Nicht jeder Fehler
ist ein Bußgeld.

Welche Folgen möglich sind

• Anordnungen der Aufsichtsbehörde. Der häufigste Fall: ein Schreiben mit Fragen, danach die Auflage, etwas zu ändern.
• Bußgelder. Der Rahmen ist hoch, die Bemessung berücksichtigt aber Art, Schwere, Dauer, Verschulden, Zusammenarbeit und Unternehmensgröße. Bei kooperativem Verhalten und kleinem Betrieb sieht das anders aus als bei einem Konzern.
• Schadensersatz nach Art. 82 DSGVO. Betroffene können immateriellen Schaden geltend machen; die Beträge sind im Einzelfall überschaubar, die Zahl der Fälle kann es nicht sein.
• Abmahnungen von Wettbewerbern bei bestimmten Verstößen.
• Vertrauensverlust. Der Punkt, der am wenigsten in Statistiken auftaucht und am meisten kostet.

Wann gemeldet werden muss

Bei einer Verletzung des Schutzes personenbezogener Daten – also wenn Daten abhandenkommen, offengelegt oder zerstört werden – besteht eine Meldepflicht an die Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht.

1. Frist: 72 Stunden ab Kenntnis. Das ist knapp, und die Uhr läuft ab dem Moment, in dem jemand im Betrieb es bemerkt.
2. Bei hohem Risiko müssen zusätzlich die Betroffenen selbst benachrichtigt werden.
3. Auch ohne Meldepflicht ist der Vorfall zu dokumentieren. Die Behörde kann diese Dokumentation verlangen.
4. Typische Fälle: verlorenes Telefon ohne Sperre, Mail mit Kundenliste an den falschen Empfänger, verschlüsselte Server nach einem Angriff, übernommenes Postfach, gestohlener Ordner.

Die ersten Schritte im Ernstfall

1. Eindämmen. Zugänge sperren, Passwörter ändern, betroffene Systeme trennen.
2. Feststellen, was betroffen ist: welche Daten, wie viele Personen, welcher Zeitraum.
3. Risiko einschätzen. Sind es Namen und Adressen oder Gesundheitsdaten und Bankverbindungen? Danach richtet sich alles Weitere.
4. Dokumentieren, lückenlos und mit Zeitpunkten. Diese Dokumentation ist später der wichtigste Nachweis.
5. Fachkundigen Rat holen, am selben Tag. Die 72 Stunden sind schnell vorbei.
6. Melden, wenn die Voraussetzungen vorliegen. Die Aufsichtsbehörden haben dafür Formulare.
7. Betroffene informieren, wenn ein hohes Risiko besteht – in klarer Sprache, mit konkreten Hinweisen, was sie selbst tun können.

Was vorbeugt

• Nur erheben, was gebraucht wird. Was nicht da ist, kann nicht verloren gehen – das ist der wirksamste Datenschutz überhaupt.
• Löschfristen festlegen und einhalten. Alte Bewerbungsunterlagen und Anfragen von vor fünf Jahren sind reines Risiko.
• Zugriffsrechte eng halten. Nicht jeder braucht alles.
• Verträge zur Auftragsverarbeitung mit allen Dienstleistern, die Daten verarbeiten – Hoster, Newsletter, Buchhaltung, Kundenverwaltung.
• Verzeichnis der Verarbeitungstätigkeiten führen. Für kleine Betriebe ist der Umfang begrenzt, aber die Pflicht besteht in vielen Fällen.
• Das Team einmal im Jahr kurz schulen. Die meisten Vorfälle entstehen aus Versehen, nicht aus Absicht.

Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung.