Datenpanne melden: die 72 Stunden laufen ab dem Bemerken

Die 72 Stunden beginnen mit dem Bemerken, nicht mit dem Vorfall. Wer das verwechselt, rechnet falsch, und der Zeitpunkt des Bemerkens ist der eine, der sich hinterher nur schwer rekonstruieren lässt. Deshalb ist die erste Handlung bei einer Datenpanne ein Zeitstempel.

Dieser Text erklärt die Systematik. Ob ein konkreter Vorfall meldepflichtig ist, ist eine Einzelfallfrage; im Zweifel gehört sie zu jemandem mit Zulassung, und zwar innerhalb der Frist.

Drei Pflichten, die auseinandergehalten gehören#

Die DSGVO (EUR-Lex) kennt bei einer Verletzung des Schutzes personenbezogener Daten drei Pflichten. Sie hängen zusammen, treten aber nicht gemeinsam ein.

Melden an die Aufsichtsbehörde (Art. 33). Unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Wird die Frist überschritten, muss die Verzögerung begründet werden. In Österreich ist die Datenschutzbehörde zuständig und stellt dafür ein Online-Formular bereit; in Deutschland die Aufsichtsbehörde des Bundeslandes, in dem die Niederlassung sitzt.

Benachrichtigen der Betroffenen (Art. 34). Nur bei hohem Risiko, dann aber ohne unangemessene Verzögerung und in klarer, einfacher Sprache. Diese Schwelle liegt höher als die für die Meldung.

Dokumentieren (Art. 33 Abs. 5). Für jede Verletzung, auch die nicht meldepflichtige. Das ist die Pflicht, die am häufigsten übersehen wird, und die einzige, deren Erfüllung man später vorzeigen können muss.

Warum die Dokumentation die wichtigste der drei ist#

Die Meldung betrifft den Ausnahmefall. Das Verzeichnis betrifft jeden Fall: die verlorene, aber verschlüsselte Festplatte, die E-Mail an den falschen Empfänger, den Zwischenfall, bei dem am Ende nichts passiert ist. Wer entscheidet, dass ein Vorfall kein Risiko darstellt, trifft eine Bewertung und muss sie belegen können. Ohne Eintrag steht später die Aussage gegen die Frage, warum nicht gemeldet wurde.

In das Verzeichnis gehören mindestens: was passiert ist, wann es bemerkt wurde, welche Daten und wie viele Betroffene, welche Folgen zu erwarten sind, was unternommen wurde, und die Begründung der Entscheidung. Eine Datei genügt, solange sie auffindbar ist und geführt wird.

Ab wann etwas als bemerkt gilt#

„Bekanntwerden“ meint nach der Leitlinie 9/2022 des Europäischen Datenschutzausschusses eine hinreichende Gewissheit, dass ein Sicherheitsvorfall zu einer Verletzung geführt hat: nicht den ersten vagen Verdacht, aber auch nicht erst das Ergebnis der vollständigen Untersuchung. Eine kurze Prüfung, ob überhaupt etwas vorliegt, ist zulässig; das Verschieben der Bewertung ist es nicht. „Unverzüglich“ steht vor den 72 Stunden, nicht danach.

Eine unvollständige Meldung ist ausdrücklich vorgesehen: Fehlende Angaben dürfen nachgereicht werden (Art. 33 Abs. 4). Es ist also nicht nötig, den Sachverhalt vollständig aufgeklärt zu haben, bevor gemeldet wird.

Was vor dem Ernstfall geklärt sein sollte#

Wer entscheidet, und wer meldet, wenn diese Person im Urlaub ist. Wohin die Meldung geht (Formular der DSB, Zugangsdaten, Firmenbuchnummer griffbereit). Wer meldet, wenn ein Dienstleister betroffen ist: Verarbeitet ein Auftragsverarbeiter für dich, muss er dich unverzüglich informieren (Art. 33 Abs. 2); melden musst du. Diese Pflicht gehört in den Auftragsverarbeitungsvertrag. Und wo das Verzeichnis liegt.

Bei einer gehackten Website kommt dazu, dass der Zeitpunkt des Bemerkens zugleich der Beginn der Vorfalldokumentation ist; die Reihenfolge der technischen Schritte steht in WordPress gehackt.

Drei Fragen, die immer kommen: Nicht jede verlorene E-Mail ist zu melden; eine falsch adressierte Mail ohne sensible Inhalte fällt oft nicht darunter, dokumentiert gehört sie trotzdem. Sind die 72 Stunden vorbei, wird trotzdem gemeldet, mit Begründung der Verzögerung; die unterlassene Meldung ist der eigene Verstoß. Und Wochenenden zählen mit: Es sind 72 Stunden, keine drei Arbeitstage.

Stand 03.10.2026. Quellen an diesem Tag abgerufen.