Datenpanne melden: Die 72 Stunden sind keine Frist zum Ausschöpfen
Art. 33 DSGVO verlangt die Meldung „unverzüglich und möglichst binnen 72 Stunden“. Die Uhr läuft ab dem Bekanntwerden, nicht ab dem Vorfall. Und dokumentiert werden muss jede Verletzung, auch die, die Sie nicht melden.
Wenn im Betrieb Daten abhandenkommen, falsch versendet werden oder in die falschen Hände geraten, stellt sich zuerst eine Frage: Muss das gemeldet werden, und bis wann. Der Wortlaut von Art. 33 Absatz 1 DSGVO ist an dieser Stelle präziser, als er meist zitiert wird. Er verlangt die Meldung „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“. Drei Dinge stecken darin, die im Betrieb regelmäßig untergehen: Das Wort unverzüglich steht vor der Stundenzahl, die Frist beginnt mit dem Bekanntwerden und nicht mit dem Vorfall, und es gibt eine Ausnahme, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Wer diese Ausnahme zieht, ist damit aber nicht fertig: Absatz 5 verlangt trotzdem eine Dokumentation.
Was in Artikel 33 Absatz 1 wirklich steht
Die Frist beginnt mit dem Bekanntwerden. Wer sie ab dem Vorfall rechnet, rechnet sich reicher, als er ist.
Der Satz lautet vollständig: Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Damit sind die 72 Stunden eine Obergrenze und kein Budget. Vor der Stundenzahl steht das Wort unverzüglich, und dahinter steht das Wort möglichst. Wer am dritten Tag meldet, obwohl er am ersten alles zusammenhatte, erfüllt die Stundenzahl und verfehlt den ersten Halbsatz.
Der zweite Punkt ist der Fristbeginn. Gezählt wird ab dem Zeitpunkt, zu dem die Verletzung dem Verantwortlichen bekannt wurde. Ein Vorfall, der drei Wochen unbemerkt bleibt und heute auffällt, startet die Frist heute. Deshalb steht auf dem Dokumentationsblatt zu dieser Seite der Zeitpunkt des Bekanntwerdens ganz oben, und nicht das Datum des Vorfalls.
Der dritte Punkt ist die Verspätung. Sie ist kein Ausschlussgrund, sondern begründungspflichtig: Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen. Eine späte Meldung mit Begründung ist der Verordnung lieber als keine.
Vorfälle an einer Stelle, mit Uhr und Nachweis Im Musterbetrieb ansehen oder 14 Tage kostenlos testen. Der Text geht darunter weiter.
Wann gemeldet werden muss und wann nicht
Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Das ist eine Prognose über die Folgen für die betroffenen Menschen, nicht über den Schaden für den Betrieb.
Diese Bewertung nimmt Ihnen keine Seite und kein Formular ab. Sie hängt daran, welche Daten betroffen sind, wie viele Personen, ob die Daten verschlüsselt waren, ob sie wiederhergestellt werden konnten und wer sie zur Kenntnis nehmen konnte. Dafür ist Ihre oder Ihr Datenschutzbeauftragter da.
Was diese Seite sagen kann: Die Entscheidung gegen eine Meldung ist selbst dokumentationspflichtig. Sie steht nach Absatz 5 mit ihrer Begründung in derselben Akte wie die gemeldeten Fälle. Eine Aufsichtsbehörde, die später fragt, warum nichts gemeldet wurde, bekommt entweder diese Begründung zu sehen oder gar nichts.
Die vier Angaben, die eine Meldung enthalten muss
Art. 33 Absatz 3 nennt den Mindestinhalt. Liegen nicht alle Angaben gleichzeitig vor, dürfen sie nach Absatz 4 schrittweise nachgereicht werden — das ist ausdrücklich vorgesehen und kein Makel.
| Buchstabe | Was hineingehört |
|---|---|
| a | Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen sowie der betroffenen Datensätze |
| b | Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle |
| c | Beschreibung der wahrscheinlichen Folgen der Verletzung |
| d | Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und gegebenenfalls zur Abmilderung nachteiliger Auswirkungen |
Die Tabelle gibt den Mindestinhalt nach Art. 33 Absatz 3 DSGVO wieder. Aufsichtsbehörden stellen dafür eigene Online-Formulare bereit; welche Behörde zuständig ist, richtet sich nach Ihrem Sitz.
Die Pflicht, die auch ohne Meldung gilt
Wer nicht meldet, muss trotzdem dokumentieren, und zwar samt der Begründung, warum nicht gemeldet wurde. Eine leere Vorfallsakte ist kein Beleg dafür, dass nichts passiert ist.
Absatz 5 wird beim Zitieren fast immer weggelassen, und er ist der Teil, der im Alltag am häufigsten verletzt wird. Der Wortlaut: Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen.
Der zweite Satz sagt, wozu: Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen. Überprüfen lässt sich die Einhaltung nur, wenn auch die nicht gemeldeten Fälle auftauchen. Sonst sieht die Behörde eine leere Akte und kann nicht unterscheiden, ob nichts passiert ist oder nichts festgehalten wurde.
