Nicht jede Datenpanne muss der Aufsicht gemeldet werden. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden ab Kenntnis, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Fehlen noch Details, darf die Meldung stufenweise ergänzt werden. Betroffene sind nach Art. 34 zusätzlich nur bei einem voraussichtlich hohen Risiko unverzüglich zu informieren.
Kerntatsachen
- Fristbeginn: Die 72 Stunden laufen ab Kenntnis des Verantwortlichen, nicht automatisch ab dem technischen Ereignis.
- Risikobasierte Meldepflicht: Eine Meldung an die Aufsicht entfällt nur, wenn die Verletzung voraussichtlich kein Risiko für Rechte und Freiheiten verursacht.
- Keine Abschlussfrist: Untersuchung und Behebung müssen nicht binnen 72 Stunden abgeschlossen sein; verfügbare Angaben können zuerst gemeldet und später ergänzt werden.
- Dokumentation immer: Auch nicht gemeldete Verletzungen und die Begründung der Entscheidung gehören ins Vorfallregister.
- Höhere Schwelle bei Betroffenen: Eine direkte Benachrichtigung verlangt ein voraussichtlich hohes Risiko.
- Auftragsverarbeiter: Sie informieren den Verantwortlichen unverzüglich; die gesetzliche 72-Stunden-Meldung an die Aufsicht trifft grundsätzlich den Verantwortlichen.
- Aktuelles Recht: Die diskutierte Änderung auf 96 Stunden ist am 8. August 2026 noch nicht in Kraft.
Was ist eine meldefähige Datenpanne?
Art. 4 Nr. 12 DSGVO erfasst eine Sicherheitsverletzung, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt.
Damit sind drei Schutzrichtungen gemeint:
| Schutzrichtung | Beispiele |
|---|---|
| Vertraulichkeit | E-Mail an falsche Empfänger, kompromittiertes Postfach, veröffentlichte Kundendaten |
| Integrität | unbefugte oder fehlerhafte Veränderung von Stammdaten, Befunden oder Kontoinformationen |
| Verfügbarkeit | verlorene Datensätze, Ransomware-Verschlüsselung, längerer Ausfall ohne rechtzeitige Wiederherstellung |
Eine bloße Schwachstelle ohne tatsächliche Verletzung personenbezogener Daten ist noch keine Datenschutzverletzung. Umgekehrt kann auch ein Vorfall ohne nachgewiesenen Datenabfluss erfasst sein, etwa wenn personenbezogene Daten zerstört oder unzugänglich werden.
Wann beginnt die 72-Stunden-Frist?
Die Frist beginnt, sobald der Verantwortliche einen angemessenen Grad an Gewissheit hat, dass eine Sicherheitsverletzung eingetreten ist und personenbezogene Daten betroffen sind. Eine vage Warnung löst die Frist nicht zwingend aus; die Organisation darf Hinweise aber auch nicht durch vermeidbare interne Verzögerungen von der zuständigen Stelle fernhalten.
Deshalb sollte der Zeitpunkt der Kenntnis nachvollziehbar dokumentiert werden:
- Wann ging der erste Hinweis ein?
- Wer hat ihn wann bewertet?
- Wann stand mit angemessener Sicherheit fest, dass personenbezogene Daten betroffen sind?
- Welche Tatsachen waren zu diesem Zeitpunkt bekannt?
- Welche offenen Punkte wurden mit welcher Priorität untersucht?
Wochenenden und Feiertage unterbrechen eine Stundenfrist nicht. Interne Eskalationswege sollten daher deutlich kürzer sein als 72 Stunden.
Wann muss an die Aufsicht gemeldet werden?
Die Entscheidung folgt keiner starren Punktetabelle. Zu bewerten sind Wahrscheinlichkeit und Schwere möglicher Nachteile für die betroffenen Menschen.
Relevante Faktoren sind insbesondere:
- Art und Sensibilität der Daten;
- Zahl und Kategorien der betroffenen Personen und Datensätze;
- Möglichkeit, Personen zu identifizieren;
- mögliche finanzielle, berufliche, soziale oder körperliche Folgen;
- Missbrauchspotenzial von Zugangsdaten, Identitäts- oder Kommunikationsdaten;
- besondere Schutzbedürftigkeit, etwa bei Kindern, Beschäftigten oder Patienten;
- Dauer und Umfang des Zugriffs oder Ausfalls;
- wirksame Schutzmaßnahmen wie belastbare Verschlüsselung;
- bereits erfolgte Eindämmung und die Wahrscheinlichkeit weiteren Missbrauchs.
