Datenpanne im EPU: Welche Versicherung hilft bei DSGVO-Meldung und Cyber-Schaden?

Eine falsch adressierte E-Mail, ein verlorenes Notebook oder ein gehackter Cloud-Zugang: Auch Ein-Personen-Unternehmen und kleine Betriebe können in Österreich rasch mit einer Datenschutzverletzung konfrontiert sein. Dann geht es nicht nur um Technik, sondern auch um Fristen, Dokumentation, mögliche Kundeninformation und die Frage, welche Versicherung die Kosten übernimmt.

Der wichtigste Punkt vorweg: Eine Datenpanne ist kein normaler „Büroschaden“. Je nach Ursache und Polizze können Cyberversicherung, Betriebs- oder Berufshaftpflicht, Vermögensschadenhaftpflicht und Rechtsschutz unterschiedliche Bausteine abdecken. Bußgelder und vorsätzliches Verhalten sind dagegen meist nicht oder nur sehr eingeschränkt versicherbar. Dieser Überblick zeigt, worauf EPU in Österreich achten sollten.

Was gilt als Datenpanne?

Die DSGVO spricht von einer Verletzung des Schutzes personenbezogener Daten. Gemeint ist nicht nur ein großer Hackerangriff. Eine Datenpanne kann bereits vorliegen, wenn personenbezogene Daten unbeabsichtigt offengelegt, verloren, verändert oder unbefugt zugänglich werden. Beispiele aus dem EPU-Alltag:

• Eine Honorarnote mit Gesundheits-, Finanz- oder Beratungsdaten wird an die falsche Person geschickt.
• Ein Firmenlaptop oder Smartphone mit Kundendaten wird gestohlen und war nicht ausreichend verschlüsselt.
• Ein Cloud-Konto wird kompromittiert und Dritte können auf Kundenlisten oder Projektunterlagen zugreifen.
• Ein externer Dienstleister meldet, dass Daten aus einem gemeinsam genutzten System abgeflossen sein könnten.
• Eine Website mit Kontaktformular wird gehackt und personenbezogene Anfragen werden ausgelesen.

Nach Informationen der österreichischen Datenschutzbehörde und der WKO ist eine meldepflichtige Datenschutzverletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden, sofern ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen notwendig werden.

Welche Kosten entstehen nach einer Datenpanne?

Viele EPU unterschätzen, dass die teuersten Positionen nicht immer der unmittelbare technische Schaden sind. Typische Kostenblöcke sind:

• IT-Forensik und Soforthilfe: Analyse, Eindämmung, Wiederherstellung, Passwort- und Zugriffskontrolle.
• Rechtsberatung: Prüfung, ob eine Meldung nötig ist, Formulierung der Meldung, Kommunikation mit Behörde und Betroffenen.
• Benachrichtigung und Krisenkommunikation: Kundeninformation, Callcenter, PR-Unterstützung oder Monitoring.
• Betriebsunterbrechung: Umsatz- oder Honorarausfall, wenn Systeme nicht verfügbar sind.
• Drittschäden: Schadenersatzforderungen von Kunden, wenn diesen durch die Panne ein Vermögensschaden entsteht.
• Vertragsstrafen oder Projektfolgen: etwa wenn ein Auftrag wegen Sicherheitsmängeln gekündigt wird.

Genau deshalb reicht eine klassische Inhaltsversicherung oft nicht aus. Sie kann zwar Hardware oder Geschäftsausstattung betreffen – mehr dazu im Beitrag zur Inhaltsversicherung für EPU und Kleinunternehmen –, deckt aber typischerweise keine DSGVO-Beratung, Datenwiederherstellung oder Haftungsansprüche wegen Datenschutzverletzungen.

Welche Versicherung zahlt bei einer Datenpanne im EPU?

