Datenpanne in der Kanzlei – wann gilt die DSGVO-Meldepflicht, und was ist jetzt zu tun?
Inhaltsverzeichnis
Veröffentlicht: 15. Oktober 2026 · Lesezeit: ca. 14 Minuten
Vor einigen Jahren galt ein abgeschlossener Serverraum und eine wöchentliche Datensicherung als ausreichend. Datenpannen waren seltene Ausnahmen, und das Thema Meldepflicht beschäftigte vor allem Konzerne mit Hunderttausenden Kundendatensätzen. Für eine Steuer- oder Anwaltskanzlei mit 300 Mandantendossiers schien die DSGVO eher theoretischer Natur.
Das hat sich grundlegend verändert. Kanzleisoftware wie DATEV oder RA-MICRO ist heute über Cloud-Anbindungen, SmartLogin-Token und Fernzugriffslösungen in das Internet verlängert. Angreifer zielen gezielt auf genau diese Einfallstore – und der Cyberangriff auf Notebooksbilliger im Oktober 2026, bei dem Kundendaten inklusive Bankverbindungen erbeutet wurden, zeigt exemplarisch, was passiert, wenn gestohlene Daten für Betrugsversuche missbraucht werden. Für Kanzleien wären es keine Bestelldaten, sondern Steuerunterlagen, Erbschaftsfälle oder strafrechtlich relevante Mandatsdetails.
Wer heute keinen dokumentierten Notfallpfad hat, wird die 72-Stunden-Frist unter Stress nicht einhalten – und das hat Konsequenzen.
Die Datenpanne Meldepflicht DSGVO nach Art. 33 trifft Steuer- und Anwaltskanzleien härter als die meisten anderen Branchen. Mandantendaten unterliegen nicht nur der DSGVO, sondern gleichzeitig dem Berufsgeheimnis nach § 203 StGB – ein Datenverlust ist also gleichzeitig ein datenschutzrechtliches und ein standesrechtliches Ereignis. Diese Doppelbelastung zwingt Kanzleien zu einem durchdachten, vorab dokumentierten Reaktionspfad.
Die Zahlen zeigen, wie ernst die Lage ist: In Deutschland wurden zuletzt knapp 25.000 Datenpannen pro Jahr gemeldet – Tendenz deutlich steigend. Und während große Unternehmen Compliance-Teams beschäftigen, müssen Kanzleien mit einer Handvoll Mitarbeiterinnen und Mitarbeitern denselben Pflichten nachkommen, oft mitten im Fristenstress des Jahresabschlusses.
Dieser Beitrag liefert eine strukturierte Checkliste mit acht Prüfpunkten – von der organisatorischen Grundlage bis zur technischen Härtung – und zeigt, welche Stolperfallen bei der Umsetzung am häufigsten auftreten. Die ersten beiden Abschnitte richten sich an die Kanzleiführung, danach wird es technisch konkreter.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Gemeldete Datenpannen in Deutschland (Art. 33 DSGVO) | 24.749 Meldungen – Rekordhoch gegenüber 21.170 im Vorjahr | DSGVO-Portal 2023 |
| Anstieg gemeldeter Datenschutzverletzungen in Niedersachsen | +13 % gegenüber dem Vorjahr (+153 Meldungen) | Security-Insider 2024 (Primärquelle: Nds. Datenschutzbeauftragter) |
| Anteil der Cyberangriffe, die sich gegen KMU richten | ca. 80 % | sysob.com-Analyse zum BSI-Lagebericht 2024 – Originalbeleg im BSI-Bericht prüfen |
| Geplante neue Meldefrist (EU-Omnibus-Paket, noch nicht in Kraft) | 96 Stunden statt 72 Stunden, nur bei hohem Risiko | Europäischer Datenschutzausschuss (EDSA) |
Datenpanne Meldepflicht DSGVO: Was auf dem Spiel steht – und warum Kanzleien besonders exponiert sind
Eine Datenpanne in einer Steuer- oder Anwaltskanzlei ist kein gewöhnlicher IT-Vorfall. Sie berührt gleichzeitig drei Rechtsebenen: die DSGVO-Meldepflicht nach Art. 33, das Berufsgeheimnis gemäß § 203 StGB und – bei steuerberatenden Berufen – die Pflichten nach der Abgabenordnung mit ihren Aufbewahrungsfristen. Wer hier zögert oder unvollständig dokumentiert, riskiert nicht nur Bußgelder, sondern auch standesrechtliche Konsequenzen.