Das Ergebnis lautet:
| Bewertung | Folge |
|---|---|
| Voraussichtlich kein Risiko | keine Meldung nach Art. 33 Abs. 1, aber vollständige interne Dokumentation |
| Risiko für Rechte und Freiheiten | Meldung an die zuständige Aufsichtsbehörde |
| Hohes Risiko | Meldung an die Aufsicht und grundsätzlich zusätzliche Benachrichtigung der Betroffenen |
Bei knappen oder unsicheren Sachverhalten muss die Entscheidung auf den verfügbaren Tatsachen beruhen und laufend überprüft werden. Neue Erkenntnisse können die Risikobewertung ändern.
Was gehört in die Meldung nach Art. 33?
Die Meldung muss mindestens enthalten:
- Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl betroffener Personen sowie Datensätze;
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle;
- Beschreibung der wahrscheinlichen Folgen;
- ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Abmilderung.
Die Darstellung sollte Tatsachen, vorläufige Annahmen und noch offene Fragen trennen. Eine vollständige forensische Analyse ist keine Voraussetzung für die Erstmeldung.
Stufenweise Meldung
Art. 33 Abs. 4 erlaubt, Informationen ohne unangemessene weitere Verzögerung schrittweise nachzureichen, wenn sie nicht gleichzeitig bereitgestellt werden können. Praktisch empfiehlt sich:
- fristgerechte Erstmeldung mit gesichertem Erkenntnisstand;
- Kennzeichnung vorläufiger Angaben;
- Benennung der laufenden Untersuchung;
- Ergänzung, sobald belastbare neue Informationen vorliegen;
- Abschlussmitteilung, wenn Umfang, Folgen und Maßnahmen geklärt sind.
Wird die 72-Stunden-Frist überschritten, bleibt die Meldung erforderlich. Die Verzögerung ist zu begründen; sie ist keine pauschale Verlängerungsoption.
Wann müssen Betroffene informiert werden?
Art. 34 DSGVO verwendet eine höhere Schwelle als Art. 33: Die Verletzung muss voraussichtlich ein hohes Risiko für Rechte und Freiheiten zur Folge haben. Die Information erfolgt unverzüglich und beschreibt die Art der Verletzung in klarer und einfacher Sprache. Sie enthält mindestens außerdem die Kontaktdaten, wahrscheinlichen Folgen und ergriffenen oder vorgeschlagenen Maßnahmen.
Eine individuelle Mitteilung kann nach Art. 34 Abs. 3 entfallen, wenn
- geeignete technische oder organisatorische Schutzmaßnahmen bereits auf die betroffenen Daten angewandt waren und sie für Unbefugte weiterhin unverständlich machen, etwa wirksame Verschlüsselung bei nicht kompromittierten Schlüsseln;
- nachträgliche Maßnahmen sicherstellen, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht; oder
- die individuelle Information unverhältnismäßigen Aufwand verursachen würde und stattdessen eine gleich wirksame öffentliche Bekanntmachung erfolgt.
Diese Ausnahmen sind eng am konkreten Vorfall zu begründen. Eine Meldung an die Aufsicht und eine Betroffeneninformation sind zwei getrennte Entscheidungen.
Was gilt für Auftragsverarbeiter?
Ein Auftragsverarbeiter meldet die Verletzung dem Verantwortlichen nach Art. 33 Abs. 2 unverzüglich, sobald sie ihm bekannt wird. Das Gesetz setzt dafür keine eigene 72-Stunden-Frist. Verträge sollten deshalb kurze Eskalationswege, erreichbare Kontakte und die Lieferung aller notwendigen Fakten regeln.
Der Verantwortliche darf seine Bewertung nicht bis zum Abschluss der Untersuchung beim Dienstleister aufschieben. Er benötigt laufende Updates und bleibt für die Behördenmeldung verantwortlich. Bei mehreren Verantwortlichen oder komplexen Lieferketten sind Rollen und Zuständigkeiten sofort zu klären.
Sofortplan für die ersten Stunden
1. Eindämmen und Beweise sichern
- kompromittierte Zugänge sperren und weiteren Abfluss begrenzen;
- Wiederherstellung und Geschäftskontinuität einleiten;
- Protokolle und Beweismittel sichern;
- keine Spuren durch unkoordinierte Bereinigung vernichten.
2. Datenschutzprüfung starten
- prüfen, ob personenbezogene Daten betroffen sind;
- Kategorien, Umfang, Personen und Systeme eingrenzen;
- Verantwortlicher, Auftragsverarbeiter und zuständige Kontakte bestimmen;
- Datenschutzbeauftragten frühzeitig einbinden.
3. Risiko bewerten
- denkbare Folgen aus Sicht der Betroffenen beschreiben;
- Wahrscheinlichkeit und Schwere anhand konkreter Schutzmaßnahmen bewerten;
- Entscheidung und Unsicherheiten dokumentieren;
- Bewertung bei neuen Erkenntnissen aktualisieren.
