Kurz gesagt: Eine Datenpanne ist eine Verletzung der Sicherheit, durch die personenbezogene Daten verloren gehen, verändert werden oder in falsche Hände geraten. Der Verantwortliche muss sie grundsätzlich unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden. Deine Aufgabe als Wachperson ist, sie sofort intern zu melden.
Datenpannen passieren nicht nur in Rechenzentren. Im Wachdienst reicht eine liegen gelassene Mappe mit Besucherdaten im Zug, ein Diensthandy mit Fotos aus dem Objekt, das auf dem Revier verloren geht, oder eine Videosequenz, die an die falsche Adresse gemailt wird. Für dich zählt in so einem Moment vor allem eins: nicht verstecken, sondern sofort melden. In der Prüfung wird gefragt, was eine Datenpanne ist, welche Frist gilt und wer meldet.
Was eine Datenpanne ist
Die DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten. Nach Art. 4 Nr. 12 DSGVO ist das eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von Daten oder zum unbefugten Zugang zu ihnen führt. Ob das versehentlich oder absichtlich geschieht, spielt keine Rolle.
Beispiele aus dem Wachdienst:
- Das Wachbuch oder die Besucherliste ist verschwunden.
- Ein Laptop oder Diensthandy mit Personendaten wurde gestohlen.
- Eine E-Mail mit dem Dienstplan samt Privatnummern ging an einen externen Verteiler.
- Ein Unbekannter hatte über ein schwaches Passwort Zugriff auf die Videoanlage. Hier haben die technischen und organisatorischen Maßnahmen versagt.
- Die Festplatte des Rekorders ist ausgefallen, und gesicherte Beweisvideos sind unwiederbringlich verloren.
Auch der letzte Punkt zählt: Nicht nur Diebstahl und Offenlegung, auch der Verlust der Verfügbarkeit kann eine Datenpanne sein.
Was im Gesetz steht
Meldung an die Aufsichtsbehörde (Art. 33 DSGVO)
Der Verantwortliche muss die Panne unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde melden. Das entfällt nur, wenn die Panne voraussichtlich zu keinem Risiko für die betroffenen Personen führt. Meldet er später, muss er die Verzögerung begründen. Die Meldung enthält mindestens die Art der Panne, die ungefähre Zahl der Betroffenen und Datensätze, einen Ansprechpartner, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Informationen dürfen nachgereicht werden.
Jede Panne muss außerdem intern dokumentiert werden, auch wenn sie nicht gemeldet wird.
Benachrichtigung der Betroffenen (Art. 34 DSGVO)
Besteht voraussichtlich ein hohes Risiko für die Betroffenen, muss der Verantwortliche auch sie unverzüglich benachrichtigen. Das ist zum Beispiel der Fall, wenn Ausweiskopien, Gesundheitsdaten oder Zugangscodes zu Privatwohnungen in falsche Hände geraten. Nicht nötig ist die Benachrichtigung etwa, wenn die Daten sicher verschlüsselt waren.
Wenn dein Arbeitgeber Auftragsverarbeiter ist
Arbeitet das Sicherheitsunternehmen als Auftragsverarbeiter für einen Kunden, etwa beim Betrieb von dessen Videoanlage, meldet es die Panne nicht selbst an die Behörde. Es muss den Kunden als Verantwortlichen unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Der Kunde entscheidet dann über die Meldung.
Auf EU-Ebene wird über eine Lockerung der Meldepflicht verhandelt. Die EU-Kommission hat im November 2025 im sogenannten Digital Omnibus vorgeschlagen, nur noch Pannen mit voraussichtlich hohem Risiko melden zu lassen und die Frist auf 96 Stunden zu verlängern. Das ist ein Vorschlag, kein geltendes Recht. Für die Prüfung und den Dienst gelten die 72 Stunden.
Was du als Wachperson tun musst
- Sofort intern melden: an Einsatzleitung, Leitstelle oder den in der Dienstanweisung festgelegten Kontakt. Nicht erst am Schichtende.
- Fakten festhalten: Was ist passiert, wann, wo, welche Daten sind betroffen, wer weiß davon.
- Schaden begrenzen, soweit du darfst: zum Beispiel Diensthandy sperren lassen, das offene Fenster der Leitstelle schließen, den Finder der Mappe um Rückgabe bitten.
- Nicht selbst die Behörde anrufen und nichts an Betroffene oder Presse herausgeben. Das ist Sache des Verantwortlichen.
- Nichts vertuschen: keine Einträge nachträglich ändern, keine Spuren löschen.
Die 72 Stunden laufen ab Kenntnis des Verantwortlichen. Jede Stunde, die eine Meldung bei dir liegen bleibt, fehlt deinem Arbeitgeber.
Ein Fall aus dem Dienst
Du fährst Revierdienst und betreust 30 Objekte. Nach einem Tankstopp merkst du, dass die Mappe mit den Objektunterlagen nicht mehr auf dem Beifahrersitz liegt. Darin sind Alarmcodes, Schlüsselnummern und die Handynummern der Ansprechpartner der Kunden.
Das ist eine Datenpanne mit hohem Risiko, denn die Unterlagen öffnen Türen. Du rufst sofort die Leitstelle an, schilderst die Lage und fährst zurück zur Tankstelle. Die Einsatzleitung veranlasst, dass Alarmcodes geändert und Kunden gewarnt werden, und bindet den Datenschutzbeauftragten ein. Dein Arbeitgeber prüft, ob er selbst Verantwortlicher ist oder seine Kunden informieren muss. In deinem Bericht schreibst du sachlich auf, was passiert ist. Wer so einen Verlust aus Angst vor Ärger verschweigt, macht aus einem Fehler einen schweren Pflichtverstoß.
Typische Prüfungsfallen
- Die Frist beträgt 72 Stunden ab Kenntnis, nicht ab der Panne selbst und nicht 72 Arbeitsstunden.
- Melden muss der Verantwortliche. Der Auftragsverarbeiter informiert den Verantwortlichen, die Wachperson ihren Arbeitgeber.
- Nicht jede Panne muss gemeldet werden, aber jede muss dokumentiert werden.
- Betroffene werden nur bei voraussichtlich hohem Risiko benachrichtigt.
- Auch Datenverlust ohne Diebstahl, etwa durch einen Defekt, kann eine Datenpanne sein.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Innerhalb welcher Frist muss der Verantwortliche eine meldepflichtige Datenpanne der Aufsichtsbehörde melden?
Welche Vorfälle sind eine Datenpanne im Sinne der DSGVO?
Du stellst fest, dass die Besucherliste der letzten Woche nicht mehr in der Pforte liegt. Was ist deine erste Aufgabe?
Ein Sicherheitsunternehmen betreibt als Auftragsverarbeiter die Videoanlage eines Kunden. Dort tritt eine Datenpanne auf. Was muss das Sicherheitsunternehmen tun?
Wann müssen die betroffenen Personen selbst über eine Datenpanne benachrichtigt werden?
Welche Aussagen zur Dokumentation und Meldung sind richtig?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 33 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.