Die Datenpanne Meldepflicht DSGVO verlangt, dass eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet wird – ohne Rücksicht auf Wochenenden oder Feiertage. Für eine Kanzlei bedeutet das: Wird ein Einbruch in die DATEV-Rechenzentrum-Anbindung freitagabends entdeckt, läuft die Frist bis Montagmorgen früh. Fehlt ein vorbereitetes Meldeformular und ein klarer Eskalationspfad, wird diese Frist unter Stress regelmäßig gerissen.
Erschwerend kommt hinzu, dass Mandantendaten häufig besonders schutzbedürftig sind: Steuerliche Verhältnisse, Erbschaftsangelegenheiten, strafrechtliche Mandate – all das sind Kategorien, bei denen ein Datenverlust fast automatisch ein „hohes Risiko“ für Betroffene begründet und damit zusätzlich die Benachrichtigungspflicht nach Art. 34 DSGVO auslöst.
Unserer Erfahrung nach unterschätzen Kanzleien vor allem eines: die Komplexität der Entscheidung im Moment des Vorfalls. Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH begleiten wir Kanzleien dabei, diese Entscheidungsstruktur vorab zu erarbeiten – damit sie im Ernstfall nicht neu gedacht werden muss. Kanzleien in Mühlhausen und Umgebung kennen dieses Szenario aus Praxisgesprächen gut: Der Vorfall tritt selten zu einem günstigen Zeitpunkt auf.
- Klären Sie, welche Datenkategorien Ihre Kanzlei verarbeitet – und stufen Sie diese nach Schutzbedarf ein.
- Identifizieren Sie jetzt, welche Vorfälle die Meldepflicht auslösen – und welche nicht.
- Stellen Sie sicher, dass die 72-Stunden-Frist im Team bekannt ist – inklusive der Wochenendregelung.
- Prüfen Sie, ob Ihre Verschwiegenheitspflicht nach § 203 StGB in Ihren Auftragsverarbeitungsverträgen korrekt abgebildet ist.
Prüfpunkt 1 & 2: Eskalationspfad und Meldeformular – bevor der Ernstfall eintritt
Der erste Prüfpunkt klingt organisatorisch, ist aber der wichtigste: Wer meldet im Ernstfall an wen – und in welcher Reihenfolge? In Kanzleien lautet der Pfad typischerweise: IT-Verantwortlicher oder externe IT-Betreuung → Datenschutzbeauftragter → Kanzleiführung → Aufsichtsbehörde. Dieser Pfad muss schriftlich fixiert sein, mit Mobilnummern und einer Vertretungsregelung für Urlaub und Krankheit. Eine Anleitung, die nur auf dem Rechner des abwesenden Kanzleiinhabers liegt, nützt nichts.
Wichtig: Zuständig ist die Datenschutzaufsichtsbehörde des Bundeslandes, in dem Ihre Kanzlei ihren Sitz hat. Für Thüringen ist das der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit, für Niedersachsen der Landesbeauftragte für den Datenschutz Niedersachsen. Die jeweiligen Online-Meldeportale akzeptieren Meldungen rund um die Uhr.
Der zweite Prüfpunkt betrifft das Meldeformular selbst. Füllen Sie das Formular Ihrer Landesbehörde noch heute mit Ihren Stammdaten vor: Kanzleiname, Adresse, Ansprechpartner, Datenschutzbeauftragter. Speichern Sie diese Vorlage zentral ab – zugänglich für alle, die im Notfall handeln müssen. Der Europäische Datenschutzausschuss hat inzwischen eine einheitliche Meldevorlage für Datenschutzverletzungen nach Art. 33 DSGVO veröffentlicht, die als strukturierte Orientierung dient und die Bewertung erleichtert.
Die IT-Sicherheitslösungen der TTG GmbH umfassen auch die Beratung zu Notfallplänen, die genau diese organisatorischen Lücken schließen. Ein strukturiertes Incident-Response-Dokument lässt sich in einem halben Arbeitstag erstellen – es muss nur einmal getan werden.
- Legen Sie den Eskalationspfad schriftlich fest – mit Namen, Mobilnummern und Vertretungen.
- Stellen Sie sicher, dass der Pfad auch an Wochenenden und Feiertagen funktioniert.
