Wann liegt überhaupt eine meldepflichtige Panne vor?
Art. 4 Nr. 12 DSGVO definiert die Verletzung des Schutzes personenbezogener Daten weit: jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Das umfasst ausdrücklich auch den bloßen Verlust der Verfügbarkeit — ein verschlüsselnder Angriff ohne Datenabfluss ist bereits eine Panne.
Typische Fälle in Praxen
- Befund oder Arztbrief per E-Mail oder Fax an den falschen Empfänger
- Verlust eines Laptops, Diensthandys oder USB-Sticks mit Patientendaten
- Ransomware-Befall oder Ausfall des Praxisverwaltungssystems ohne funktionierendes Backup
- Einbruch mit Zugriff auf Akten oder Server
- Unterlagen im Papiermüll statt im Sicherheitsbehälter
- Unbefugter Zugriff einer Mitarbeiterin auf die Akte einer Bekannten
Die Frist und was sie bedeutet
Nach Art. 33 Abs. 1 DSGVO ist die Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu richten — in Nordrhein-Westfalen an die LDI NRW. Die Frist läuft ab Kenntnis der verantwortlichen Stelle, nicht ab dem Vorfall selbst. Sie läuft auch über Wochenenden.
Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei Gesundheitsdaten ist diese Ausnahme selten einschlägig — die Datenkategorie erhöht das Risiko von vornherein.
Die ersten Stunden
Reihenfolge, die sich bewährt hat
- Eindämmen: betroffenes System vom Netz nehmen, Zugang sperren, weiteren Abfluss stoppen
- Nicht aufräumen: Logfiles, E-Mails und Systemzustände sichern, bevor jemand neu startet
- Dokumentieren: Wer hat wann was bemerkt, welche Daten und wie viele Personen sind betroffen
- Datenschutzbeauftragten einbeziehen — das ist einer der Fälle, für die die Rolle existiert
- Risiko bewerten und Meldung vorbereiten
- Prüfen, ob zusätzlich die Betroffenen zu informieren sind
Unabhängig von der Meldepflicht besteht immer eine Dokumentationspflicht: Nach Art. 33 Abs. 5 DSGVO sind alle Verletzungen zu dokumentieren, auch die nicht gemeldeten. Die Aufsichtsbehörde darf diese Dokumentation einsehen, und sie ist regelmäßig eines der ersten Dinge, nach denen gefragt wird.
Wann die Patienten informiert werden müssen
Art. 34 DSGVO verlangt eine Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat. Bei offengelegten Gesundheitsdaten ist das häufig der Fall. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen und mindestens die wahrscheinlichen Folgen sowie die ergriffenen Maßnahmen benennen.
Sie kann entfallen, wenn die Daten wirksam verschlüsselt waren, wenn nachträglich Maßnahmen ergriffen wurden, die das hohe Risiko ausschließen, oder wenn die Einzelbenachrichtigung einen unverhältnismäßigen Aufwand bedeuten würde — dann tritt eine öffentliche Bekanntmachung an ihre Stelle.
Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und dient der organisatorischen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall.