---
title: "Datenpanne"
description_de: "Eine Datenpanne ist der unbefugte Zugriff auf oder die Offenlegung personenbezogener Daten — meldepflichtig unter DSGVO."
description_en: "A data breach is unauthorized access to or disclosure of personal data — reportable under GDPR."
url: /wissen/glossar/datenpanne
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was ist eine Datenpanne?"
---

# Datenpanne

<AnswerCapsule>
  Eine Datenpanne (Data Breach) liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder zugänglich werden — ob durch Hack, verlorenen Laptop oder falsch adressierte E-Mail.
</AnswerCapsule>

## Was bedeutet eine Datenpanne?

[DSGVO](/wissen/it-sicherheit/dsgvo-kmu) verlangt Risikobewertung: Meldung an Aufsichtsbehörde binnen 72 Stunden wenn Risiko für Rechte der Betroffenen; Information an Betroffene wenn hohes Risiko. Dokumentation aller Vorfälle — auch unmeldepflichtiger — Pflicht.

Technische Ursachen: Ransomware-Exfil, [Phishing](/wissen/glossar/phishing), offene Cloud-Freigabe, verlorenes USB. Organisatorisch: E-Mail an falschen Empfänger, Akten im Müll. IR und Datenschutz müssen zusammenarbeiten.

Interne Dokumentation aller Vorfälle — auch near miss — verbessert Prozesse. Risikobewertung: Art der Daten, Anzahl Betroffener, Verschlüsselung, Wahrscheinlichkeit Missbrauch. Nicht jeder Vorfall ist meldepflichtig, aber jeder muss beurteilt werden.

Trainieren Sie Mitarbeitende: Verdacht sofort melden, nicht vertuschen. Interne Hotline oder feste E-Mail. Datenschutz und IT gemeinsam in 72-Stunden-Prozess einüben — Tischübung reicht.

Eine Datenpanne liegt vor, wenn personenbezogene Daten verloren gehen, offengelegt oder unbefugt verarbeitet werden — auch ohne böswilligen Angreifer, etwa durch Fehlversand oder verlorenen USB-Stick. Meldepflicht richtet sich nach Risiko für Betroffene, nicht nach Schuldfrage.

## Warum ist eine Datenpanne relevant für KMU?

Bußgelder und Reputationsschaden — Steuerberater und Makler leben von Vertrauen.

Versicherung und Mandantenverträge verlangen zunehmend Meldeprozesse — wer nicht dokumentiert, haftet allein.

Verspätete Meldung verschärft Bußgelder. Stop-the-clock: intern sofort starten, auch wenn externe Meldung noch recherchiert wird — Frist läuft ab Kenntnis.

Vertrauen von Mandanten und Behörde hängt an transparenter Reaktion — Vertuschung ist der größere Skandal als der Vorfall selbst. Dokumentierte Prozesse zeigen Sorgfalt.

Rechtsberatung früh einbinden — nicht erst Tag drei. Betroffene informieren verständlich — nicht Juristendeutsch. Interne Meldekultur stärken — Fehler verstecken verschlimmert.

Meldepflichten und Bußgelder machen jede Stunde nach Entdeckung teuer — interne Kultur „Fehler sofort melden“ spart mehr als versteckte Vorfälle. [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) verlangt strukturierte Bewertung, nicht Panik; vorbereitete Abläufe helfen GF und Datenschutz.

Vorlagen für Behörden- und Betroffeneninformation sparen Zeit — im Ernstfall ausfüllen statt bei null formulieren.

## Typische Fehler

* Vorfälle vertuschen — Frist verpasst
* Kein Ansprechpartner Datenschutz definiert
* Technik löscht Logs bevor Umfang klar
* Betroffene nicht informiert obwohl Pflicht

## Praxisbeispiel

Mitarbeiterin sendet Mandantenliste an falschen Empfänger. Datenschutzbeauftragter intern: Risiko hoch, Behörde binnen 48 Stunden, Betroffene informiert, IT prüft ob Postfach kompromittiert — getrennte Spuren, saubere Akte.

Ein Mitarbeiter sendet versehentlich eine Excel mit Kundendaten an den falschen Empfänger. Innerhalb einer Stunde meldet er es der GF; IT prüft, ob externe Weiterleitung erfolgte. Datenschutz bewertet Risiko, informiert Betroffene binnen 72 Stunden — dokumentiert im Vorfallprotokoll für die Aufsicht.

## Verwandte Begriffe

* [TOM](/wissen/glossar/tom)
* [Phishing](/wissen/glossar/phishing)
* [Incident Response](/wissen/glossar/incident-response)
* [DSGVO für KMU](/wissen/it-sicherheit/dsgvo-kmu)

<ServiceCta />


## FAQ

### Wann muss ich melden?

Unverzüglich, spätestens 72 Stunden an Aufsicht, wenn Risiko für Betroffene — intern sofort dokumentieren und einschätzen.