- Laden Sie das Meldeformular Ihrer Landesbehörde herunter und füllen Sie Stammdaten vorab aus.
- Speichern Sie die ausgefüllte Vorlage an einem Ort, der für alle Beteiligten erreichbar ist – auch ohne Serveranmeldung.
- Verweisen Sie im Eskalationspfad explizit auf die einheitliche EDSA-Meldevorlage als Ausfüllhilfe.
Prüfpunkt 3 & 4: Pannenkategorien kennen und ein internes Register führen
Nicht jede Datenpanne ist meldepflichtig – aber alle müssen dokumentiert werden. Art. 33 Abs. 5 DSGVO schreibt vor, dass auch Vorfälle, bei denen Sie bewusst auf eine Meldung verzichten, im internen Verzeichnis festzuhalten sind, inklusive der Begründung. Ein fehlendes Register ist bei Prüfungen durch die Aufsichtsbehörde regelmäßig Beanstandungsgrund – unabhängig davon, ob ein meldepflichtiger Vorfall stattgefunden hat.
Dritter Prüfpunkt ist deshalb das interne Pannenregister. Es reicht eine einfache Tabelle – digital oder auf Papier – mit Datum, Art des Vorfalls, betroffenen Datenkategorien, Anzahl der betroffenen Personen, eingeleiteten Maßnahmen und der Meldeentscheidung mit Begründung. Entscheidend ist die Konsequenz: Jeder Vorfall, der bekannt wird, muss eingetragen werden.
Der vierte Prüfpunkt ist die Risikoschwelle. Die Datenpanne Meldepflicht DSGVO greift, sobald ein Risiko für die Rechte und Freiheiten betroffener Personen besteht – das ist die niedrigere Schwelle und löst die Pflicht zur Meldung an die Behörde aus. Ist das Risiko „hoch“, kommt die Pflicht zur direkten Benachrichtigung der Betroffenen nach Art. 34 hinzu. Für Kanzleien ist diese Unterscheidung besonders relevant: Gestohlene Mandantendaten mit steuerlichen oder strafrechtlichen Inhalten begründen fast immer ein hohes Risiko.
Erstellen Sie eine interne Checkliste mit Risikoindikatoren – der BSI – IT-Grundschutz für Unternehmen stellt dafür Bewertungsrahmen bereit, die auch ohne Sicherheitszertifizierung nutzbar sind. Klären Sie vorab: Welche Datenarten verarbeitet Ihre Kanzlei, und welcher Vorfall führt zu welcher Risikoeinstufung? Diese Vorentscheidung spart im Ernstfall wertvolle Stunden. Sichern Sie auch die Sichere IT-Infrastruktur für KMU – TTG GmbH als technische Grundlage für lückenlose Protokollierung ein.
- Richten Sie ein internes Pannenregister ein – Vorlage genügt, Hauptsache konsistent geführt.
- Tragen Sie auch Vorfälle ein, bei denen Sie keine Meldung erstatten – mit schriftlicher Begründung.
- Definieren Sie vorab Risikoschwellen anhand Ihrer Datenkategorien (steuerliche Daten, Mandate, Bankdaten).
- Unterscheiden Sie klar: „Risiko“ → Behördenmeldung (Art. 33), „hohes Risiko“ → Betroffenenbenachrichtigung (Art. 34).
- Lassen Sie die Risikoklassifikation von Ihrem Datenschutzbeauftragten gegenzeichnen.
Prüfpunkt 5 & 6: Drittanbieter, AVV und berufsrechtliche Verschwiegenheit
Viele Kanzleien gehen davon aus, dass eine Datenpanne bei einem externen Dienstleister zunächst dessen Problem ist. Das ist ein Irrtum: Sobald ein Auftragsverarbeiter – etwa ein Cloud-Rechnungsanbieter, ein Dokumentenmanagement-Dienst oder der DATEV-Datentresor – Daten Ihrer Mandanten verarbeitet und dort eine Datenpanne auftritt, trifft die Datenpanne Meldepflicht DSGVO Sie als verantwortliche Stelle.
