Datenschutzvorfall rechtlich einordnen

Datenpannen-Check: 72-Stunden-Frist, Risiko und Sofortmaßnahmen strukturiert prüfen

Der Datenpannen-Check hilft Unternehmen, einen möglichen Datenschutzvorfall schnell zu strukturieren: Was ist passiert, welche Daten sind betroffen, wie groß ist der Kreis, welche Melde- und Informationspflichten kommen in Betracht und welche Nachweise sollten sofort gesichert werden?

  • DSGVO Art. 33/34
  • 72-Stunden-Prüfung
  • Incident-Akte
  • Betroffeneninfo-Gate
  • Stand: 24. Mai 2026
Für akute und unklare Datenschutzvorfälle

Geeignet für Hacking, Ransomware, Fehlversand, verlorene Geräte, offene Links, Fehlkonfigurationen und Dienstleistermeldungen. Der Check ersetzt keine Einzelfallprüfung, liefert aber eine belastbare Vorstruktur für Datenschutz, IT-Security, Management und anwaltliche Abstimmung.

  • Fristen, Datenarten, Betroffenenkreis und Eindämmung zusammenführen.
  • Vorläufige Risikostufe und nächste Prüfschwerpunkte ableiten.
  • Kopierbaren Kurzüberblick für eine Anfrage oder interne Incident-Akte erzeugen.

Incident-Countdown

72-Stunden-Fenster, Risikoampel und Betroffeneninfo-Gate

Die Visualisierung zeigt den typischen Prüfpfad nach Bekanntwerden: Sofort sichern, innerhalb des 72-Stunden-Fensters über eine Meldung an die Aufsichtsbehörde entscheiden und bei voraussichtlich hohem Risiko zusätzlich die Information betroffener Personen prüfen.

Datenpannen-Prüfpfad Kenntnisnahme, Risiko, Meldung und Nachweis sauber trennen. 1 0–24 h Sichern 2 24–72 h Meldeprüfung 3 >72 h Begründung 4 Gate Betroffene? Risiko
ZeitfensterNoch nicht bewertet
RisikodruckNoch nicht bewertet
Nächster SchwerpunktFragen beantworten

Orientierung: fünf Schritte nach Bekanntwerden

Bei Datenschutzverletzungen zählt nicht nur der technische Befund. Entscheidend sind Zeitpunkt der Kenntnisnahme, Risiko für betroffene Personen, Eindämmung, Dokumentation und die Frage, ob Aufsichtsbehörde oder Betroffene zu informieren sind.

  1. 1SichernZugriffe stoppen, Systeme isolieren, Beweise, Logs und Kommunikationsstände sichern.
  2. 2KlärenDatenarten, betroffene Personen, Ursachen, Dienstleister und tatsächliche Kenntnisnahme festhalten.
  3. 3BewertenRisiko für Rechte und Freiheiten natürlicher Personen prüfen und begründen.
  4. 4EntscheidenMeldung an Aufsicht, Benachrichtigung Betroffener und mögliche Nachmeldung vorbereiten.
  5. 5NachweisenIncident-Akte, Maßnahmen, Fristen, Verantwortliche und Folgekontrollen dokumentieren.

Was dieser Check leistet

Der Check ist für Unternehmen, Vereine, Agenturen, Plattformen, Arbeitgeber, SaaS-Anbieter, Cloud-Nutzer und sonstige Verantwortliche gedacht, die einen möglichen Verlust, unbefugten Zugriff, Fehlversand oder Dienstleistervorfall einordnen müssen.

Was wird geprüft?
Geprüft werden Vorfallsart, Datenkategorien, Umfang, Zeitpunkt, Eindämmung, Nachweise, Dienstleisterbezug und typische Schnittstellen zu IT-Sicherheit, Datenschutzaufsicht, Betroffenenkommunikation, Vertragslage und Reputationsrisiken.
Wann ist der Check relevant?
Relevant ist der Check insbesondere bei Hacking, Ransomware, offen erreichbaren Verzeichnissen, Fehlversand, verlorenen Geräten, kompromittierten Konten, falsch gesetzten Berechtigungen oder Meldungen eines Auftragsverarbeiters.
Welche Grenzen hat der Check?
Die Auswertung ist eine strukturierte Ersteinschätzung. Eine belastbare Entscheidung hängt von konkreten Datenflüssen, technischen Nachweisen, Risikoauswirkungen, Zuständigkeiten, Ländern, Vertragsrollen und dem genauen Zeitpunkt der Kenntnisnahme ab.

Anliegen auswählen

Wählen Sie den naheliegenden Einstieg. Die Auswahl setzt erste Prüfpunkte im Formular, kann danach aber jederzeit angepasst werden.

Akuter Angriff, Ransomware oder Erpressung Für laufende Angriffe, Exfiltration, Veröffentlichung, Verschlüsselung oder Drohung mit Datenveröffentlichung.
Fehlversand, falscher Empfänger oder offener Link Für E-Mails, Dateien, Briefe, Portale, Links oder Berechtigungen, die falschen Personen zugänglich wurden.
Meldung eines Dienstleisters oder Auftragsverarbeiters Für Vorfälle bei Hosting, SaaS, Newsletter, IT-Support, Agentur, Cloud, Payroll oder sonstigen Dienstleistern.
Unklare Lage mit möglichem Personenbezug Für Verdachtsfälle, bei denen Datenarten, Zugriff, Umfang oder tatsächliche Risiken noch nicht sicher eingegrenzt sind.

