Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Datenpanne

  • NIS2-Umsetzungsgesetz in Kraft: Cybersicherheit trifft Datenschutz

    Nach langem Gesetzgebungsverfahren hat der Bundestag am 13. November 2025 das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) beschlossen; es ist am 6. Dezember 2025 in Kraft getreten. Es setzt die europäische NIS-2-Richtlinie um und erweitert den Kreis der Unternehmen mit gesetzlichen Cybersicherheitspflichten erheblich. Eine Übergangsfrist gibt es nicht. Viele mittelständische Unternehmen müssen nun klären, ob sie betroffen sind und wie die neuen Pflichten mit dem Datenschutz zusammenhängen.

    Wer ist betroffen?

    Das Gesetz erfasst Unternehmen in zahlreichen Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzwesen, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Unterschieden wird zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Maßgeblich sind neben dem Sektor vor allem Größenschwellen: In der Regel sind Unternehmen ab 50 Beschäftigten oder ab bestimmten Umsatz- und Bilanzschwellen erfasst. Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz. Unternehmen, bei denen die erfassten Tätigkeiten nur einen vernachlässigbaren Teil ausmachen, sollen nicht automatisch erfasst sein. Die Betroffenheit muss jedes Unternehmen selbst prüfen.

    Die wichtigsten Pflichten

    • Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Voraussetzung ist ein Unternehmenskonto („Mein Unternehmenskonto“).
    • Verlangt sind angemessene technische, operative und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken, etwa zu Notfallmanagement, Backups, Zugangskontrolle, Verschlüsselung und Sicherheit der Lieferkette.
    • Erhebliche Sicherheitsvorfälle sind in einem mehrstufigen Verfahren an das BSI zu melden.
    • Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und kann bei Pflichtverletzungen persönlich haften.

    Zusammenspiel mit der DSGVO

    NIS2 dient der Sicherheit von Netz- und Informationssystemen, die DSGVO dem Schutz personenbezogener Daten. Trotz unterschiedlicher Ziele überschneiden sich beide Regelwerke stark:

    • Ein Cyberangriff kann zugleich ein meldepflichtiger NIS2-Vorfall gegenüber dem BSI und eine meldepflichtige Datenschutzverletzung gegenüber der Datenschutzaufsicht nach Art. 33 DSGVO sein. Beide Meldungen haben eigene Fristen und Adressaten. Der Notfallplan sollte beide Wege abbilden; siehe unseren Beitrag „Ransomware-Angriff: Datenschutz-Notfallplan für KMU“.
    • Viele NIS2-Maßnahmen sind zugleich technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Ein integriertes Sicherheitskonzept spart Aufwand.
    • Die NIS2-Anforderungen an die Sicherheit der Lieferkette lassen sich mit der Prüfung von Auftragsverarbeitern verbinden.

    Auch nicht erfasste Unternehmen sind betroffen

    Wer selbst nicht unter das Gesetz fällt, kann als Zulieferer oder Dienstleister einer erfassten Einrichtung mittelbar betroffen sein. Kunden werden vermehrt vertragliche Sicherheitszusagen und Nachweise verlangen.

    Sinnvoll ist, Cybersicherheit und Datenschutz in einem gemeinsamen Managementsystem mit klaren Meldewegen für beide Regelwerke zusammenzuführen. Ob Ihr Unternehmen unter NIS2 fällt und wie sich die Prozesse abstimmen lassen, prüfen wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Ransomware-Angriff: Datenschutz-Notfallplan für KMU

    Am Montagmorgen startet kein Rechner, auf dem Bildschirm erscheint eine Lösegeldforderung: Ransomware-Angriffe treffen längst nicht mehr nur Konzerne, sondern zunehmend kleine und mittlere Unternehmen, Praxen und Kanzleien. Neben dem Betriebsausfall drohen datenschutzrechtliche Folgen, nämlich Meldepflichten, Benachrichtigungen und Schadensersatzforderungen. Ein solcher Angriff ist IT-Notfall, Betriebsnotfall und Datenschutzvorfall zugleich. Wer einen Notfallplan hat, verliert in der Krise keine Zeit.