Fünfter Prüfpunkt ist deshalb die Vollständigkeit Ihrer Auftragsverarbeitungsverträge (AVV). Prüfen Sie für jeden Dienstleister, der Mandantendaten berührt: Gibt es einen aktuellen AVV? Enthält er eine Meldepflicht des Dienstleisters Ihnen gegenüber – und mit welcher Frist? Ein AVV, der dem Dienstleister 72 Stunden für die Benachrichtigung lässt, ist für Sie wertlos, weil Sie dann keine Zeit mehr für die eigene Meldung haben. Fordern Sie eine Meldepflicht innerhalb von 24 Stunden.
Der sechste Prüfpunkt ist branchenspezifisch und wird in der Praxis häufig übersehen: Externe IT-Dienstleister, die auf DATEV-Systeme, RA-MICRO oder vergleichbare Kanzleisoftware zugreifen, verarbeiten faktisch Mandantengeheimnisse. Das verpflichtet Sie berufsrechtlich zu einer Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB – zusätzlich und unabhängig vom AVV. Ein AVV allein genügt hier nicht. Diese Vereinbarung muss schriftlich vorliegen und namentlich auf den Dienstleister und dessen Mitarbeiter bezogen sein.
Microsofts Oktober-Patchday schloss kürzlich über 1.400 Schwachstellen in Windows und Office, von denen mindestens eine bereits aktiv ausgenutzt wurde – ein Hinweis, wie schnell auch Standardsoftware zum Einfallstor wird. Prüfen Sie deshalb auch, ob Ihre Cloud-Dienstleister aktuelle Patchstände garantieren und das dokumentieren können. Weitere Unterstützung bieten die IT-Dienstleistungen der TTG GmbH bei der Prüfung und Anpassung bestehender Vertragswerke.
- Listen Sie alle Drittanbieter auf, die Mandantendaten verarbeiten – inklusive Cloud-Dienste und Fernwartungsanbieter.
- Prüfen Sie für jeden Anbieter: aktueller AVV vorhanden? Meldepflicht innerhalb von 24 Stunden vereinbart?
- Schließen Sie zusätzlich eine Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB – nicht nur einen AVV.
- Verlangen Sie von IT-Dienstleistern den Nachweis aktueller Patchstände für eingesetzte Systeme.
- Überprüfen Sie beA- und beSt-Zugänge: Wer hat Zugriff, und ist dieser Zugriff protokolliert?
Prüfpunkt 7 & 8: Technische Protokollierung und regelmäßige Übung
Die Datenpanne Meldepflicht DSGVO setzt voraus, dass Sie den Vorfall beschreiben können: Was ist betroffen? Wie viele Personen? Welche Datenkategorien? Welche Maßnahmen wurden wann ergriffen? Diese Antworten liefern nur funktionierende Log-Systeme. Fehlen Logs – oder sind sie nicht auswertbar –, können Sie im Ernstfall weder den Umfang einer Panne einschätzen noch die Behörde korrekt informieren.
Siebter Prüfpunkt ist deshalb die Protokollierung auf Systemebene. In Windows-Umgebungen (ab Windows Server 2019) sollten mindestens die Sicherheitsereignisse (Security Event Log, Kategorie 4625, 4648, 4768), Anmeldungen an DATEV-Komponenten und Zugriffe auf Freigegebene Verzeichnisse mit sensiblen Mandantendaten zentral erfasst werden – idealerweise in einem SIEM oder zumindest in einem zentralen Log-Server, auf den Angreifer keinen Schreibzugriff haben. Beim DATEV SmartLogin lassen sich Authentifizierungsereignisse ebenfalls auswerten; stellen Sie sicher, dass diese Logs mindestens 90 Tage vorgehalten werden.
Achter Prüfpunkt ist die regelmäßige Übung: Ein Notfallplan, der nie getestet wurde, ist kein Notfallplan. Führen Sie mindestens einmal jährlich eine Tischübung durch – ein Szenario wird durchgespielt, Eskalationspfad und Meldeformular werden auf Aktualität geprüft. Erfahrungsgemäß deckt schon die erste Übung mindestens zwei Lücken auf: eine veraltete Telefonnummer und ein abgelaufenes Passwort für das Behördenportal.
Unterstützung bei der Auswahl und Konfiguration geeigneter Monitoring-Lösungen bietet Über TTG GmbH – Ihr regionaler IT-Partner – mit Erfahrung aus konkreten Kanzleiprojekten. Zusätzlich empfiehlt der BSI Lagebericht Cybersicherheit ausdrücklich eine strukturierte Protokollierung als Basismaßnahme für alle Unternehmensgrößen.
