Warum Ihre Mitarbeiter Datenpannen verschweigen – und wie Sie das ändern

Montagmorgen in einer Steuerkanzlei mit 15 Mitarbeitern. Eine Sachbearbeiterin sieht im Gesendet-Ordner, dass die Lohnabrechnungen eines Mandanten am Freitag bei einem anderen Mandanten gelandet sind. Ähnlicher Name, Autovervollständigung, ein Klick zu schnell. Sie überlegt, wem sie das sagen soll. Beim letzten Fehler im Team gab es in der Besprechung eine Grundsatzansage und die Frage, wer das war. Also schreibt sie dem falschen Empfänger eine kurze Bitte um Löschung und hofft, dass sich die Sache erledigt.

Am Donnerstag ruft der verärgerte Empfänger an. Erst jetzt erfährt die Kanzleiinhaberin von der Panne. Vier Tage sind vergangen.

In dieser Reihe zeige ich, wie Betriebe von der Verhinderungskultur zu aktiven Strategien kommen. Den Auftakt macht das Thema, an dem alles andere hängt: ob Fehler überhaupt gemeldet werden.

Warum Verbote und Appelle nicht wirken

Die meisten Betriebe reagieren auf Datenpannen mit drei Dingen: einer Rundmail „Bitte sorgfältiger arbeiten“, einer Schulung und, meist unausgesprochen, der Suche nach dem Schuldigen. Das fühlt sich nach Handeln an. Die Wirkung ist oft das Gegenteil. Wer erlebt, dass ein gemeldeter Fehler zur Bloßstellung führt, meldet beim nächsten Mal nicht mehr. Die Pannen passieren trotzdem, nur sieht sie keiner.

Die Aufsichtsbehörden kennen das Muster. Der Landesbeauftragte für den Datenschutz Baden-Württemberg beschreibt in seinem Tätigkeitsbericht 2025, dass Verantwortliche bei Fehlversand sehr häufig schlicht „menschliches Versagen“ als Ursache angeben und als Abhilfe nur die Sensibilisierung einzelner Personen vorsehen. Die Abläufe selbst würden selten analysiert. Im selben Bericht steht ein Fall, in dem eine Meldung erst nach sechs Monaten erfolgte, begründet mit Kommunikationsschwierigkeiten. Das ist kein Charakterproblem. Das ist ein Problem des Meldewegs.

Was rechtlich gilt

Nach Art. 33 Abs. 1 DSGVO muss der Betrieb eine Datenpanne unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden, nachdem sie ihm bekannt wurde. Eine Ausnahme gilt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Wer später meldet, muss die Verzögerung begründen. Daran ändert die laufende EU-Debatte vorerst nichts: Im Rahmen des Digital Omnibus wird über eine Frist von 96 Stunden und eine Meldepflicht nur bei hohem Risiko verhandelt. Beschlossen ist das nach meinem Kenntnisstand nicht. Bis dahin gelten die 72 Stunden.

Entscheidend ist also, wann der Betrieb Bescheid weiß. Nach den Leitlinien der europäischen Datenschutzbehörden ist das der Fall, sobald er mit hinreichender Sicherheit erkennt, dass personenbezogene Daten betroffen sind. Nach verbreiteter Auffassung muss sich ein Unternehmen dabei das Wissen seiner Beschäftigten zurechnen lassen. Und selbst wer das im Einzelfall anders sieht: Ohne funktionierenden internen Meldeweg wird man sich kaum darauf berufen können, man habe nichts gewusst. Art. 32 verlangt geeignete organisatorische Maßnahmen, Art. 5 Abs. 2 den Nachweis darüber.

Oft übersehen wird Art. 33 Abs. 5: Der Betrieb muss alle Datenpannen dokumentieren, auch die, die er mangels Risiko nicht meldet. Ohne interne Meldungen gibt es diese Dokumentation schlicht nicht.

Die aktive Strategie: Fehler früh sichtbar machen

Luftfahrt und Medizin haben dieses Problem lange vor der DSGVO angepackt. In der Zivilluftfahrt verlangt die EU-Verordnung 376/2014 eine sogenannte Redlichkeitskultur: Wer ein Ereignis meldet, soll dafür grundsätzlich keine Nachteile haben, Ausnahmen gelten etwa bei Vorsatz oder grober Fahrlässigkeit. In der Medizin gibt es mit CIRSmedical.de ein Berichtssystem, in dem auch Beinahe-Fehler anonym gemeldet werden. Gefragt wird, was den Fehler möglich gemacht hat, nicht wer ihn gemacht hat. Für einen kleinen Betrieb heißt das konkret:

Erstens ein klarer Ansprechpartner. Eine Person plus Vertretung, die jeder kennt. Nicht „die IT“ oder „irgendwer in der Verwaltung“. Aufwand: eine Entscheidung und eine Mail an alle.

Zweitens ein Meldeformular, das in zwei Minuten ausgefüllt ist. Was ist passiert, wann, welche Daten ungefähr, wer weiß davon. Mehr nicht. Die Bewertung übernimmt der Ansprechpartner, nicht der Meldende. Aufwand: eine Stunde für ein Formular im Intranet oder eine feste Mailadresse.

Drittens eine ausdrückliche No-Blame-Zusage der Geschäftsführung, mündlich und schriftlich: Wer einen eigenen Fehler schnell meldet, bekommt keinen Ärger. Ausnahme nur bei Vorsatz. Aufwand: fünf Minuten in der nächsten Teamrunde, danach konsequent so handeln.

Viertens Lob für frühe Meldungen. Klingt banal, wirkt aber. Ein „Danke, dass Sie das sofort gesagt haben, so haben wir den Empfänger noch am selben Tag erreicht“ verändert mehr als jede Schulung.

Fünftens Beinahe-Pannen erfassen. Die Mail, die gerade noch im Postausgang abgefangen wurde. Der Ordner, der kurz falsch freigegeben war. Solche Meldungen zeigen, wo die nächste echte Panne entsteht. Aufwand: ein zusätzliches Ankreuzfeld im Formular.

Sechstens einmal im Quartal auswerten: Welche Pannen und Beinahe-Pannen gab es, was ändern wir an Technik oder Ablauf? Damit füllt sich die Dokumentation nach Art. 33 Abs. 5 fast von selbst.

Fazit

Verschwiegene Pannen entstehen dort, wo Melden sich nicht lohnt. Wer den Meldeweg einfach macht und frühe Meldungen belohnt statt bestraft, kann die 72-Stunden-Frist realistisch einhalten, hat seine Dokumentation im Griff und lernt aus Fehlern, bevor sie teuer werden. Wenn Sie für Ihren Betrieb einen schlanken Meldeweg aufsetzen möchten: Das Erstgespräch mit mir ist kostenlos und unverbindlich.

Stand: Oktober 2026.