Praxisleitfaden für Unternehmen, Vereine und Behörden in Thüringen

Wenn Sekunden zählen

Eine Datenpanne trifft Unternehmen fast immer unvorbereitet. Plötzlich steht die Frage im Raum: „Was tun jetzt?“ Ob durch menschliches Versehen, technische Störung oder Cyberangriff – der Schaden kann schnell erheblich sein. Dabei geht es nicht nur um Datenverlust, sondern um Vertrauen, Haftungsrisiken und den Ruf des Unternehmens.

Gerade für kleine und mittlere Unternehmen in Thüringen, die oft keine eigene Datenschutzabteilung haben, ist ein klar strukturierter Notfallplan entscheidend. Diese Anleitung zeigt Ihnen Schritt für Schritt, wie Sie im Ernstfall richtig reagieren – pragmatisch, rechtssicher und mit Augenmaß.

Was gilt als Datenpanne?

Die Datenschutz-Grundverordnung (DSGVO) spricht in Art. 4 Nr. 12 von einer „Verletzung des Schutzes personenbezogener Daten“. Das klingt sperrig, umfasst aber im Kern jeden Vorfall, bei dem personenbezogene Daten unbeabsichtigt oder unrechtmäßig vernichtet, verloren, verändert, offengelegt oder unbefugt zugänglich gemacht werden.

Beispiele aus der Praxis:

• Ein Mitarbeiter sendet versehentlich eine Kundendatei an den falschen Empfänger.
• Ein unverschlüsselter USB-Stick mit Bewerberdaten geht verloren.
• Hacker verschaffen sich Zugriff auf Server oder verschlüsseln diese per Ransomware.
• Papierakten landen im falschen Postfach oder ungesichert im Altpapier.

Nicht jeder Vorfall ist sofort meldepflichtig – aber jeder Vorfall muss bewertet und dokumentiert werden. Entscheidend ist, ob ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht.

Die ersten 24 Stunden: Sofort handeln

Die wichtigste Regel lautet: Zeit ist Ihr kritischster Faktor.
Ab dem Moment, in dem Sie eine mögliche Datenpanne feststellen, beginnt die 72-Stunden-Frist zur Meldung bei der Datenschutzaufsicht. Deshalb braucht jedes Unternehmen klare Prozesse und Zuständigkeiten.

Checkliste: Erste Schritte

1. Vorfall erkennen und dokumentieren
   Wer hat was wann entdeckt? Welche Daten und Systeme sind betroffen?
2. Schaden begrenzen
   Betroffene Systeme isolieren, Passwörter ändern, Zugänge sperren.
3. Datenschutzbeauftragten und IT informieren
   Sofortige interne Meldung nach festgelegtem Meldeweg (z. B. Formular oder E-Mail-Adresse für Datenschutzvorfälle).
4. Risikoanalyse starten
   Einschätzen, ob ein Risiko für Betroffene besteht und welche Datenarten betroffen sind.
5. Beweise sichern
   Screenshots, Logfiles, E-Mails, Fotos – alles, was später die Bewertung unterstützt.

Praxis-Tipp:
Ermutigen Sie Mitarbeitende, Vorfälle sofort zu melden. Angst vor Schuldzuweisung führt sonst zu gefährlicher Verzögerung.

Innerhalb von 72 Stunden: Bewertung und Meldung

Risikobewertung

Nicht jeder Fehler ist eine Katastrophe. Entscheidend ist die Frage: Wie groß ist das Risiko für die betroffenen Personen?

• Kein Risiko: Interne Dokumentation reicht aus.
• Einfaches Risiko: Meldung an Aufsichtsbehörde erforderlich (Art. 33 DSGVO).
• Hohes Risiko: Zusätzlich Information der betroffenen Personen (Art. 34 DSGVO).

Kriterien:
Art und Sensibilität der Daten, Umfang des Vorfalls, Zahl der Betroffenen, potenzielle Folgen (z. B. Identitätsdiebstahl, Diskriminierung, finanzielle Verluste).

Meldung an die Aufsichtsbehörde

In Thüringen ist zuständig:
Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Postfach 900455, 99107 Erfurt
https://www.tlfdi.de

Die Meldung muss enthalten:

• Art der Verletzung und betroffene Datenarten,
• Zahl und Kategorien der betroffenen Personen,
• Kontaktdaten des Verantwortlichen bzw. Datenschutzbeauftragten,
• mögliche Folgen des Vorfalls,
• bereits getroffene oder geplante Gegenmaßnahmen.

Falls noch nicht alle Informationen vorliegen: Melden Sie trotzdem. Nach Art. 33 Abs. 4 DSGVO dürfen Details nachgereicht werden.

Betroffene informieren – aber richtig

Wenn die Risikoanalyse ein hohes Risiko ergibt, müssen die betroffenen Personen unverzüglich informiert werden. Die Kommunikation sollte transparent, sachlich und vertrauensbildend sein.

