Datenpanne melden: Was Sie jetzt innerhalb von 72 Stunden tun

Datenpanne melden: die Kurzantwort

Eine Datenpanne melden Sie bei der zuständigen Datenschutz-Aufsichtsbehörde, meist über deren Online-Formular. Die Meldung muss unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem Sie von der Verletzung Kenntnis erlangt haben (Art. 33 Abs. 1 DSGVO). Nur wenn die Panne voraussichtlich zu keinem Risiko für die betroffenen Personen führt, entfällt die Meldung. Dokumentieren müssen Sie jede Panne.

Was ist eine Datenpanne?

Das Gesetz spricht von einer Verletzung des Schutzes personenbezogener Daten. Das ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig (Art. 4 Nr. 12 DSGVO).

Der Europäische Datenschutzausschuss (EDSA) unterscheidet drei Arten:

• Vertraulichkeit: Unbefugte sehen oder erhalten Daten, etwa durch eine fehlgeleitete E-Mail.
• Integrität: Daten werden unbefugt verändert.
• Verfügbarkeit: Daten gehen verloren oder sind nicht mehr zugänglich, etwa nach einem Verschlüsselungsangriff.

Ein Vorfall kann mehrere Arten zugleich betreffen. Auch Papierakten zählen, nicht nur IT.

Datenpanne: was tun in den ersten Stunden?

Handeln Sie geordnet und halten Sie jeden Schritt mit Uhrzeit fest.

• Vorfall intern sofort an die zuständige Stelle und den Datenschutzbeauftragten melden
• Zeitpunkt der Kenntnis notieren: Ab hier läuft die Frist
• Schaden begrenzen: Zugänge sperren, Passwörter ändern, betroffene Geräte vom Netz trennen, Fehlempfänger um Löschung bitten
• Beweise sichern: Protokolle, E-Mails, Screenshots nicht löschen
• Klären: Welche Daten, wie viele Personen, welche Kategorien, besonders Daten nach Art. 9 DSGVO?
• Risiko für die Betroffenen bewerten: Was kann ihnen passieren und wie wahrscheinlich ist das?
• Entscheiden, ob gemeldet wird, und die Entscheidung mit Begründung dokumentieren
• Bei Bedarf Meldung abgeben, auch wenn noch nicht alle Angaben vorliegen
• Prüfen, ob die Betroffenen benachrichtigt werden müssen
• Bei Straftaten wie Hackerangriffen eine Anzeige bei der Polizei prüfen

Die 72-Stunden-Frist: Wann beginnt sie?

Die Frist beginnt, sobald Ihnen die Verletzung bekannt wird. Nach den Leitlinien des EDSA ist das der Fall, wenn Sie mit hinreichender Sicherheit wissen, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Eine kurze Prüfung, ob wirklich eine Datenpanne vorliegt, ist erlaubt. Sie muss aber sofort beginnen.

Wichtig für die Praxis:

• Die Frist wird in Stunden gerechnet. Legen Sie fest, wer auch am Wochenende und im Urlaub erreichbar ist.
• Melden Sie später als nach 72 Stunden, müssen Sie die Verzögerung begründen (Art. 33 Abs. 1 Satz 2 DSGVO).
• Fehlende Angaben dürfen Sie schrittweise nachreichen (Art. 33 Abs. 4 DSGVO). Eine unvollständige Meldung ist besser als eine verspätete.
• Ein Auftragsverarbeiter, etwa Ihr IT-Dienstleister, muss Ihnen eine Panne unverzüglich melden (Art. 33 Abs. 2 DSGVO). Die Meldung an die Behörde bleibt Ihre Pflicht.

Wann Sie nicht melden müssen und trotzdem dokumentieren

Die Meldepflicht entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Ein Beispiel aus den Leitlinien des EDSA: Geräte werden gestohlen, die Daten darauf sind nach dem Stand der Technik verschlüsselt, der Schlüssel ist sicher und es gibt ein Backup.

Die Dokumentationspflicht gilt immer. Nach Art. 33 Abs. 5 DSGVO halten Sie für jede Panne die Fakten, die Auswirkungen und die ergriffenen Abhilfemaßnahmen fest. Die Aufsichtsbehörde muss damit prüfen können, ob Ihre Entscheidung richtig war. Im Zweifel melden Sie lieber.

