Daten weg oder geleakt,
so reagierst du richtig.

Nein. Meldepflichtig ist eine Datenpanne nur dann, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt (Art. 33 DSGVO). Führt der Vorfall voraussichtlich zu keinem Risiko, kannst du auf die Meldung verzichten. Diese Einschätzung musst du aber dokumentieren und im Zweifel begründen können. Die Risikobewertung ist der schwierigste Teil, hier hilft ein Datenschutzbeauftragter oder Anwalt.

Eine meldepflichtige Datenpanne ist ohne unangemessene Verzögerung zu melden, möglichst binnen 72 Stunden, nachdem sie dir bekannt geworden ist (Art. 33 DSGVO). Schaffst du die 72 Stunden nicht, ist die Meldung mit einer Begründung für die Verspätung nachzureichen. Du musst nicht von der ersten Minute an alles wissen, eine Meldung darf schrittweise ergänzt werden.

Die Meldung geht an die für dich zuständige Datenschutz-Aufsichtsbehörde. In der Regel ist das die Aufsichtsbehörde des Bundeslandes, in dem dein Unternehmen seinen Sitz hat. Die meisten Behörden stellen dafür ein Online-Meldeformular bereit, über das du den Vorfall strukturiert erfassen kannst.

Wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, musst du diese zusätzlich benachrichtigen (Art. 34 DSGVO). Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen und erklären, was passiert ist und was die Betroffenen jetzt tun können, etwa Passwörter ändern oder Kontobewegungen prüfen.

Zuerst den Vorfall eingrenzen: betroffene Systeme vom Netz nehmen, kompromittierte Zugänge sperren, Passwörter ändern. Dann dokumentieren, was wann passiert ist und welche Daten betroffen sind. Wichtig: keine Beweise voreilig löschen, die IT-Forensik braucht sie. Parallel solltest du früh deine Cyber-Versicherung einschalten, viele Anbieter haben eine 24/7-Hotline und schicken sofort Spezialisten.

Die DSGVO sieht bei Verstößen empfindliche Bußgelder vor, deren Höhe sich am Einzelfall und am Umsatz orientiert. Schon das Versäumen der Meldepflicht oder eine unzureichende Datensicherheit kann geahndet werden. Eine korrekte und fristgerechte Meldung wirkt sich dagegen tendenziell mildernd aus. Konkrete Zahlen hängen vom Einzelfall ab und lassen sich nicht pauschal nennen.

Eine Cyberversicherung ist im Schadenfall mehr als nur Geld. Gute Tarife bieten eine 24/7-Notfall-Hotline und vermitteln sofort IT-Forensiker, Krisenmanager und spezialisierte Anwälte. Versichert sind je nach Tarif etwa die Forensik-Kosten, Rechtskosten, die Kosten der Benachrichtigung Betroffener, der Schaden aus einer Betriebsunterbrechung sowie die Haftung gegenüber geschädigten Dritten.

Die direkten Kosten entstehen durch IT-Forensik, Systemwiederherstellung, Rechtsberatung, die Benachrichtigung Betroffener und möglichen Betriebsstillstand. Dazu kommen indirekte Kosten wie Reputationsschaden und verlorenes Vertrauen. Gerade für kleine Unternehmen kann ein einziger schwerer Vorfall existenzbedrohend werden, genau diese finanzielle Lücke schließt eine Cyber-Versicherung.

Technisch helfen aktuelle Updates, eine saubere Backup-Strategie, Mehr-Faktor-Authentifizierung und ein Berechtigungskonzept. Organisatorisch zählen geschulte Mitarbeitende, klare Prozesse und ein Verzeichnis der Verarbeitungstätigkeiten. Wer mit Daten arbeitet, sollte zudem den passenden Versicherungsschutz prüfen, für IT-nahe Betriebe lohnt der Blick auf Versicherungen für IT und Software.

Das hängt von Größe und Tätigkeit deines Unternehmens ab. Ob Pflicht oder nicht, im Ernstfall ist fachkundige Unterstützung Gold wert. Die Risikobewertung, die Meldung und die Kommunikation mit der Behörde sind heikel. Diese Seite ersetzt keine Rechtsberatung, im konkreten Fall solltest du einen Datenschutzbeauftragten oder Anwalt einbeziehen.