Datenpanne: was in den ersten 72 Stunden zu tun ist

Für wen dieser Ratgeber ist: Inhaber von KMU, IT-Teams und Datenschutzbeauftragte (DSB), die wissen müssen, was sofort zu tun ist. Wenn Ihre Organisation nur als Auftragsverarbeiter tätig ist, besteht Ihre Hauptpflicht darin, Ihren Kunden unverzüglich zu informieren (Punkt 2).

1 · Erkennen

Ist es eine Datenpanne?

Die DSGVO definiert die Verletzung des Schutzes personenbezogener Daten, die Datenpanne, als Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig (Art. 4 Nr. 12). Ein Hacker ist dafür nicht nötig. Der EDSA unterscheidet drei Arten (Leitlinien 9/2022, Rn. 17):

• Vertraulichkeit: Jemand hat gesehen, was er nicht sehen durfte. Eine E-Mail an die falsche Person, ein geteilter Ordner mit offenem Link, ein gestohlener Laptop.
• Integrität: Daten wurden unbefugt verändert. Zum Beispiel die IBAN eines Lieferanten, die bei einem Zahlungsbetrug geändert wurde.
• Verfügbarkeit: Die Daten sind nicht mehr zugänglich, auch nur vorübergehend. Ein Verschlüsselungstrojaner, eine gelöschte Datei ohne Sicherung. Eine geplante Wartung zählt nicht (Rn. 21).

Eine E-Mail an die falsche Person ist eine Verletzung der Vertraulichkeit. Die Daten wurden jemandem offengelegt, der sie nicht sehen durfte, auch wenn diese Person keine bösen Absichten hat.

2 · Die Uhr

Wann die 72 Stunden beginnen

Die Frist läuft ab dem Zeitpunkt, an dem die Organisation davon Kenntnis erlangt. Für den EDSA ist das der Fall, wenn sie „mit hinreichender Sicherheit“ weiß, dass ein Sicherheitsvorfall eingetreten ist, der personenbezogene Daten beeinträchtigt hat (Leitlinien 9/2022, Rn. 31).

In der Praxis gibt es zwei Situationen. Ist der Fehler offensichtlich, etwa eine verschickte E-Mail, beginnt die Kenntnis sofort. Gibt es nur ein Warnsignal, etwa eine Meldung des Virenscanners, dürfen Sie kurz prüfen, ob es sich bestätigt. Die Prüfung muss sofort beginnen und darf nicht dazu dienen, Zeit zu gewinnen.

Das Wochenende zählt mit. Die Verordnung 1182/71, die die Fristen im EU-Recht regelt, legt fest, dass Fristen Feiertage, Sonntage und Samstage einschließen, sofern sie nicht in Arbeitstagen ausgedrückt sind (Art. 3 Abs. 3). Die Frist der DSGVO ist in Stunden angegeben. Hat Rui am Freitag um 17:40 Uhr davon erfahren, endet die Frist spätestens am Montag um 17:40 Uhr.

Wenn Sie Auftragsverarbeiter sind (zum Beispiel ein IT-Dienstleister oder eine E-Mail-Marketing-Plattform), müssen Sie Ihren Kunden, den Verantwortlichen, unverzüglich informieren (Art. 33 Abs. 2). Ab dieser Mitteilung läuft die Uhr des Kunden (Leitlinien 9/2022, Rn. 44). Deshalb sollten Auftragsverarbeitungsverträge eine kurze Frist für diese Mitteilung festlegen.

Kostenlose Vorlage: das Kit für Datenpannen macht aus diesem Ratgeber eine einsatzbereite Tabelle.

3 · Der Plan

Die 72 Stunden, Stunde für Stunde

Diese Einteilung steht nicht im Gesetz. Sie ist ein praktischer Weg, im Moment der Entscheidung die nötigen Informationen zu haben.

4 · Die Entscheidung

Das Risiko in drei Stufen

Die Frage lautet nicht „Wie schlimm ist das für das Unternehmen?“. Sie lautet „Was kann den Menschen passieren, deren Daten betroffen sind?“. Der EDSA verlangt, die Art der Verletzung, Art, Sensibilität und Umfang der Daten, die Leichtigkeit der Identifizierung, die Schwere der Folgen, besondere Merkmale der Personen (etwa Kinder) oder des Verantwortlichen und die Zahl der Betroffenen zu berücksichtigen (Leitlinien 9/2022, Rn. 105 bis 118). Die Datenschutzkonferenz (DSK) erklärt in ihrem Kurzpapier Nr. 18, wie man Eintrittswahrscheinlichkeit und Schwere eines Risikos abschätzt.

Sie möchten Zahlen? Der EDSA bezeichnet die Methode der ENISA, der Agentur der Europäischen Union für Cybersicherheit, als hilfreich (Leitlinien 9/2022, Rn. 120). Sie berechnet den Schweregrad mit der Formel SE = DPC × EI + CB. DPC bewertet die Datenart von 1 bis 4, EI ist die Leichtigkeit der Identifizierung (0,25 bis 1), und CB gibt Punkte für die Umstände, etwa die Offenlegung an unbekannte Empfänger oder böswillige Absicht. Ein Ergebnis unter 2 bedeutet geringen Schweregrad; von 2 bis 3 mittleren; von 3 bis 4 hohen; ab 4 sehr hohen (ENISA, 2013). Der Wert hilft, die Entscheidung zu begründen, trifft sie aber nicht für Sie.

