Datenpanne als Makler melden: Ihr 72-Stunden-Playbook

Ein Kollege bemerkt beim Kundentermin, dass sein Notebook mit der kompletten Bestandskundendatei nicht mehr in der Aktentasche steckt. Oder das Angebot für die Berufsunfähigkeit geht per Sammel-E-Mail an dreißig Empfänger raus, jeder im offenen Verteiler, Gesundheitsfragen im Anhang. In solchen Momenten läuft eine Uhr, von der viele Büros erst hinterher erfahren: 72 Stunden. Dieses Playbook führt Sie durch die ersten drei Tage, von der ersten Sofortmaßnahme bis zur fertigen Meldung, damit Sie im Ernstfall nicht erst anfangen zu recherchieren.

Was als Datenpanne zählt und was nicht (mit Makler-Beispielen)

Der Fachbegriff lautet „Verletzung des Schutzes personenbezogener Daten“ (Art. 4 Nr. 12 DSGVO). Gemeint ist jeder Vorfall, bei dem die Vertraulichkeit, die Integrität oder die Verfügbarkeit personenbezogener Daten kippt. Übersetzt heißt das: Daten geraten an Unbefugte, werden verfälscht oder gehen verloren.

Drei Pannen treffen Maklerbüros besonders häufig:

• Verlorenes oder gestohlenes Gerät. Notebook, Diensthandy oder USB-Stick ohne Verschlüsselung, dazu die volle Kundendatei. Klassiker im Außendienst.
• Fehlversand. E-Mail an den falschen Empfänger, offener Verteiler statt BCC, ein Vertrag im falschen Umschlag. Passiert in Sekunden und ist danach nicht mehr rückholbar.
• Ransomware und Hackerangriff. Ein Verschlüsselungstrojaner legt Ihre Systeme lahm oder Angreifer ziehen Daten ab. Hier ist oft sowohl die Verfügbarkeit als auch die Vertraulichkeit betroffen.

Auch ein reiner Verfügbarkeitsverlust zählt, etwa wenn Ihr einziges Backup zerstört wird und Kundendaten unwiederbringlich weg sind. Keine meldepflichtige Panne liegt dagegen vor, wenn Sie Daten befugt und wie vorgesehen verarbeiten, zum Beispiel ein Antrag geht korrekt an den Versicherer. Ein reiner Tippfehler ohne Personenbezug ist ebenfalls kein Vorfall im Sinne der DSGVO.

Die 72-Stunden-Frist: Wann sie startet und wann sie gilt

Die Frist steht in Art. 33 Abs. 1 DSGVO. Wichtig sind drei Punkte, an denen sich viele Büros verschätzen.

Erstens der Startpunkt. Die 72 Stunden beginnen mit dem Bekanntwerden, also in dem Moment, in dem Sie hinreichend sicher sind, dass eine Verletzung vorliegt. Nicht der Zeitpunkt des Vorfalls zählt, sondern Ihre Kenntnis. Notieren Sie diesen Zeitpunkt sofort, denn er dokumentiert den Fristbeginn.

Zweitens die Art der Stunden. Es sind 72 Zeitstunden, Wochenende und Feiertage eingerechnet. Bemerken Sie die Panne am Freitagabend, ist die Frist am Montagabend abgelaufen, nicht erst nach drei Arbeitstagen.

Drittens der Auftragsverarbeiter. Läuft Ihre Maklerverwaltung, Ihr E-Mail-Postfach oder Ihr Backup über einen externen Dienstleister und dort passiert der Vorfall, muss dieser Sie nach Art. 33 Abs. 2 DSGVO unverzüglich informieren. Ihre eigene Frist läuft dann ab dem Moment, in dem Sie davon erfahren. Halten Sie diese Meldekette vertraglich in Ihrem Auftragsverarbeitungsvertrag fest.

