Die Meldung einer Datenpanne an die Behörde für Datenschutz ist selbst kostenlos: dafür ist keine Gebühr oder Entschädigung zu zahlen. Die Kosten entstehen durch das, was drumherum geschieht: die Aufklärung, was genau schiefgelaufen ist, die Benachrichtigung der Betroffenen, möglicherweise notwendige technische Wiederherstellungsarbeiten und die Zeit, die dies alles Ihre Organisation kostet. Wie hoch das ausfällt, hängt stark vom Umfang der Panne, der Art der Daten und davon ab, ob Sie bereits ein Verfahren eingeleitet hatten, bevor etwas schiefging.
Es gibt keinen Pauschalpreis für «eine Datenpanne», weil keine zwei Datenpannen gleich sind. Eine falsch versendete E-Mail mit Kontaktdaten eines Kunden erfordert etwas anderes als ein Einbruch in ein System mit Personalakten von hundert Mitarbeitern. Die Kostenpunkte fallen immer in die gleichen Kategorien; nur der Umfang unterscheidet sich.
Woher die Kosten kommen
Der erste Kostenpunkt ist interne Zeit: Jemand muss klären, was geschehen ist, welche Daten betroffen sind und ob die gesetzliche Frist von zweiundsiebzig Stunden für die Meldung an die Behörde für Datenschutz zu berücksichtigen ist. Diese Stunden werden oft unterschätzt, besonders wenn es keinen festen Ansprechpartner oder Prozess gibt und mehrere Personen gleichzeitig auf den gleichen Vorfall schauen.
Darüber hinaus kann externe Hilfe erforderlich sein: ein IT-Dienstleister, der eine Panne technisch beheben muss, ein forensischer Ermittler bei einem größeren Einbruch, oder ein Jurist, der bei der Bewertung der Frage, ob und wie gemeldet werden muss, mitwirkt. Nicht jede Datenpanne erfordert alle diese Stellen, aber bei einem ernstereren Vorfall laufen diese Kosten schnell auf.
Auch die Benachrichtigung der Betroffenen kostet Zeit und manchmal Geld: das Verfassen eines sorgfältig durchdachten, verständlichen Schreibens oder einer E-Mail, das Beantworten der Fragen, die darauf folgen, und in einigen Fällen das Angebot einer Form der Abhilfe, wie ein neuer Zugangscode oder kostenloser Service. Der Entscheidungsbaum auf in wenigen Fragen sehen, ob und wie Sie melden müssen hilft dabei, den ersten Schritt zu präzisieren, damit Sie keine Zeit mit Zweifeln verschwenden.
Was die Höhe bestimmt
Der wichtigste Faktor ist der Umfang: Wie viele Personen sind betroffen und wie sensibel sind die Daten. Eine Verletzung mit Namen und E-Mail-Adressen wiegt anders als eine Verletzung mit Finanz- oder Gesundheitsdaten. Die EDPB-Richtlinien und die DSGVO selbst nennen solche Risikofaktoren als Ausgangspunkt für die Bewertung, nicht als Rechenformel für einen Betrag.
Ein zweiter Faktor ist, wie schnell die Verletzung entdeckt wird und wie klar ist, wer wofür verantwortlich ist. Wenn in einem Auftragsverarbeitungsvertrag bereits festgehalten ist, wen ein Anbieter benachrichtigen muss und innerhalb welcher Frist, spart das Recherche zu dem Zeitpunkt, an dem es schiefgeht. Wenn diese Absprache nicht vorhanden ist, kostet das Incident selbst mehr Zeit zu verstehen, lange bevor mit der Behebung begonnen wird.
Ein dritter Faktor ist, ob Ihre Organisation bereits einen festgelegten Prozess hat: einen festen Aktionsplan, eine Liste von Personen, die zu benachrichtigen sind, und einen Ort, an dem frühere Incidents registriert sind. Ohne dies muss bei jedem Incident neu überlegt werden, wer was tut, was sowohl Zeit als auch Ruhe kostet zu einem Zeitpunkt, an dem beides knapp ist.
Die Meldung selbst ist kostenlos, die Vorbereitung nicht
Es ist gut, diesen Unterschied scharf zu halten: die Meldepflicht gegenüber der Datenschutzbehörde bringt keine Kosten mit sich, aber die ordnungsgemäße Erfüllung dieser Meldung sehr wohl. Wer bestimmen muss, ob ein Incident innerhalb der gesetzlichen Frist gemeldet werden muss, und was darin genau stehen muss, braucht dafür Zeit. Eine Übersicht über das, was in eine Meldung gehört und welche Unterlagen Sie üblicherweise benötigen, ist beschrieben in der Wissensdatenbank mit Erklärungen zu jedem Thema.
Viele dieser Kosten sind nicht einmalig, sondern wiederkehrend, einfach weil Datenschutzverletzungen nicht geplant sind und sich auch nach Jahren erneut ereignen können. Deshalb entscheiden sich einige Organisationen dafür, die Uhr, die Schritte und die Dokumentation in einem System laufen zu lassen, anstatt dies jedes Mal manuell zu rekonstruieren. Was ein solches Abonnement kostet und was dafür spricht, ist auf der Seite mit den Preisen und der Aufschlüsselung nach Komponente.
Vorausplanung spart hinterher
Die größte Kostenersparnis liegt normalerweise nicht im Vorfall selbst, sondern in der Vorbereitung darauf: ein aktuelles Verzeichnis der Verarbeitungstätigkeiten, klare Vereinbarungen mit Lieferanten und ein fester Ansprechpartner sorgen dafür, dass eine Datenschutzverletzung weniger Zeit kostet, um bewertet und bearbeitet zu werden. Häufig gestellte Fragen zu dem, was dabei erforderlich ist und was nicht, sind auf der Seite mit Antworten auf Fragen, die andere Unternehmer auch stellen.
Möchten Sie für Ihre eigene Situation einen ersten Überblick über Ihren aktuellen Stand erhalten? Die kostenlose Quick-Scan gibt in einigen wenigen Fragen einen Anhaltspunkt, ohne dass Sie dafür ein Konto benötigen.