Datenpanne gemeldet? Die 72-Stunden-Frist nach Art. 33 DSGVO

Eine E-Mail mit sensiblen Daten geht an den falschen Empfänger, ein Laptop bleibt im Zug liegen, oder ein Angreifer verschafft sich Zugriff auf die Kundendatenbank – solche Vorfälle passieren schneller, als vielen bewusst ist. Und dann läuft eine Uhr: Die DSGVO verpflichtet Unternehmen, viele Datenschutzverletzungen binnen 72 Stunden an die Aufsichtsbehörde zu melden. Wer die Regeln kennt, verliert in dieser angespannten Situation keine wertvolle Zeit.

Was ist eine Datenpanne?

Der Fachbegriff lautet Verletzung des Schutzes personenbezogener Daten. Gemeint ist jeder Vorfall, der zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Typische Beispiele aus der Praxis:

• eine E-Mail an den falschen Empfänger, etwa mit offenem Verteiler statt BCC,
• ein verlorener oder gestohlener Laptop, USB-Stick oder ein Diensthandy,
• ein Hackerangriff, Phishing oder eine Ransomware-Infektion,
• Fehlversand von Briefen oder Rechnungen an die falsche Person,
• versehentlich gelöschte Daten ohne funktionierendes Backup.

Es muss also nicht immer der große Cyberangriff sein – auch das schlichte Missgeschick im Büroalltag ist eine meldepflichtige Panne.

Die 72-Stunden-Frist

Nach Art. 33 DSGVO muss die Meldung an die zuständige Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Die Frist beginnt, sobald Sie hinreichende Kenntnis vom Vorfall haben – nicht erst, wenn alle Details geklärt sind. Sie läuft durchgehend, also auch über Wochenenden und Feiertage.

Erfolgt die Meldung später als 72 Stunden nach Bekanntwerden, ist ihr eine Begründung für die Verzögerung beizufügen. — Art. 33 Abs. 1 DSGVO (sinngemäß)

Wichtig: Die Frist ist kein Grund zu warten. Reichen die Informationen anfangs nicht aus, dürfen Sie schrittweise nachmelden. Eine Ausnahme gilt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt – etwa weil die Daten sicher verschlüsselt waren.

Wann Betroffene informiert werden müssen

Neben der Behörde kommen unter Umständen auch die betroffenen Personen ins Spiel. Art. 34 DSGVO verlangt deren Benachrichtigung, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt – etwa bei drohendem Identitätsdiebstahl, finanziellen Schäden oder der Offenlegung sensibler Gesundheitsdaten. Die Betroffenen müssen dann in klarer und einfacher Sprache erfahren, was passiert ist und wie sie sich schützen können.

Was Sie sofort tun sollten

Kommt es zu einem Vorfall, hilft ein ruhiger, strukturierter Ablauf:

1. Eindämmen: Stoppen Sie den Vorfall – Zugänge sperren, Geräte sichern, Empfänger um Löschung bitten.
2. Dokumentieren: Halten Sie fest, was wann passiert ist, welche Daten und wie viele Personen betroffen sind.
3. Risiko bewerten: Prüfen Sie gemeinsam mit dem Datenschutzbeauftragten, ob ein Risiko für die Betroffenen besteht.
4. Melden: Ist ein Risiko wahrscheinlich, melden Sie den Vorfall fristgerecht an die Aufsichtsbehörde.
5. Betroffene informieren: Bei hohem Risiko benachrichtigen Sie zusätzlich die betroffenen Personen.

Vorbereitung ist alles

Unabhängig davon, ob Sie melden müssen: Jede Datenpanne ist intern zu dokumentieren. Diese Nachweispflicht nach Art. 33 Abs. 5 DSGVO gilt auch für Vorfälle ohne Risiko – die Behörde kann die Dokumentation jederzeit einsehen. Wer erst im Ernstfall überlegt, wer zu informieren ist und wo die Meldeformulare liegen, verliert kostbare Stunden. Ein eingespielter Notfallprozess, klare Zuständigkeiten und geschulte Mitarbeitende machen im Krisenfall den Unterschied.

Sie möchten für den Ernstfall vorbereitet sein? Unser externer Datenschutzbeauftragter richtet einen belastbaren Meldeprozess ein und steht im Krisenfall an Ihrer Seite – mehr dazu auf unserer Themenseite Datenschutz. Wie es um Ihre Vorbereitung steht, zeigt Ihnen in unter einer Minute der kostenlose Compliance-Check.