- Aktivieren Sie zentrale Protokollierung für Anmeldeereignisse, Dateizugriffe und administrative Aktionen.
- Sichern Sie Logs gegen Manipulation – Schreibschutz oder separater Log-Server.
- Stellen Sie sicher, dass DATEV SmartLogin-Authentifizierungen ausgewertet und mindestens 90 Tage archiviert werden.
- Planen Sie eine jährliche Tischübung mit Ihrem Team – Eskalationspfad und Meldeformular dabei testen.
- Dokumentieren Sie das Ergebnis der Übung und passen Sie den Notfallplan entsprechend an.
Was tun, wenn ein Punkt nicht erfüllt ist? Priorisierung nach Risiko
Wer die obigen acht Prüfpunkte durcharbeitet, findet selten eine weiße Weste. Die entscheidende Frage ist: Wo liegt das größte Risiko – und was muss zuerst geschlossen werden?
Typisch ist folgende Konstellation: Eine Kanzlei mit sechs bis zehn Mitarbeitenden hat einen AVV mit dem DATEV-Rechenzentrum, aber keine Verschwiegenheitsvereinbarung mit dem externen IT-Betreuer, der regelmäßig auf RA-MICRO zugreift. Ein internes Pannenregister existiert nicht. Der Eskalationspfad ist mündlich bekannt, aber nirgends aufgeschrieben. Diese Lücken sind nicht aus Nachlässigkeit entstanden – sie entstehen, weil die Datenpanne Meldepflicht DSGVO in der täglichen Kanzleiarbeit schlicht kein Thema ist, solange nichts passiert.
Die Priorisierung sollte nach Eintrittswahrscheinlichkeit und Schadenshöhe erfolgen:
| Situation | Sofortmaßnahme | Warum |
|---|---|---|
| Kein schriftlicher Eskalationspfad | Dokument heute erstellen (2–3 Stunden) | Ohne Pfad sind alle anderen Maßnahmen wirkungslos |
| Fehlende Verschwiegenheitsvereinbarung mit IT-Dienstleister | Vorlage anfordern und unterzeichnen | § 203 StGB – berufsrechtliches Risiko, nicht nur DSGVO |
| Kein Pannenregister | Einfache Tabelle anlegen, rückwirkend dokumentieren | Pflichtdokument nach Art. 33 Abs. 5 DSGVO |
| Keine Protokollierung aktiv | Windows-Sicherheitslog und DATEV-Logs aktivieren | Ohne Logs kein Nachweis, kein Schadensumfang |
Für Kanzleien in der Region rund um Mühlhausen ist die TTG GmbH als Ansprechpartner vor Ort – mit über 25-jähriger Erfahrung in der IT-Betreuung von Kanzleien und Mittelstandsbetrieben. Weiterführende Orientierung bietet die Bitkom-Ressourcenseite zu Datenschutz und IT-Sicherheit. Nehmen Sie jetzt unverbindlich Kontakt auf, bevor der Ernstfall das Gespräch erzwingt: Jetzt unverbindlich Kontakt aufnehmen.
Sofort, in 30 Tagen, langfristig – was wann zu tun ist
Die Datenpanne Meldepflicht DSGVO ist kein einmaliges Projekt, sondern ein dauerhafter Prozess. Damit die Maßnahmen nicht im Kanzleialltag versanden, hilft eine klare Dreiteilung nach Zeithorizont.
Sofort (heute bis Ende der Woche): Diese drei Dinge lassen sich ohne externe Unterstützung erledigen und schließen die kritischsten Lücken. Legen Sie den schriftlichen Eskalationspfad an. Laden Sie das Meldeformular Ihrer Landesbehörde herunter und füllen Sie Stammdaten vor. Erstellen Sie ein leeres Pannenregister als Tabelle.
Innerhalb von 30 Tagen: Prüfen Sie alle AVV auf die 24-Stunden-Meldeklausel. Holen Sie die Verschwiegenheitsvereinbarung mit Ihrem IT-Dienstleister nach – das erfordert eine kurze Abstimmung, aber keinen langen Verhandlungsprozess. Aktivieren Sie die zentrale Protokollierung auf Ihren Servern und in DATEV. Legen Sie Risikoschwellen schriftlich fest.
