Datenschutzvorfall oder Sicherheitsvorfall?

Hier reden IT und Datenschutz am häufigsten aneinander vorbei. Entscheidend ist Art. 4 Nr. 12 DSGVO: Sobald personenbezogene Daten betroffen sind, ist es zusätzlich ein Datenschutzvorfall — mit Meldeweg.

Warum das wichtig ist

Für die IT ist ein Vorfall gelöst, wenn das System wieder läuft. Für den Datenschutz beginnt er genau dann, wenn personenbezogene Daten „vernichtet, verloren, verändert oder unbefugt offengelegt" wurden.

Ein ausgefallener Server ohne Datenabfluss ist ein Sicherheitsvorfall. Derselbe Ausfall mit verlorenen Daten ist beides. Die Unterscheidung entscheidet, ob eine Frist läuft.

Deshalb der Reflex: Bei jedem Vorfall eine zusätzliche Frage stellen — waren personenbezogene Daten betroffen? Wer sie mit „vielleicht" beantwortet, meldet trotzdem. Die Bewertung macht der Verantwortliche, nicht die IT.

Und die Frist läuft ab der Kenntnis des Unternehmens. Wer in der IT erst aufräumt und dann meldet, verbraucht Zeit, die am Ende fehlt.

Was das Gesetz sagt

Art. 4 Nr. 12 DSGVO

„‚Verletzung des Schutzes personenbezogener Daten' eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;"

So macht man es richtig

1. Bei jedem Vorfall fragen, ob personenbezogene Daten betroffen waren.
2. Bei „vielleicht" trotzdem melden — die Bewertung ist nicht Ihre Aufgabe.
3. Erst melden, dann aufräumen; die Frist läuft im Unternehmen.
4. Spuren sichern, bevor Systeme neu aufgesetzt werden.

Stand: 25.10.2026