    Warum ein Cyberangriff fast immer eine Datenpanne ist

    Ransomware verschlüsselt Daten und macht sie unzugänglich. Das allein ist bereits eine Verletzung der Verfügbarkeit personenbezogener Daten. Hinzu kommt, dass viele Angreifer vor der Verschlüsselung Daten kopieren und mit deren Veröffentlichung drohen („Double Extortion“). Damit liegt regelmäßig auch eine Verletzung der Vertraulichkeit vor. Beides kann eine Meldepflicht nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigungspflicht nach Art. 34 DSGVO auslösen. Die Grundlagen beschreibt unser Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Der Notfallplan: Die ersten 72 Stunden

    1. Betroffene Rechner vom Netz trennen, aber nicht ausschalten, wenn forensische Spuren gesichert werden sollen.
    2. Das Krisenteam zusammenrufen: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, gegebenenfalls externe IT-Forensik und Rechtsberatung.
    3. Besteht eine Cyberversicherung, deren Meldepflichten und Vorgaben beachten.
    4. Strafanzeige erstatten. Die Polizei verfügt über spezialisierte Ansprechstellen für Cybercrime.
    5. Klären, welche Systeme betroffen sind, welche Daten dort liegen und ob es Hinweise auf einen Datenabfluss gibt.
    6. Die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis informieren, notfalls als Erstmeldung mit späterer Ergänzung.
    7. Bei hohem Risiko, etwa wenn Gesundheits- oder Bankdaten abgeflossen sind, die Betroffenen benachrichtigen.
    8. Alle Schritte, Erkenntnisse und Entscheidungen dokumentieren.

    Lösegeld zahlen?

    Ermittlungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Datenschutzrechtlich beseitigt eine Zahlung die Meldepflicht nicht. Die Entscheidung sollte nicht ohne rechtliche Beratung getroffen werden.

    Haftung und Schadensersatz

    Ein Hackerangriff befreit das Unternehmen nicht automatisch von der Haftung. Der EuGH hat entschieden, dass der Verantwortliche nachweisen muss, dass seine Schutzmaßnahmen geeignet waren, und dass schon die begründete Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann; mehr dazu in unserem Beitrag „Schon die Angst vor Datenmissbrauch kann ein Schaden sein“. Eine sorgfältige Dokumentation der IT-Sicherheit ist daher auch im Haftungsfall wertvoll.

    Vorsorge: Was jetzt zu tun ist

    • mindestens eine Sicherung, die vom Netzwerk getrennt ist, und regelmäßige Wiederherstellungstests,
    • Zwei-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administratorkonten,
    • zeitnahe Updates, insbesondere für Firewalls und VPN-Gateways,
    • Phishing-Schulungen, denn die meisten Angriffe beginnen mit einer E-Mail,
    • ein schriftlicher Notfallplan mit Telefonliste, ausgedruckt, weil im Ernstfall die Systeme nicht funktionieren,
    • Reaktionszeiten und Meldepflichten der Dienstleister, geregelt im Auftragsverarbeitungsvertrag.

    Der beste Zeitpunkt für einen Notfallplan liegt vor dem Angriff. Ist Ihr Unternehmen bereits betroffen, unterstützen wir Sie auch kurzfristig bei Meldung und Kommunikation; ebenso erarbeiten wir mit Ihnen vorab einen Notfallplan. Kontakt aufnehmen oder Termin buchen.

  • EuGH MediaMarktSaturn: Kein Schadensersatz bei bloß hypothetischem Risiko

    Kurz nach seinem Urteil zur Befürchtung eines Datenmissbrauchs als Schaden hat der Gerichtshof der Europäischen Union die Grenzen des Schadensersatzanspruchs nach Art. 82 DSGVO weiter konturiert. Mit Urteil vom 25. Januar 2024 (Rs. C-687/21, MediaMarktSaturn) stellte er klar: Ein rein hypothetisches Risiko eines Missbrauchs genügt nicht.

