Datenleck Meldepflicht: Was Unternehmen und Betroffene wissen müssen

Datenlecks sind keine Seltenheit — von großen Konzernen bis zu kleinen Unternehmen kann es jeden treffen. Wenn personenbezogene Daten unbefugt offengelegt werden, greifen strenge Meldepflichten nach DSGVO und dem Schweizer nDSG. Doch was bedeutet das für Unternehmen und betroffene Personen?

Meldepflicht nach DSGVO: Die 72-Stunden-Regel

Art. 33 DSGVO verpflichtet Verantwortliche, eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Die Meldung muss enthalten:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Anzahl der betroffenen Personen
• Kontaktdaten des Datenschutzbeauftragten
• Beschreibung der wahrscheinlichen Folgen
• Ergriffene oder vorgeschlagene Abhilfemaßnahmen

Benachrichtigung der Betroffenen

Art. 34 DSGVO schreibt vor, dass betroffene Personen unverzüglich benachrichtigt werden müssen, wenn das Datenleck voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt. Die Benachrichtigung muss in klarer, einfacher Sprache erfolgen und Empfehlungen zum Selbstschutz enthalten.

Meldepflicht in der Schweiz nach nDSG

Das revidierte Schweizer Datenschutzgesetz (nDSG) regelt die Meldepflicht in Art. 24:

• Meldung an den EDÖB so rasch wie möglich bei Verletzungen mit voraussichtlich hohem Risiko
• Anders als die DSGVO nennt das nDSG keine konkrete Stundenfrist, empfiehlt aber unverzügliches Handeln
• Betroffene Personen sind zu informieren, wenn es zu ihrem Schutz erforderlich ist
• Auftragsverarbeiter müssen dem Verantwortlichen Verstöße unverzüglich melden

Was sollten Betroffene tun?

Wenn Sie erfahren, dass Ihre Daten von einem Datenleck betroffen sind:

1. Passwörter sofort ändern: Beginnen Sie mit dem betroffenen Dienst, dann alle Konten mit demselben Passwort
2. Zwei-Faktor-Authentifizierung aktivieren: Zusätzliche Sicherheitsebene für alle wichtigen Konten
3. Kontobewegungen überwachen: Prüfen Sie Bank- und Kreditkartenkonten auf verdächtige Aktivitäten
4. Identitätsdiebstahl-Warnungen einrichten: Bei Auskunfteien wie SCHUFA oder CRIF
5. Datenschutzbeschwerde einreichen: Wenn das Unternehmen seine Pflichten nicht erfüllt hat

Konsequenzen für Unternehmen

Verstöße gegen die Meldepflicht können erhebliche Bußgelder nach sich ziehen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes gemäß Art. 83 Abs. 4 DSGVO. In der Schweiz drohen Bußgelder bis 250.000 CHF gegen die verantwortliche natürliche Person.

Prüfen Sie, ob Ihre Daten betroffen sind

Datenlecks führen häufig dazu, dass Ihre Daten bei Datenbrokern und im Dark Web auftauchen. Unsere kostenlose Analyse prüft, ob Ihre personenbezogenen Daten bei DACH-Datenquellen öffentlich zugänglich sind. Weitere Informationen zum Thema Datenschutz und Sicherheit finden Sie in unserem Ratgeber.