Cyberversicherung: meist der zentrale Baustein

Die Cyberversicherung ist für viele EPU der naheliegendste Schutz, wenn die Datenpanne mit einem IT-Sicherheitsvorfall zusammenhängt. Gute Polizzen enthalten eine 24/7-Hotline, IT-Forensik, Datenwiederherstellung, Kosten für Krisenkommunikation, Rechtsberatung und unter Umständen auch Betriebsunterbrechung. Gerade bei gehackten Mailkonten, Ransomware, Phishing oder kompromittierten Cloud-Zugängen kann dieser Baustein entscheidend sein.

Wichtig ist der Blick in die Bedingungen: Sind nur Angriffe auf eigene Systeme versichert oder auch Cloud-Dienste? Gibt es Sublimits für Datenschutzverletzungen? Werden freie Mitarbeiter, Auftragsverarbeiter und mobile Geräte erfasst? Und gelten Mindeststandards wie Mehrfaktor-Authentifizierung, regelmäßige Updates und Backups als Obliegenheiten?

Wenn die Datenpanne zugleich zu einem Ausfall von Online-Tools führt, lohnt sich auch der Vergleich mit unserem Beitrag Internetausfall bei EPU: Welche Versicherung zahlt bei Cloud-Ausfall und Betriebsunterbrechung?.

Vermögensschadenhaftpflicht und Berufshaftpflicht

Beratende, kreative oder technische EPU können eine Berufs- oder Vermögensschadenhaftpflicht haben. Sie ist vor allem relevant, wenn ein Kunde behauptet, durch einen Fehler des Unternehmens einen finanziellen Schaden erlitten zu haben. Beispiel: Ein IT-Dienstleister konfiguriert ein Kundensystem falsch, wodurch personenbezogene Daten öffentlich abrufbar werden. Oder eine Beraterin versendet vertrauliche Unterlagen an einen falschen Empfänger und der Kunde macht Schadenersatz geltend.

Ob Datenschutzverletzungen eingeschlossen sind, ist aber keine Selbstverständlichkeit. Manche Polizzen schließen Cyber- und Datenschutzrisiken aus oder decken nur „echte Vermögensschäden“ aus der beruflichen Tätigkeit. Ähnliche Abgrenzungen erklären wir im Artikel Beratungsfehler bei EPU: Welche Versicherung zahlt Schadenersatz in Österreich?.

Betriebshaftpflicht: eher selten der Hauptschutz

Die Betriebshaftpflicht schützt klassisch bei Personen- und Sachschäden sowie daraus folgenden Vermögensschäden. Bei einer reinen Datenpanne liegt jedoch meist kein Sachschaden im traditionellen Sinn vor. Deshalb ist sie bei DSGVO- und Cyberfällen oft nicht der Hauptansprechpartner. Sie kann aber relevant werden, wenn ein versicherter Sachschaden mit Datenschutzfolgen zusammenfällt – etwa bei zerstörten Datenträgern oder verlorenen Kundenschlüsseln mit Folgekosten. Zur grundsätzlichen Logik siehe Kundenschlüssel verloren: Zahlt die Betriebshaftpflicht für EPU?.

Rechtsschutzversicherung: Beratung und Streitigkeiten

Eine Firmenrechtsschutzversicherung kann helfen, wenn aus der Datenpanne ein Streit entsteht: etwa mit einem Kunden, einem Dienstleister oder in bestimmten Verwaltungsverfahren. Auch hier sind Datenschutz-, Cyber- und Behördenverfahren sehr bedingungsabhängig. Manche Verträge bieten Erstberatung oder Spezialbausteine, andere schließen Verfahren wegen DSGVO-Verstößen aus. Für die Abgrenzung lohnt sich der Artikel Vertragsstreit bei EPU: Wann Rechtsschutz in Österreich hilft.

Was ist meist nicht versichert?