Langfristig (quartalsweise bis jährlich): Führen Sie die angekündigte Tischübung durch. Überprüfen Sie den Eskalationspfad auf Aktualität – Personalwechsel, neue Dienstleister, geänderte Telefonnummern. Verfolgen Sie die geplante Änderung durch das EU-Omnibus-Paket: Wenn die Meldefrist auf 96 Stunden verlängert und auf Hochrisiko-Vorfälle beschränkt wird, müssen Ihre internen Schwellenwerte und Meldeprozesse angepasst werden. Bestehende Notfallpläne wären bei Inkrafttreten zwingend zu überarbeiten.
- Sofort: Eskalationspfad, Meldeformular-Vorlage, Pannenregister anlegen.
- 30 Tage: AVV prüfen, Verschwiegenheitsvereinbarung, Logging aktivieren, Risikoschwellen definieren.
- Jährlich: Tischübung durchführen, Pläne aktualisieren, gesetzliche Änderungen einarbeiten.
- EU-Omnibus-Entwicklung beobachten und Notfallplan bei Änderung der Fristen anpassen.
Häufige Stolperfallen bei der Umsetzung – und wie Sie sie vermeiden
Die Datenpanne Meldepflicht DSGVO ist im Grundsatz klar geregelt – die Praxis zeigt aber immer wieder dieselben Fehler. Kennen Sie diese Stolperfallen, bevor Sie in sie treten.
Stolperfalle 1: Die 72-Stunden-Frist falsch zählen. Die Frist beginnt mit dem Zeitpunkt, ab dem Ihnen die Datenpanne „bekannt“ ist – nicht mit dem Zeitpunkt, ab dem Sie sicher sind, dass es eine Datenpanne war. Wer zu lange mit der internen Klärung wartet, verliert wertvolle Stunden. Im Zweifel: Meldung unter Vorbehalt abgeben und nachliefern – das ist ausdrücklich zulässig.
Stolperfalle 2: Fristenstress im Frühjahr. Jahresabschlussarbeiten und Steuerfristspitzen machen es unmöglich, in dieser Zeit aufwendige IT-Projekte umzusetzen. Planen Sie Wartungsfenster und Schulungen außerhalb dieser Hochphasen – erfahrungsgemäß bieten sich September bis November an.
Stolperfalle 3: Betroffene vergessen zu informieren. Wenn Sie die Behörde informieren, aber die betroffenen Mandanten nicht – obwohl ein hohes Risiko vorliegt –, begehen Sie einen zweiten Verstoß. Art. 34 DSGVO verpflichtet zur direkten, klaren und verständlichen Information. Formulieren Sie eine Vorlage für diesen Kommunikationsbrief vorab.
Stolperfalle 4: DATEV-Sicherheitsereignisse nicht auswerten. Ein Einbruch in die DATEV Unternehmen online-Anbindung kann Wochen unentdeckt bleiben, wenn niemand die Zugriffslogik überwacht. Aktivieren Sie Benachrichtigungen für ungewöhnliche Anmeldungen und unbekannte Geräte im SmartLogin-Portal.
Stolperfalle 5: Den IT-Dienstleister als Ersatz für den Datenschutzbeauftragten behandeln. Ihr IT-Partner kann Systeme absichern und Vorfälle erkennen – die rechtliche Meldepflicht und die Bewertung des Risikos liegt aber bei Ihnen als verantwortlicher Stelle. Stellen Sie sicher, dass diese Rollen klar getrennt sind und die Zusammenarbeit schriftlich geregelt ist.
- Melden Sie im Zweifel unter Vorbehalt – Nachlieferung ist besser als Fristversäumnis.
- Erstellen Sie eine Vorlage für die Betroffenenbenachrichtigung nach Art. 34 DSGVO.
- Aktivieren Sie Benachrichtigungen für ungewöhnliche DATEV SmartLogin-Ereignisse.
- Planen Sie keine größeren IT-Umstellungen in Jahresabschluss- und Fristenphasen.
- Klären Sie schriftlich, wer die Risikobeurteilung übernimmt – IT-Dienstleister oder Datenschutzbeauftragter.
Ihre Checkliste: So starten Sie jetzt
- Legen Sie den schriftlichen Eskalationspfad fest: IT → Datenschutzbeauftragter → Kanzleiführung – mit Mobilnummern und Vertretungsregelung.
- Laden Sie das Meldeformular Ihrer zuständigen Landesbehörde herunter und füllen Sie Stammdaten vorab aus.
