel und Benutzer. Statusberichte und wiederkehrende Berichte machen Vorfälle im Jahresbericht sichtbar, Benachrichtigungen erinnern an fällige Fristen.
Was der Umstieg praktisch bedeutet
Der Aufwand liegt nicht in der Technik, sondern in zwei Festlegungen. Die erste: Wohin melden Beschäftigte, und wie erfahren sie davon? Ein Formular ist in einer Stunde eingerichtet; dass alle es kennen, entsteht über Onboarding, Schulung und eine Erwähnung in der Betriebsversammlung. Die zweite: Wer entscheidet über die Meldung, und wer vertritt diese Person im Urlaub? Ein Vorfallprozess, der an einer einzigen Person hängt, ist an drei Wochen im Jahr kein Prozess.
Bestehende Vorfälle aus der Tabelle rückwirkend zu übertragen, ist meist nicht nötig. Sinnvoll ist, den letzten dokumentierten Fall einmal durch den neuen Ablauf zu führen – als Probe, nicht als Migration. Dabei zeigt sich schnell, welche Angaben bisher gefehlt haben.
Drei Fehler, die den Prozess wirkungslos machen
Den Meldeweg nur beim Datenschutz bekannt machen. Wenn die Belegschaft nicht weiß, dass es ihn gibt, ändert sich am Fristbeginn nichts. Der Meldeweg gehört dorthin, wo Beschäftigte im Zweifel zuerst suchen.
Die Bewertung an die meldende Person delegieren. Wer erst prüfen soll, ob etwas meldepflichtig ist, meldet im Zweifel gar nicht. Gemeldet wird der Sachverhalt, bewertet wird er von der zuständigen Stelle.
Den Vorfall mit der Meldung abschließen. Die Meldung ist ein Zwischenschritt. Offen bleiben Maßnahmen, Nachmeldung und Auswertung – und genau danach wird im Audit gefragt.
Woran Sie erkennen, dass es Zeit ist
Ein Notizzettel und eine Tabelle sind kein Fehler. Sie werden zum Risiko, sobald einer dieser Punkte zutrifft:
- Sie können bei keinem Ihrer Vorfälle belegen, wann die Kenntnis eingetreten ist.
- Beschäftigte außerhalb des Datenschutzes können den Meldeweg nicht benennen.
- Zu nicht gemeldeten Vorfällen gibt es keine schriftliche Begründung.
- Die Prüfung nach Art. 34 DSGVO ist in Ihrem Ablauf kein eigener Schritt.
- Sofortmaßnahmen stehen nur in Mails, nicht am Vorfall.
Trifft davon nichts zu, ist Ihr Verfahren tragfähig. Trifft davon zwei oder mehr zu, entscheidet im Ernstfall der Zufall.
FAQ
Häufige Fragen zum Datenschutzvorfall
Mit der Kenntnis der verantwortlichen Stelle – also des Unternehmens, nicht der Datenschutzabteilung. Bemerkt eine Beschäftigte im Rahmen ihrer Tätigkeit eine Datenschutzverletzung, wird diese Kenntnis dem Verantwortlichen zugerechnet. Die Meldung hat unverzüglich und möglichst binnen 72 Stunden zu erfolgen; erfolgt sie später, ist der Meldung eine Begründung für die Verzögerung beizufügen. Praktisch heißt das: Der interne Meldeweg entscheidet darüber, wie viel von der Frist überhaupt zur Bearbeitung übrig bleibt.
Nein. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Einschätzung müssen Sie allerdings treffen, begründen und festhalten – die Bewertung selbst ist nicht optional, nur ihr Ergebnis ist offen. Ein strukturierter Prozess unterscheidet deshalb sauber zwischen „nicht meldepflichtig" und „nicht bewertet".
Nach Art. 34 DSGVO dann, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Die Benachrichtigung muss unverzüglich erfolgen und die Art der Verletzung in klarer, einfacher Sprache beschreiben. Ausnahmen sieht Art. 34 Abs. 3 DSGVO vor, etwa wenn die Daten wirksam verschlüsselt waren oder nachträgliche Maßnahmen das hohe Risiko beseitigt haben. Die Prüfung dieser Frage gehört als eigener Schritt in den Ablauf, sonst geht sie zwischen Sachverhaltsklärung und Behördenmeldung unter.
Genauso sorgfältig wie einen gemeldeten. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation aller Verletzungen des Schutzes personenbezogener Daten – einschließlich der Fakten, der Auswirkungen und der ergriffenen Abhilfemaßnahmen. Bei einer Nichtmeldung ist zusätzlich die Bewertung festzuhalten, die zu dieser Entscheidung geführt hat. Diese Dokumentation dient der Aufsichtsbehörde als Nachweis, dass der Vorfall erkannt und beurteilt wurde.
Alle Beschäftigten – und genau das ist der Punkt. Da die Frist mit der Kenntnis im Unternehmen beginnt, muss die interne Meldung so niedrigschwellig wie möglich sein: eine bekannte Adresse oder ein Formular in Website oder Intranet, ohne vorherige Prüfung, ob es sich wirklich um einen meldepflichtigen Fall handelt. Die datenschutzrechtliche Bewertung trifft anschließend die zuständige Stelle, nicht die meldende Person.
Ihren Vorfallprozess einmal durchspielen
Bringen Sie einen realen Fall aus Ihrem Unternehmen mit. In 30 Minuten gehen wir Meldeweg, Fristbeginn und Dokumentation gemeinsam durch.