Praktisch heißt das: eine Stelle, an der jeder Vorfall landet, auch der kleine. Die falsch adressierte Mail mit einer Namensliste gehört genauso hinein wie der verlorene Laptop, und bei beiden gehört die Risikoeinschätzung dazu.
Wann auch die betroffenen Personen zu informieren sind
Art. 34 ist die zweite, eigenständige Pflicht. Sie greift, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Dann ist die betroffene Person unverzüglich zu benachrichtigen, in klarer und einfacher Sprache, mit den Angaben nach Art. 33 Absatz 3 Buchstaben b, c und d.
Die Schwelle ist eine andere als bei der Meldung an die Behörde: dort Risiko, hier hohes Risiko. Es gibt also Fälle, die gemeldet, aber nicht mitgeteilt werden müssen.
Art. 34 Absatz 3 nennt drei Ausnahmen. Erstens, wenn geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und auf die betroffenen Daten angewandt wurden, insbesondere solche, die die Daten für Unbefugte unzugänglich machen, etwa Verschlüsselung. Zweitens, wenn durch nachfolgende Maßnahmen sichergestellt ist, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht. Drittens, wenn die Benachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre; dann tritt eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme an ihre Stelle.
Die erste Ausnahme ist der praktische Grund, warum Verschlüsselung im Ernstfall den Unterschied macht. Sie verhindert den Vorfall nicht, aber sie kann die Benachrichtigungspflicht entfallen lassen.
Was vorher stehen muss, damit 72 Stunden reichen
Die Frist ist knapp, und sie läuft, während im Betrieb noch niemand weiß, wer zuständig ist. Was hilft, ist keine Software und kein Ordner, sondern eine Handvoll vorher geklärter Punkte.
Erstens: An wen meldet ein Mitarbeiter einen Verdacht, und weiß er das? Der Weg von der Beobachtung bis zur Person, die entscheidet, ist der eigentliche Zeitfresser. Zweitens: Wer trifft die Risikoeinschätzung, und ist diese Person erreichbar, auch freitagabends? Drittens: Wo steht die Kontaktadresse der zuständigen Aufsichtsbehörde, ohne dass jemand sie im Ernstfall erst sucht.
Und viertens: Wo landet die Dokumentation. Wenn diese Stelle erst im Ernstfall erfunden wird, fehlen später genau die Fälle, die niemand gemeldet hat.
Der Auftragsverarbeiter hat eine andere Frist
Art. 33 Absatz 2 richtet sich an den Auftragsverarbeiter, also an den Dienstleister, der in Ihrem Auftrag Daten verarbeitet. Er meldet eine ihm bekannt gewordene Verletzung dem Verantwortlichen unverzüglich. Eine eigene 72-Stunden-Grenze nennt die Verordnung für ihn nicht.
Das ist logisch, denn seine Meldung startet erst die Frist des Verantwortlichen. Wer Auftragsverarbeiter einsetzt, sollte diesen Meldeweg im Vertrag nach Art. 28 DSGVO konkret geregelt haben, sonst erfährt der Verantwortliche zu spät von etwas, für dessen Meldung er einstehen muss.
Verwandte Themen
Vorfälle an einer Stelle, mit Uhr und Nachweis
In Sicherio legen Sie jeden Vorfall als Vorgang an, halten den Zeitpunkt des Bekanntwerdens fest, dokumentieren die Risikoeinschätzung und die Entscheidung über die Meldung — auch die gegen eine Meldung. Damit steht die Akte, nach der Art. 33 Absatz 5 verlangt. 14 Tage kostenlos testen.
Häufige Fragen
Zum Mitnehmen
Datenpanne: Dokumentationsblatt nach Art. 33 DSGVO
Ein Blatt je Vorfall mit den vier Pflichtangaben der Meldung und Platz für die Entscheidung, ob gemeldet wird. Auch wer nicht meldet, muss dokumentieren, warum nicht.
PDF, 2 Seiten hoch, ein Blatt je Vorfall
- Die vier Pflichtangaben nach Art. 33 Abs. 3 sind markiert
- Feld für den Zeitpunkt des Bekanntwerdens, ab dem die Frist läuft
- Platz für die Entscheidung gegen eine Meldung samt Begründung
- Warum die 72 Stunden keine Frist zum Ausschöpfen sind
Öffnet das PDF direkt. Oder unten eintragen, dann kommt die ausfüllbare Fassung per Mail.
Zum Inhalt dieser Seite
Diese Seite gibt den Wortlaut der Artikel 33 und 34 DSGVO wieder. Ob in Ihrem Fall ein Risiko oder ein hohes Risiko für die Rechte und Freiheiten betroffener Personen vorliegt, ist eine Bewertung des Einzelfalls und damit die Aufgabe Ihrer oder Ihres Datenschutzbeauftragten, im Zweifel einer Rechtsberatung. Diese Seite trifft diese Bewertung nicht und kann sie nicht treffen.
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 3. September 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze