Datenpanne melden – die 72-Stunden-Frist nach Art. 33 DSGVO

Ransomware, ein verlorener Laptop, eine E-Mail an den falschen Verteiler: Eine Verletzung des Schutzes personenbezogener Daten muss in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden. Wer die Frist versäumt oder unvollständig meldet, riskiert ein Bußgeld und schwächt seine Position gegenüber Schadensersatzforderungen. Wir unterstützen Sie sofort bei Bewertung, Meldung, Benachrichtigung und Kommunikation.

Was ist eine Datenpanne?

Art. 4 Nr. 12 DSGVO definiert die „Verletzung des Schutzes personenbezogener Daten“ als jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt – unbeabsichtigt oder unrechtmäßig. Erfasst sind also nicht nur Cyberangriffe, sondern auch:

• Fehlversand von E-Mails, Briefen oder Faxen mit personenbezogenen Daten,
• offene CC-Verteiler mit Kundenadressen,
• Diebstahl oder Verlust von Laptops, Smartphones und USB-Sticks ohne Verschlüsselung,
• falsch konfigurierte Cloud-Speicher oder Datenbanken,
• Verschlüsselung von Systemen durch Ransomware, auch ohne nachgewiesenen Datenabfluss,
• Zugriffe von Beschäftigten ohne dienstlichen Anlass.

Meldung an die Aufsichtsbehörde (Art. 33 DSGVO)

Der Verantwortliche muss die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde melden – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Eine spätere Meldung ist zu begründen. Die Frist läuft auch am Wochenende.

Die Meldung muss nach Art. 33 Abs. 3 DSGVO mindestens enthalten: eine Beschreibung der Art der Verletzung mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze, Namen und Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Sind noch nicht alle Informationen bekannt, darf schrittweise nachgemeldet werden (Art. 33 Abs. 4). Die meisten Landesbehörden bieten dafür Online-Formulare an.

Auftragsverarbeiter – etwa Ihr IT-Dienstleister oder Cloud-Anbieter – müssen Ihnen als Verantwortlichem eine Panne unverzüglich melden (Art. 33 Abs. 2). Prüfen Sie, ob Ihr AV-Vertrag dafür klare Fristen und Ansprechpartner vorsieht.

Benachrichtigung der Betroffenen (Art. 34 DSGVO)

Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge – etwa bei Gesundheits-, Bank- oder Zugangsdaten –, sind zusätzlich die betroffenen Personen unverzüglich in klarer und einfacher Sprache zu benachrichtigen. Ausnahmen bestehen, wenn die Daten wirksam verschlüsselt waren, das Risiko durch Folgemaßnahmen beseitigt wurde oder die Einzelbenachrichtigung unverhältnismäßig wäre; dann kann eine öffentliche Bekanntmachung genügen.

Die ersten 72 Stunden: Checkliste

1. Eindämmen: Zugänge sperren, Passwörter zurücksetzen, betroffene Systeme isolieren, Beweise sichern (Logs nicht löschen).
2. Zeitpunkt festhalten: Ab wann war die Panne bekannt? Daran knüpft die Frist an.
3. Datenschutzbeauftragten und Anwalt einbinden.
4. Risiko bewerten: Welche Daten, wie viele Personen, welche Folgen sind wahrscheinlich?
5. Meldung entwerfen und abgeben – lieber vorläufig und vollständig ergänzt als zu spät.
6. Weitere Meldepflichten prüfen: Für bestimmte Einrichtungen bestehen zusätzliche Pflichten gegenüber dem BSI (NIS-2/BSIG), für Telekommunikationsanbieter nach dem TDDDG; bei Straftaten kommt eine Anzeige in Betracht. Informieren Sie Ihren Cyber-Versicherer.
7. Dokumentieren: Jede Panne – auch die nicht meldepflichtige – ist intern zu dokumentieren (Art. 33 Abs. 5 DSGVO).

Was nach der Meldung kommt

Die Aufsichtsbehörde prüft die Meldung und fragt häufig nach: zu technischen und organisatorischen Maßnahmen, zur Ursache und zu den Konsequenzen. Daraus kann ein Bußgeldverfahren werden – wer sauber gemeldet und schnell gehandelt hat, ist in einer deutlich besseren Lage. Parallel melden sich oft Betroffene mit Auskunftsersuchen und Schadensersatzforderungen. Wir koordinieren beides.

Ausblick: Im Rahmen des „Digital Omnibus“ wird auf EU-Ebene über Änderungen der DSGVO diskutiert, darunter Erleichterungen bei der Meldepflicht. Beschlossen ist bislang nichts (Stand: November 2026) – es gilt die 72-Stunden-Frist.

Vorbereitet sein

Ein Incident-Response-Plan mit Zuständigkeiten, Meldevorlagen und Erreichbarkeiten ist das wirksamste Mittel gegen Fristversäumnisse. Wir erstellen ihn mit Ihnen, schulen die Beteiligten und stehen im Ernstfall kurzfristig zur Verfügung – auf Wunsch im Rahmen unserer Tätigkeit als externer Datenschutzbeauftragter.

Häufige Fragen zur Datenpanne

Muss ich jede Panne melden?

Nein. Keine Meldung ist nötig, wenn die Verletzung voraussichtlich zu keinem Risiko für die Betroffenen führt – etwa bei einem verlorenen, wirksam verschlüsselten Datenträger. Die Bewertung muss aber dokumentiert werden.

Ab wann laufen die 72 Stunden?

Ab dem Zeitpunkt, zu dem der Verantwortliche mit hinreichender Sicherheit von der Verletzung Kenntnis hat. Eine kurze Prüfungsphase ist zulässig; bewusstes Zuwarten nicht.

Was passiert, wenn ich zu spät melde?

Die verspätete Meldung ist selbst ein Verstoß, der nach Art. 83 Abs. 4 DSGVO mit einer Geldbuße geahndet werden kann. Melden Sie trotzdem – mit Begründung der Verzögerung.