Sofortmaßnahmen in der ersten Stunde

Bevor Sie an die Behörde denken, geht es darum, den Schaden zu begrenzen und Beweise zu sichern. Arbeiten Sie diese Punkte der Reihe nach ab:

• Vorfall stoppen. Verlorenes Gerät aus der Ferne sperren oder löschen, kompromittierte Zugänge sofort mit neuen Passwörtern versehen, betroffene Systeme vom Netz trennen.
• Bei Ransomware: betroffene Rechner isolieren und nicht vorschnell neu starten, damit Spuren erhalten bleiben. Orientieren Sie sich an den Empfehlungen des BSI (bsi.bund.de) und zahlen Sie kein Lösegeld, ohne sich vorher fachlich beraten zu haben.
• Bei Fehlversand: den falschen Empfänger umgehend kontaktieren, um Löschung bitten und sich die Löschung schriftlich bestätigen lassen.
• Beweise sichern. Screenshots, Logfiles und E-Mail-Verläufe kopieren. Halten Sie fest, wer was wann bemerkt hat.
• Intern melden. Büroleitung und, falls vorhanden, Ihren Datenschutzbeauftragten informieren.
• Kenntniszeitpunkt notieren. Dieser Eintrag ist die Grundlage für Ihre Fristberechnung.

Handeln Sie zügig, aber überstürzen Sie die Behördenmeldung nicht. In der ersten Stunde zählt, dass Sie den Vorfall im Griff haben und sauber dokumentieren.

Muss ich melden? Der Entscheidungsbaum

Nicht jede Panne muss an die Behörde. Ob eine Meldepflicht besteht, hängt am Risiko für die betroffenen Personen. Prüfen Sie der Reihe nach:

• Sind personenbezogene Daten betroffen? Falls nein, greift die DSGVO-Meldepflicht nicht.
• Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen? Falls voraussichtlich kein Risiko besteht, etwa weil ein verlorenes Notebook wirksam verschlüsselt war und die Daten faktisch nicht zugänglich sind, entfällt die Meldung. Dokumentieren müssen Sie den Fall trotzdem.
• Besteht ein Risiko? Dann melden Sie der Aufsichtsbehörde binnen 72 Stunden nach Art. 33 DSGVO.
• Besteht ein hohes Risiko? Dann informieren Sie zusätzlich die betroffenen Kunden nach Art. 34 DSGVO.

Für Maklerbüros ist ein Punkt entscheidend: Sie verarbeiten regelmäßig Gesundheitsdaten, etwa bei der bAV, der Berufsunfähigkeit oder der privaten Krankenversicherung. Das sind besondere Kategorien nach Art. 9 DSGVO, bei denen schnell ein hohes Risiko anzunehmen ist. Im Zweifel spricht viel für die Meldung, denn ein unterlassener Bericht kann selbst bußgeldbewehrt sein.

So melden Sie bei Ihrer Landes-Aufsichtsbehörde (Meldeportale)

Zuständig ist die Datenschutz-Aufsichtsbehörde des Bundeslands, in dem Ihr Büro seinen Sitz hat. Für den nicht-öffentlichen Bereich hat jedes Land eine eigene Behörde. Eine aktuelle Liste aller Behörden mit Kontaktdaten und Links finden Sie beim Bundesbeauftragten für den Datenschutz (bfdi.bund.de) und bei der Datenschutzkonferenz (datenschutzkonferenz-online.de).

Die meisten Behörden bieten ein Online-Meldeformular an. In Bayern läuft das über das Bayerische Landesamt für Datenschutzaufsicht (lda.bayern.de), in Nordrhein-Westfalen über die Landesbeauftragte für Datenschutz und Informationsfreiheit (ldi.nrw.de). Suchen Sie vorab heraus, welches Portal für Sie gilt, damit Sie im Ernstfall nicht erst danach suchen.