    Der Fall

    Ein Kunde hatte in einem Elektronikmarkt ein Haushaltsgerät gekauft und dafür einen Kredit- und Kaufvertrag mit seinen persönlichen Daten unterschrieben. Durch ein Versehen der Mitarbeitenden wurden das Gerät und die Unterlagen einem anderen Kunden ausgehändigt, der sich vorgedrängelt hatte. Der Fehler fiel nach etwa einer halben Stunde auf; Gerät und Dokumente wurden zurückgegeben. Es gab keine Anhaltspunkte dafür, dass der andere Kunde die Unterlagen gelesen hatte. Der Käufer verlangte dennoch Schadensersatz für den immateriellen Schaden, der ihm durch das Risiko eines Kontrollverlusts entstanden sei.

    Die Kernaussagen

    • Verantwortliche müssen ihre technischen und organisatorischen Maßnahmen nicht so gestalten, dass jeder Datenschutzverstoß ausgeschlossen ist. Ein einzelner Fehler von Beschäftigten führt deshalb nicht automatisch zur Haftung.
    • Der Schadensersatzanspruch nach Art. 82 DSGVO hat keine Straffunktion, sondern eine reine Ausgleichsfunktion. Ersetzt wird nur der tatsächlich erlittene Schaden.
    • Hat ein Dritter von den personenbezogenen Daten nachweislich keine Kenntnis genommen, begründet das rein hypothetische Risiko einer missbräuchlichen Verwendung keinen ersatzfähigen immateriellen Schaden. Ein Kontrollverlust, auch ein nur kurzzeitiger, kann zwar grundsätzlich ein Schaden sein, setzt aber eine begründete Befürchtung voraus.

    Abgrenzung zu C-340/21

    Auf den ersten Blick scheinen die beiden Urteile in Spannung zu stehen. Tatsächlich ergänzen sie sich: Im bulgarischen Fall waren die Daten tatsächlich von Kriminellen erbeutet und veröffentlicht worden, die Befürchtung eines Missbrauchs war daher begründet. Im MediaMarktSaturn-Fall hatte dagegen niemand die Daten zur Kenntnis genommen; ein Missbrauch war praktisch ausgeschlossen. Maßgeblich ist also, ob die Befürchtung objektiv nachvollziehbar ist.

    Folgen für die Praxis

    Für Unternehmen heißt das: Schnelles Handeln nach einer Fehlleitung von Daten kann Schäden verhindern. Wer den Fehler früh bemerkt, die Unterlagen zurückholt und dokumentiert, dass keine Kenntnisnahme erfolgt ist, kann Schadensersatzforderungen wirksam entgegentreten. Ob der Vorfall der Aufsichtsbehörde zu melden ist, hängt vom Risiko ab; Details in unserem Leitfaden „Datenpanne melden“.

    Für Betroffene heißt es: Wer Schadensersatz verlangt, muss konkret darlegen, worin der Schaden besteht. Allgemeine Unmutsbekundungen genügen nicht. Grundlagen dazu finden Sie in unserem Beitrag zum Urteil Österreichische Post.

    Nach einem Vorfall kommt es damit auf beiden Seiten auf die genaue Aufklärung des Sachverhalts an. Streiten Sie über Schadensersatz nach einer Datenschutzverletzung, sprechen Sie uns an: Kontaktformular oder Terminbuchung.

  • Datenpanne melden: So reagieren Sie richtig in 72 Stunden

    Eine E-Mail mit Kundendaten geht an den falschen Verteiler, ein Firmenlaptop wird im Zug gestohlen oder ein Trojaner verschlüsselt den Server: Datenpannen passieren auch in gut organisierten Unternehmen. Dann muss schnell und richtig reagiert werden. Die DSGVO sieht in Art. 33 eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden vor, in bestimmten Fällen nach Art. 34 zusätzlich eine Benachrichtigung der betroffenen Personen.