Meldepflicht bei der Datenpanne: Was die Meldung enthalten muss

Art. 33 Abs. 3 DSGVO nennt vier Mindestangaben:

1. die Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze
2. Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
3. die wahrscheinlichen Folgen der Verletzung
4. die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung nachteiliger Folgen

Die Online-Formulare der Behörden fragen diese Punkte ab. Gut zu wissen: Eine Meldung nach Art. 33 DSGVO darf in einem Bußgeld- oder Strafverfahren gegen den Meldenden nur mit seiner Zustimmung verwendet werden (§ 43 Abs. 4 und § 42 Abs. 4 BDSG).

Wo Sie eine Datenschutzverletzung melden: die Aufsichtsbehörden

Zuständig ist bei Unternehmen, Vereinen und Praxen die Datenschutzbehörde des Landes, in dem Sie Ihren Sitz oder Ihre Hauptniederlassung haben (§ 40 BDSG). Öffentliche Stellen eines Landes melden an ihren Landesbeauftragten. Für Bundesbehörden und Telekommunikationsunternehmen ist der BfDI zuständig (§ 9 BDSG, § 29 TDDDG). In Bayern gibt es zwei Behörden: das BayLDA für die Wirtschaft und der BayLfD für öffentliche Stellen.

Stand der Links: September 2026. Anbieter öffentlich zugänglicher Telekommunikationsdienste haben eine eigene Meldepflicht an die Bundesnetzagentur und den BfDI (§ 169 Abs. 1 TKG).

Betroffene benachrichtigen nach Art. 34 DSGVO

Hat die Panne voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, müssen Sie diese zusätzlich unverzüglich benachrichtigen (Art. 34 Abs. 1 DSGVO). Die Nachricht beschreibt in klarer und einfacher Sprache, was passiert ist, und enthält die Angaben nach Art. 33 Abs. 3 lit. b bis d DSGVO: Ansprechpartner, wahrscheinliche Folgen und Maßnahmen.

Die Benachrichtigung entfällt, wenn eine von drei Bedingungen erfüllt ist (Art. 34 Abs. 3 DSGVO):

• Die Daten waren durch Schutzmaßnahmen wie Verschlüsselung für Unbefugte unzugänglich.
• Nachträgliche Maßnahmen stellen sicher, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht.
• Die Benachrichtigung wäre unverhältnismäßig aufwendig. Dann ist eine öffentliche Bekanntmachung nötig.

Mehr im Artikel Was muss man Betroffenen mitteilen?

Beispiele: Welche Datenpanne muss gemeldet werden?

Die Bewertung hängt immer vom Einzelfall ab. Diese Tendenzen ergeben sich aus den Beispielen des EDSA:

Viele dieser Fälle lassen sich durch Schulung und Technik vermeiden, siehe Pflichten bei der E-Mail-Kommunikation und technische und organisatorische Maßnahmen.

Folgen einer späten oder fehlenden Meldung

Verstöße gegen Art. 33 und 34 DSGVO können nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes geahndet werden. Die Aufsichtsbehörde kann außerdem verlangen, dass Sie die Benachrichtigung der Betroffenen nachholen (Art. 34 Abs. 4 DSGVO). Betroffene können Schadensersatz nach Art. 82 DSGVO verlangen. Ein Beispiel aus Hamburg: Gegen die Hamburger Verkehrsverbund GmbH verhängte der HmbBfDI ein rechtskräftiges Bußgeld von 20.000 Euro wegen verspäteter Meldung einer Datenpanne und verspäteter Benachrichtigung der Betroffenen (28. Tätigkeitsbericht Datenschutz 2019). Siehe Was passiert, wenn eine Datenpanne nicht gemeldet wird?

So hilft Datenkodex bei einer Datenpanne

• Notfall-Reaktionsplan: Wir legen mit Ihnen fest, wer informiert wird, wer entscheidet und welche Vorlagen bereitliegen.
• Bewertung: Wir prüfen Art, Umfang und Risiko der Panne und dokumentieren die Entscheidung.
• Meldung: Wir bereiten die Meldung an die Aufsichtsbehörde vor und stehen als Ansprechpartner zur Verfügung.
• Benachrichtigung: Wir formulieren die Information an die Betroffenen.
• Vorbeugung: Schulungen für Ihr Team, siehe Datenschutzschulung.

Unsere Datenschutzbeauftragten verfügen über eine DEKRA-zertifizierte Fachkunde. Ob Sie selbst einen Datenschutzbeauftragten benennen müssen, erklärt die Seite Datenschutzbeauftragter Pflicht. Alle Leistungen finden Sie unter Leistungen, ein Erstgespräch vereinbaren Sie über die Kontaktseite.