Die Pflichtangaben ergeben sich aus Art. 33 Abs. 3 DSGVO. Halten Sie diese Vorlage bereit und füllen Sie sie beim Vorfall aus:

• Art der Panne: Was ist passiert (Verlust, Fehlversand, Angriff)?
• Betroffene Daten: Welche Datenkategorien sind betroffen und wie hoch ist die ungefähre Zahl der betroffenen Personen sowie der betroffenen Datensätze?
• Kontaktstelle: Name und Kontaktdaten Ihres Datenschutzbeauftragten oder der internen Ansprechperson.
• Wahrscheinliche Folgen: Welche Nachteile drohen den Betroffenen?
• Maßnahmen: Was haben Sie bereits getan und was ist geplant, um den Schaden einzudämmen?

Liegen Ihnen nach 72 Stunden noch nicht alle Details vor, geben Sie eine Erstmeldung ab und reichen den Rest nach. Diese schrittweise Meldung ist ausdrücklich zulässig und besser, als die Frist verstreichen zu lassen.

Wann Sie zusätzlich die Kunden informieren müssen

Die Benachrichtigung der Betroffenen ist in Art. 34 DSGVO geregelt und greift nur, wenn die Panne voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten mit sich bringt. Bei abgeflossenen Gesundheits- oder Kontodaten ist das schnell der Fall.

Die Information muss unverzüglich erfolgen, in klarer und einfacher Sprache. Inhaltlich gehören dieselben Punkte hinein wie in die Behördenmeldung: die wahrscheinlichen Folgen, Ihre Gegenmaßnahmen und eine Kontaktstelle für Rückfragen. So können sich Ihre Kunden selbst schützen, etwa indem sie Passwörter ändern oder bei verdächtigen E-Mails wachsam sind.

Art. 34 Abs. 3 DSGVO kennt Ausnahmen. Waren die Daten wirksam verschlüsselt, haben Sie das hohe Risiko durch nachträgliche Maßnahmen praktisch ausgeräumt, oder wäre eine Einzelbenachrichtigung mit unverhältnismäßigem Aufwand verbunden, kann eine öffentliche Information genügen. In der Praxis schützt eine ehrliche, frühe Information oft das Vertrauensverhältnis mehr, als es ein späteres Bekanntwerden je könnte.

Dokumentation der Panne und Vorbeugung für die Zukunft

Nach Art. 33 Abs. 5 DSGVO müssen Sie jede Datenpanne dokumentieren, auch die, die Sie nicht gemeldet haben. In die Akte gehören die Fakten des Vorfalls, die Auswirkungen und die ergriffenen Abhilfemaßnahmen. Die Aufsichtsbehörde kann diese Nachweise verlangen, deshalb lohnt sich ein festes Formular oder ein Panne-Register im Büro.

Damit es gar nicht erst so weit kommt, senken diese Bausteine Ihr Risiko spürbar:

• Festplattenverschlüsselung auf allen Notebooks und Diensthandys, damit ein Verlust nicht gleich zur Meldung wird.
• Starke Passwörter und Zwei-Faktor-Authentifizierung, gerade im Homeoffice.
• Ein geprüftes Backup nach der 3-2-1-Regel, siehe Backup und Datensicherung im Maklerbüro.
• Regelmäßige Sensibilisierung gegen Phishing, mehr dazu unter Phishing-E-Mails erkennen.
• Feste Regeln für den E-Mail-Versand, etwa BCC bei mehreren Empfängern, plus aktuelle technische und organisatorische Maßnahmen. Eine Vorlage finden Sie in der TOM-Checkliste fürs Maklerbüro.

Dieser Beitrag ist ein Ratgeber und ersetzt keine Rechtsberatung. Bei größeren Vorfällen oder unklarer Risikolage sollten Sie frühzeitig Ihren Datenschutzbeauftragten oder einen fachkundigen Anwalt hinzuziehen. Wer das Playbook einmal im Vorfeld durchgeht und die Zuständigkeiten klärt, gewinnt im Ernstfall genau die Stunden, auf die es ankommt.