- Richten Sie ein internes Pannenregister ein – auch für Vorfälle, bei denen Sie keine Meldung erstatten, inklusive Begründung.
- Prüfen Sie alle Auftragsverarbeitungsverträge: Enthält jeder AVV eine Meldepflicht des Dienstleisters innerhalb von 24 Stunden?
- Schließen Sie mit Ihrem IT-Dienstleister eine Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB – zusätzlich zum AVV.
- Aktivieren Sie die zentrale Protokollierung für Anmeldeereignisse, Dateizugriffe und DATEV SmartLogin-Authentifizierungen.
- Definieren Sie Risikoschwellen schriftlich: Welche Datenpanne löst nur Art. 33 aus – und welche zusätzlich Art. 34 DSGVO?
- Planen Sie eine jährliche Tischübung: Eskalationspfad und Meldeformular live durchspielen und auf Aktualität prüfen.
Häufig gestellte Fragen
Gilt die 72-Stunden-Meldepflicht auch, wenn die Datenpanne bei einem externen Dienstleister wie DATEV aufgetreten ist?
Ja. Als verantwortliche Stelle sind Sie meldepflichtig – unabhängig davon, ob der Vorfall in Ihrer eigenen IT oder beim Auftragsverarbeiter eingetreten ist. Sobald Ihr Dienstleister Sie informiert, läuft Ihre 72-Stunden-Frist. Deshalb sollten Ihre AVV eine Benachrichtigungspflicht des Dienstleisters innerhalb von 24 Stunden vorsehen – damit Ihnen noch Handlungsspielraum bleibt.
Wir nutzen RA-MICRO mit Fernzugriff für Homeoffice – was müssen wir beachten?
Fernzugriffe auf RA-MICRO erweitern die Angriffsfläche erheblich. Stellen Sie sicher, dass Verbindungen ausschließlich über ein VPN mit Zwei-Faktor-Authentifizierung laufen, Sitzungen protokolliert werden und der Fernzugriff-Dienstleister eine Verschwiegenheitsvereinbarung nach § 203 Abs. 4 StGB unterzeichnet hat. Zugriffsprotokolle sollten mindestens 90 Tage aufbewahrt werden – sowohl aus DSGVO-Gründen als auch mit Blick auf die GoBD-konformen Aufbewahrungsfristen nach der Abgabenordnung.
Müssen wir auch dann melden, wenn unklar ist, ob tatsächlich Daten abgeflossen sind?
Die Meldepflicht greift bereits bei einer Datenpanne, die voraussichtlich zu einem Risiko führt – nicht erst bei gesichertem Datenverlust. Im Zweifel sollten Sie unter Vorbehalt melden und die Untersuchung nachliefern. Eine unterlassene Meldung wird von Aufsichtsbehörden deutlich strenger bewertet als eine vorsorglich abgegebene, unvollständige Erstmeldung.
Was kostet uns die Umsetzung dieser Maßnahmen realistisch?
Die organisatorischen Grundlagen – Eskalationspfad, Meldeformular-Vorlage, Pannenregister – lassen sich mit einem halben bis einem Arbeitstag intern erstellen, ohne externe Kosten. Die technischen Maßnahmen wie Logging-Konfiguration und SIEM-Anbindung erfordern typischerweise zwei bis vier Stunden IT-Betreuungsaufwand. Die Verschwiegenheitsvereinbarung nach § 203 StGB ist eine Vorlage, die einmalig aufgesetzt und dann fortgeschrieben wird.
Ändert sich durch das geplante EU-Omnibus-Paket etwas an unserer Meldepflicht?
Die EU-Kommission plant eine Verlängerung der Meldefrist von 72 auf 96 Stunden sowie eine Beschränkung der Meldepflicht auf Vorfälle mit hohem Risiko. Das Paket ist noch nicht in Kraft. Bis dahin gelten die aktuellen Regelungen unverändert. Sollte die Änderung kommen, müssen bestehende Notfallpläne, Risikoschwellen und Eskalationspfade überarbeitet werden – ein weiterer Grund, diese Dokumente aktuell und leicht anpassbar zu halten.
Lesetipps – weitere Ratgeber der TTG GmbH
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute – ohne nachzuschlagen –, wen Sie in Ihrer Kanzlei zuerst anrufen müssten, wenn morgen früh um 7 Uhr ein Mandantendatenabfluss festgestellt wird?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