Interaktiver Fragebogen

Datenpanne strukturiert einordnen

Beantworten Sie die folgenden Schritte. Das Ergebnis bewertet die Angaben vorsichtig nach Risikosignalen, Fristdruck, Datenarten und bereits erfolgten Maßnahmen.

Schritt 1 von 5
1. Was ist passiert?

Wählen Sie den Schwerpunkt des Vorfalls. Bei mehreren Ursachen zählt zunächst der kritischste Befund.

2. Welche Daten sind betroffen?

Mehrfachauswahl ist möglich. Wenn die Datenarten noch unklar sind, wählen Sie zunächst „Unklar“.

3. Wie groß ist der mögliche Umfang?

Wählen Sie die derzeit belastbarste Schätzung. Wenn die Anzahl offen ist, sollte die Unsicherheit dokumentiert werden.

4. Wann wurde der Vorfall bekannt?

Maßgeblich ist regelmäßig, wann die Organisation Kenntnis von einem möglichen Vorfall mit Personenbezug hatte und eine Risikoprüfung veranlassen konnte.

5. Welche Maßnahmen sind bereits erfolgt?

Mehrfachauswahl ist möglich. Wenn noch nichts strukturiert erfolgt ist, wählen Sie nur die letzte Option.

Fristen, Risiken und Maßnahmen

Die Tabelle dient der Einordnung typischer Prüfpfade. Sie ersetzt keine Einzelfallentscheidung, hilft aber bei Priorisierung, Dokumentation und Vorbereitung der Anfrage.

PrüfpunktTypischer AuslöserFrist / ZeitpunktErste MaßnahmePriorität
Meldung an AufsichtsbehördeRisiko für Rechte und Freiheiten natürlicher Personen nicht auszuschließenMöglichst binnen 72 Stunden nach Kenntnisnahme, Art. 33 DSGVORisikobewertung, Meldeentwurf, Begründung und etwaige Nachmeldung vorbereitenSofort
Benachrichtigung betroffener PersonenVoraussichtlich hohes Risiko, etwa durch sensible Daten, Zugangsdaten, Missbrauchsgefahr oder VeröffentlichungOhne unangemessene Verzögerung, Art. 34 DSGVOBetroffenenkreis, Inhalt, Schutzempfehlungen und Kommunikationskanal prüfenSehr hoch
Dokumentation des VorfallsJede personenbezogene Datenschutzverletzung, auch wenn nicht gemeldet wirdLaufend ab Bekanntwerden, Art. 33 Abs. 5 DSGVOIncident-Akte mit Fakten, Bewertung, Entscheidung und Maßnahmen anlegenHoch
Vorfall beim AuftragsverarbeiterDienstleister meldet Sicherheitsvorfall oder DatenverlustUnverzüglich an Verantwortlichen, Art. 33 Abs. 2 DSGVO; vertragliche Fristen zusätzlich prüfenAVV, Subprozessoren, technische Details und Zeitpunkte anfordernHoch
Schnittstelle CybersecuritySignifikanter Sicherheitsvorfall, kritische Dienste, NIS2-/BSIG-Scope oder Produkt mit digitalem ElementJe nach Rolle zusätzliche Melde- und Berichtspflichten prüfenNIS2-, CRA-, DORA- oder Vertragsmeldewege parallel mit Datenschutz abstimmenVertiefung

Nächste sinnvolle Schritte

Verwandte ITMR-Checker und Anschlussprüfungen

DSGVO-Rollen-SimulatorKlären, ob Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit betroffen ist. AVV-/DPA-CheckDienstleister, Subprozessoren, Meldeketten und Datenschutzverträge nach einem Vorfall prüfen. DSFA-CheckPrüfen, ob Verarbeitung, Datenarten oder Schutzmaßnahmen auf ein hohes Risiko hinweisen. NIS-2-CheckCybersecurity-Betroffenheit, Meldewege und Managementpflichten parallel zur DSGVO bewerten. Dokumenten-Dossier BuilderIncident-Akte, Nachweise, Logs, Kommunikation und Entscheidungsvorlagen strukturiert vorbereiten. Bewertungs-/RufschädigungscheckReputationsrisiken, Presseanfragen, Plattformmeldungen oder öffentliche Vorwürfe nach einem Vorfall einordnen.

Kurzüberblick für die Anfrage

Der Kurzüberblick fasst die Angaben für eine strukturierte Anfrage zusammen. Ergänzen Sie konkrete Zeiten, Systeme, Ansprechpartner und Unterlagen, bevor Sie ihn versenden.

Anfrage starten

Kontakt und Vertiefung

Bei laufendem Angriff, möglicher 72-Stunden-Frist, sensiblen Daten, Zugangsdaten, Veröffentlichung, Dienstleistermeldung oder Behördenkontakt sollte die rechtliche Einordnung kurzfristig mit technischer Beweissicherung und Kommunikationsplanung verbunden werden.

Datenpanne rechtlich einordnen lassen Allgemeinen Kontakt öffnen
Der Check dient der ersten Orientierung. Die konkrete rechtliche Einordnung hängt von Sachverhalt, Fristen, Datenflüssen, Vertragslage, Ländern, Zielgruppen und technischer Umsetzung ab.