Beispieltext:

„Am [Datum] wurde festgestellt, dass unbefugte Dritte Zugriff auf Kundendaten erhalten haben. Betroffen sind Namen und E-Mail-Adressen. Wir haben den Vorfall gemeldet, die Sicherheitslücke geschlossen und empfehlen, Ihr Passwort zu ändern.“

Ausnahmen:
Eine direkte Information ist entbehrlich, wenn technische Schutzmaßnahmen wie Verschlüsselung das Risiko faktisch ausschließen.

Praxis-Tipp:
Bereiten Sie Textbausteine für verschiedene Szenarien vor (z. B. E-Mail, Pressemitteilung, Kundenschreiben). Das spart im Ernstfall Zeit und Unsicherheit.

Nach der Krise: Aufräumen und lernen

Eine Datenpanne ist nicht nur ein Risiko, sondern auch ein Signal. Jetzt gilt es, Ursachen zu erkennen und daraus Konsequenzen zu ziehen.

Ursachenanalyse

War es menschliches Versagen, eine technische Schwachstelle oder ein organisatorischer Mangel? Führen Sie eine strukturierte Nachanalyse mit IT, Datenschutzbeauftragtem und Geschäftsleitung durch.

Verbesserungsmaßnahmen

• Mitarbeiterschulungen zu Datensicherheit und Meldepflichten,
• technische Aufrüstung (z. B. Zwei-Faktor-Authentifizierung, Verschlüsselung),
• klare Regelungen zur mobilen Arbeit und Datenträgern,
• regelmäßige Tests von Backups und Wiederherstellungsprozessen.

Interne Dokumentation

Jede Datenpanne muss nach Art. 33 Abs. 5 DSGVO dokumentiert werden – auch wenn sie nicht meldepflichtig ist. Diese Dokumentation muss zeigen, dass Sie den Vorfall ernsthaft geprüft und bewertet haben.

Praxis-Tipp:
Führen Sie ein internes „Verzeichnis von Datenschutzvorfällen“. Es dient nicht nur der Rechenschaft, sondern hilft auch, Muster zu erkennen.

Der Datenschutz-Notfallplan: Ihr Werkzeugkasten

Ein Notfallplan ist mehr als eine Checkliste – er ist ein Steuerungsinstrument. Er regelt, wer wann was tut, wer informiert wird und wie Entscheidungen getroffen werden.

Ihr Notfallplan sollte enthalten:

• Zuständigkeiten (Datenschutzbeauftragter, IT, Geschäftsleitung),
• Meldeweg und Kommunikationskette,
• standardisierte Meldeformulare für interne Vorfälle,
• Risikobewertungsmatrix,
• Vorlagen für Meldungen an Behörden und Betroffene,
• Ablaufplan für technische Sofortmaßnahmen,
• Kommunikationsleitfaden für Krisenfälle.

Interne Routine etablieren

Mindestens einmal jährlich sollte der Notfallplan getestet werden. Simulieren Sie einen Datenvorfall: Wer reagiert, wer informiert, welche Schritte dauern zu lange? So erkennen Sie Schwachstellen, bevor es ernst wird.

Musterformular: Interne Meldung eines Datenschutzvorfall

Mitarbeiter-Formular (Beispielvorlage):

• Datum / Uhrzeit des Vorfalls: ___________________________
• Entdeckt von: ___________________________
• Beschreibung des Vorfalls: ___________________________
• Betroffene Systeme / Datenarten: ___________________________
• Zahl der Betroffenen: ___________________________
• Sofortmaßnahmen: ___________________________
• Weiterleitung an Datenschutzbeauftragten: Ja / Nein
• Erste Risikoeinschätzung: niedrig / mittel / hoch

Diese Vorlage sollte zentral verfügbar sein – digital oder als Ausdruck in sensiblen Bereichen.

Fazit: Vorbereitung schafft Sicherheit

Datenpannen lassen sich nie vollständig vermeiden. Entscheidend ist, ob Sie darauf vorbereitet sind. Ein klarer Notfallplan verschafft Ihnen Handlungssicherheit, reduziert Bußgeldrisiken und signalisiert Professionalität gegenüber Kunden, Partnern und Behörden.

In Thüringen achtet der TLfDI besonders auf nachvollziehbare Prozesse und Transparenz. Unternehmen, die Vorfälle offen und strukturiert behandeln, werden deutlich wohlwollender beurteilt als solche, die verspätet oder unkoordiniert reagieren.

Benötigen Sie Unterstützung bei der Erstellung oder
Überprüfung Ihres Datenschutz-Notfallplans?

Wir von Janus Datenschutz sind Ihr spezialisierter Partner vor Ort – in Jena, Weimar, Erfurt und landesweit. Wir helfen Ihnen, Datenschutzpraxis und Rechtssicherheit in Einklang zu bringen.