    Was ist eine „Verletzung des Schutzes personenbezogener Daten“?

    Art. 4 Nr. 12 DSGVO versteht darunter jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind also nicht nur Hackerangriffe, sondern auch alltägliche Fehler: der offene E-Mail-Verteiler, der verlorene USB-Stick, der Brief an die falsche Adresse oder die versehentlich gelöschte Kundendatenbank ohne Backup.

    Wann muss gemeldet werden?

    Grundsätzlich ist jede Datenpanne der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Diese Ausnahme ist eng. Ein Risiko liegt etwa nahe, wenn Gesundheits-, Bank- oder Zugangsdaten betroffen sind, wenn viele Personen betroffen sind oder wenn die Daten in die Hände unbekannter Dritter gelangt sein können. Kein Risiko besteht dagegen häufig, wenn ein ordnungsgemäß verschlüsseltes Gerät verloren geht.

    Besteht voraussichtlich ein hohes Risiko, müssen zusätzlich die Betroffenen unverzüglich und in klarer, einfacher Sprache informiert werden (Art. 34 DSGVO). Sie sollen sich schützen können, etwa indem sie Passwörter ändern oder eine Kreditkarte sperren lassen.

    Die 72-Stunden-Frist

    Die Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wird, nicht erst, wenn alle Details geklärt sind. Wochenenden und Feiertage werden nicht ausgeklammert. Liegen noch nicht alle Informationen vor, darf die Meldung schrittweise erfolgen: Melden Sie zunächst, was Sie wissen, und reichen Sie weitere Angaben nach. Eine verspätete Meldung ist zu begründen.

    Notfallplan in fünf Schritten

    1. Schaden eindämmen: betroffene Systeme vom Netz nehmen, Zugänge sperren, Empfänger einer Fehlversendung um Löschung bitten.
    2. Geschäftsleitung und, falls vorhanden, den Datenschutzbeauftragten sofort einbinden.
    3. Das Risiko einschätzen: Welche Daten, wie viele Personen, welche möglichen Folgen?
    4. Die Aufsichtsbehörde informieren (die meisten Länderbehörden bieten Online-Formulare an) und gegebenenfalls die Betroffenen benachrichtigen.
    5. Den Vorfall intern dokumentieren. Das verlangt Art. 33 Abs. 5 DSGVO für jede Datenpanne, auch wenn keine Meldung erfolgt.

    Was gehört in die Meldung?

    Mindestens anzugeben sind: die Art der Verletzung, soweit möglich die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

    Vorsorge ist die beste Reaktion

    Unternehmen, die vorab Zuständigkeiten festlegen, eine Checkliste bereithalten und ihre Mitarbeitenden sensibilisieren, verlieren im Ernstfall keine wertvolle Zeit. Ebenso wichtig sind angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dass Aufsichtsbehörden Sicherheitsmängel ahnden, zeigt etwa das Bußgeld gegen einen Social-Media-Anbieter wegen unzureichender Datensicherheit. Wer einen Datenschutzbeauftragten hat, sollte ihn eng einbinden. Ob eine Benennungspflicht besteht, erläutern wir in unserem Beitrag zur 20-Personen-Regel. Verschweigen ist im Übrigen die schlechteste aller Optionen: Eine unterlassene Meldung kann selbst ein Bußgeld nach sich ziehen.

    Wenn bei Ihnen eine Datenpanne eingetreten ist, zählt jede Stunde. Wir helfen kurzfristig bei Bewertung und Meldung und erstellen auf Wunsch auch einen Notfallplan für die Zukunft. Schreiben Sie uns oder vereinbaren Sie online einen Termin.