4. Fristgerecht kommunizieren
- bei Meldepflicht den verfügbaren Stand über den vorgesehenen Behördenweg übermitteln;
- fehlende Informationen gestuft nachreichen;
- bei hohem Risiko verständliche Handlungshinweise an Betroffene geben;
- externe Aussagen mit Technik, Datenschutz und Kommunikation abstimmen.
5. Nachbereiten
- Ursache und Wirksamkeit der Maßnahmen prüfen;
- Vorfallregister vervollständigen;
- Verträge, Berechtigungen, Technik und Playbooks anpassen;
- aus der Übung realistische interne Eskalationszeiten ableiten.
Was muss intern dokumentiert werden?
Art. 33 Abs. 5 verlangt eine Dokumentation, mit der die Aufsicht die Einhaltung prüfen kann. Sie sollte mindestens umfassen:
- Fakten und Zeitlinie des Vorfalls;
- Zeitpunkt und Grundlage der Kenntnis;
- betroffene Daten, Personen, Systeme und Beteiligte;
- Folgen- und Risikobewertung einschließlich Änderungen;
- Entscheidung für oder gegen Meldung und Betroffeneninformation;
- Inhalt, Zeitpunkt und Empfänger erfolgter Mitteilungen;
- Eindämmungs-, Abhilfe- und Präventionsmaßnahmen.
Ein „kein Risiko“-Vermerk ohne nachvollziehbare Tatsachen reicht nicht. Ebenso sollte das technische Incident-Ticket auf die datenschutzrechtliche Bewertung verweisen, ohne sensible Ermittlungsdaten unnötig zu vervielfältigen.
Gelten künftig 96 Stunden?
Nein, derzeit nicht. Der EU-Kommissionsvorschlag COM(2025) 837 sieht Änderungen an Art. 33 vor, darunter eine 96-Stunden-Frist und eine veränderte Risikoschwelle. Das Gesetzgebungsverfahren ist am 8. August 2026 noch nicht abgeschlossen. Bis eine Änderung beschlossen, veröffentlicht und anwendbar ist, bleibt Art. 33 DSGVO mit der geltenden 72-Stunden-Regel maßgeblich.
Prozesse sollten deshalb nicht vorzeitig auf 96 Stunden umgestellt werden. Eine spätere Rechtsänderung kann gezielt in Vorlagen und Eskalationsregeln übernommen werden.
Häufige Fehler
- Die Frist wird ab dem Angriff statt ab der rechtlichen Kenntnis bestimmt oder umgekehrt künstlich hinausgeschoben.
- Das Team wartet auf den vollständigen Forensikbericht, obwohl eine Erstmeldung möglich wäre.
- „Kein Datenabfluss nachgewiesen“ wird mit „keine Datenschutzverletzung“ gleichgesetzt.
- Nur Vertraulichkeitsvorfälle werden betrachtet; Integritäts- und Verfügbarkeitsverluste fehlen.
- Jede Verletzung wird automatisch gemeldet, ohne die gesetzliche Risikoschwelle zu bewerten.
- Die Betroffenen werden automatisch zusammen mit der Aufsicht informiert, obwohl Art. 34 ein hohes Risiko verlangt.
- Nicht gemeldete Vorfälle werden nicht dokumentiert.
- Der Auftragsverarbeiter meldet zu spät, weil Vertrag und Notfallkontakte unklar sind.
FAQ
Müssen wir eine falsch adressierte E-Mail melden?
Das hängt von Inhalt, Empfängerkreis, Rückholmöglichkeit und möglichen Folgen ab. Sie ist zunächst als mögliche Vertraulichkeitsverletzung zu erfassen und risikobasiert zu bewerten.
Ist Ransomware ohne bestätigte Exfiltration eine Datenschutzverletzung?
Sie kann es sein. Auch Verlust oder längere Nichtverfügbarkeit personenbezogener Daten fällt unter die Definition. Meldepflicht und Risikohöhe sind gesondert zu prüfen.
Beginnt die Frist schon bei einer automatischen Warnung?
Nicht jede unbestätigte Warnung begründet Kenntnis. Sie löst aber eine unverzügliche Prüfung aus. Entscheidend ist, wann ein angemessener Gewissheitsgrad über Verletzung und Personenbezug erreicht wurde.
Dürfen wir nach 72 Stunden noch melden?
Ja. Eine verspätete Meldung bleibt erforderlich und muss die Gründe der Verzögerung enthalten.
Muss jede Behördenmeldung an Betroffene gehen?
Nein. Art. 34 verlangt ein voraussichtlich hohes Risiko; Art. 33 setzt bereits bei einem niedrigeren Risiko an.
Passende Unterstützung
Wir unterstützen bei datenschutzrechtlicher Bewertung, Meldeentscheidung und belastbaren Playbooks im Rahmen der Datenschutz-Beratung und des Vorfallmanagements.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.