Diese Frage taucht in Gesprächen mit Unternehmen immer wieder auf. Und ja, sie ist absolut berechtigt.
Denn, obwohl die DSGVO klare Vorgaben macht, herrscht in der Praxis oft Unsicherheit: Was zählt als Datenschutzverletzung? Wann muss ich melden? Und wie schnell?
Die Realität zeigt: Zwischen Theorie und Alltag klafft eine Lücke. Ein verlorener Laptop, eine falsch adressierte E-Mail, ein Hackerangriff – jeder Bruch der Vertraulichkeit kann eine Meldepflicht auslösen.
Die entscheidenden Fragen sind:
Liegt ein Data-Breach, ein Bruch der Vertraulichkeit vor?
Welche Daten sind betroffen?
Wie hoch ist das Risiko für die Betroffenen?
Muss über die zuständige Abteilung, die das Risiko klassifiziert, die Aufsichtsbehörde informiert werden oder sogar die Betroffenen selbst?
Und genau hier trennt sich die Theorie von der Praxis:
Viele Unternehmen haben zwar Richtlinien zum Umgang mit Datenpannen, aber keine gelebten Prozesse.
Die zuständige Abteilung, meist mit Vertretern aus IT und Datenschutz besetzt, muss innerhalb von 72 Stunden ab Kenntnis das Risikobewerten, und dann entweder eine Meldung absenden und oder Abhilfemaßnahmen einleiten.
Im Ernstfall zählt jede Minute – 72 Stunden sind schneller vorbei, als man denkt.
Unser Learning: Datenpannen sind kein Randthema, sondern ein Lackmustest für erfolgreiches Compliance-Management.
Wie ist Ihre Praxis: Haben Sie ein festes Melderitual oder herrscht noch Ad-hoc-Management?