Nicht jeder finanzielle Nachteil ist automatisch ersatzfähig. Besonders vorsichtig sollten EPU bei folgenden Punkten sein:

• Verwaltungsstrafen und Bußgelder: Ob und in welchem Umfang solche Zahlungen versicherbar sind, ist rechtlich und vertraglich heikel. Viele Polizzen schließen sie aus.
• Vorsatz und bewusstes Ignorieren von Pflichten: Wer Sicherheitsregeln absichtlich missachtet oder eine bekannte Lücke offenlässt, riskiert den Versicherungsschutz.
• Fehlende Mindestmaßnahmen: Keine Backups, keine Updates, keine Zugriffskontrolle oder keine Verschlüsselung können als Obliegenheitsverletzung gewertet werden.
• Reine Reputationsschäden ohne versicherten Auslöser: Imageverlust ist oft nur im Rahmen konkreter Krisenkommunikationskosten gedeckt.

Checkliste: Sofortmaßnahmen für EPU

1. Vorfall stoppen: Passwörter ändern, betroffene Geräte vom Netz nehmen, Zugänge sperren, Dienstleister informieren.
2. Beweise sichern: Screenshots, Logfiles, E-Mail-Header, Zeitpunkt des Bekanntwerdens und erste Maßnahmen dokumentieren.
3. Versicherer sofort kontaktieren: Hotline der Cyberversicherung oder Makler anrufen, bevor externe Dienstleister beauftragt werden.
4. Risiko bewerten: Welche Daten sind betroffen? Wie viele Personen? Sind besondere Kategorien wie Gesundheitsdaten dabei?
5. 72-Stunden-Frist prüfen: Bei Risiko für Betroffene Meldung an die Datenschutzbehörde vorbereiten; verspätete Meldungen begründen.
6. Betroffene informieren, wenn nötig: Verständlich erklären, was passiert ist, welche Risiken bestehen und was Betroffene tun können.
7. Nachbereitung: MFA aktivieren, Backups testen, Geräte verschlüsseln, AV-Verträge und Berechtigungen prüfen.

FAQ zur Datenpanne im EPU

Muss jede Datenpanne gemeldet werden?

Nein. Entscheidend ist, ob voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Trotzdem sollte jeder Vorfall intern dokumentiert werden. Bei Unsicherheit ist rasche rechtliche Beratung sinnvoll, weil die Frist kurz ist.

Zahlt die Cyberversicherung auch bei menschlichem Fehler?

Oft ja, wenn der Fehler zu einem versicherten Datenschutz- oder Informationssicherheitsvorfall führt. Das hängt aber stark von Definitionen, Ausschlüssen und Obliegenheiten ab. Falsch adressierte E-Mails, Phishing oder verlorene Geräte sollten ausdrücklich geprüft werden.

Ist ein gestohlener Laptop automatisch ein Cyberfall?

Nicht automatisch. Für das Gerät selbst kann eine Inhalts- oder Elektronikdeckung relevant sein. Für Kundendaten auf dem Gerät wird es datenschutzrechtlich kritisch, insbesondere wenn keine starke Verschlüsselung oder Zugriffssperre vorhanden war.

Soll ich zuerst IT-Dienstleister oder Versicherer anrufen?

Wenn akute Gefahr besteht, müssen Systeme gesichert werden. Parallel sollte der Versicherer oder Makler sofort informiert werden, weil Cyberpolizzen oft eigene Notfallpartner und Freigabeprozesse vorsehen. Unabgestimmte Kosten können sonst problematisch werden.

Meta-Description-Vorschlag

Datenpanne im EPU: Welche Versicherung in Österreich bei DSGVO-Meldung, IT-Forensik, Kundeninformation, Schadenersatz und Betriebsunterbrechung helfen kann.

Interne Lesetipps

• Internetausfall und Cloud-Ausfall bei EPU
• Firmenlaptop im Café gestohlen
• Beratungsfehler und Vermögensschadenhaftpflicht
• Rechtsschutz bei Vertragsstreit für EPU
• Inhaltsversicherung für EPU und Kleinunternehmen