5 · Fälle

Wie der EDSA ähnliche Fälle entscheidet

Die Leitlinien 01/2021 des EDSA analysieren 18 Praxisfälle. Wir haben die ausgewählt, die in einem KMU am häufigsten vorkommen. Wir fassen den Sachverhalt zusammen; das Ergebnis stammt vom EDSA.

Achten Sie auf das Muster. Verschlüsselung und Sicherungen ändern das Ergebnis. Derselbe Fehler, etwa eine E-Mail an die falsche Person, kann je nach Umfang, Sensibilität der Daten und Möglichkeit, die Löschung zu erreichen, von „nur dokumentieren“ zu „melden und benachrichtigen“ wechseln.

6 · Melden

Was in die Meldung gehört

Jede Behörde hat ihr eigenes Formular. In Deutschland melden Unternehmen in der Regel bei der Datenschutzbehörde ihres Bundeslandes; der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist vor allem für Bundesbehörden sowie Telekommunikations- und Postdienste zuständig und erklärt das Verfahren auf seiner Seite zur Meldung von Datenschutzverstößen. In Portugal nutzt man das Formular der CNPD (der portugiesischen Datenschutzbehörde). Welches Formular auch immer: Die DSGVO verlangt mindestens vier Angaben (Art. 33 Abs. 3). Halten Sie diese Antworten bereit, bevor Sie es öffnen:

1. Was passiert ist. Die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze. Beispiel: „Versehentlicher Versand einer Datei per E-Mail mit Name, Anschrift, Telefonnummer und Bestellhistorie von rund 300 Kunden an einen externen Kontakt“.
2. Wen man kontaktieren kann. Name und Kontaktdaten der oder des DSB oder einer sonstigen Anlaufstelle. Beispiel: „Inês [Nachname], DSB, [E-Mail], [Telefon]“.
3. Wahrscheinliche Folgen. Was den Personen passieren kann. Beispiel: „Risiko betrügerischer Kontaktaufnahmen durch Personen, die sich als das Unternehmen ausgeben. Keine Zahlungsdaten betroffen“.
4. Ergriffene oder vorgeschlagene Maßnahmen. Um die Verletzung zu beheben und ihre Folgen abzumildern. Beispiel: „Empfängerin um Löschung gebeten, Bestätigung am ersten Werktag erwartet; Überprüfung der Regeln für den Versand von Dateien mit Kundendaten“.

Sie wissen noch nicht alles? Melden Sie fristgerecht, was Sie wissen, und ergänzen Sie später. Das Gesetz erlaubt, die Informationen schrittweise ohne weitere unangemessene Verzögerung bereitzustellen (Art. 33 Abs. 4; Leitlinien 9/2022, Rn. 56). Melden Sie nach 72 Stunden, müssen Sie die Gründe für die Verzögerung angeben (Art. 33 Abs. 1).

7 · Die Betroffenen benachrichtigen

Wann und wie Sie die Betroffenen benachrichtigen

Ist das Risiko hoch, müssen Sie die Betroffenen unverzüglich benachrichtigen (Art. 34 Abs. 1). Die Nachricht muss klare und einfache Sprache verwenden, die Art der Verletzung beschreiben und die Angaben 2, 3 und 4 der Meldung enthalten (Art. 34 Abs. 2). Ergänzen Sie, was die Person selbst tun kann: misstrauisch sein bei Anrufen, die nach Daten fragen, das Passwort ändern, Kontobewegungen prüfen. Fragt jemand nach der Benachrichtigung, welche seiner Daten betroffen sind, behandeln Sie das als Auskunftsersuchen, mit dessen Monatsfrist.

In drei Situationen müssen Sie nicht jede Person einzeln benachrichtigen (Art. 34 Abs. 3):

• die Daten waren so geschützt, dass sie für alle Unbefugten unzugänglich sind, zum Beispiel durch starke Verschlüsselung;
• Sie haben nachträglich Maßnahmen ergriffen, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht;
• die einzelne Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden. Dann erfolgt eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme.

Auch wenn es nicht Pflicht ist, kann die Benachrichtigung richtig sein, wenn die Mithilfe der Personen das Risiko senkt. Im Fall 13 der Leitlinien 01/2021, zwei an die falschen Kunden verschickte Bestellungen, kam der EDSA zu dem Schluss, dass die Kontaktaufnahme mit beiden Kunden unvermeidlich war, um das Problem zu lösen.

Praxisfall

Eine falsche E-Mail, von Anfang bis Ende

So werden die Schritte dieses Ratgebers auf einen konkreten Fall angewendet, von Freitagnachmittag bis Montagmorgen.

8 · Was die Behörden sehen

Die meisten Datenpannen beginnen nicht mit einem Angriff

2025 hat die CNPD, die portugiesische Datenschutzbehörde, 472 Verfahren zu Datenpannen eröffnet, 42 % mehr als die 332 im Jahr 2024. In 390 Fällen war die Vertraulichkeit betroffen. Das sind die von den Organisationen am häufigsten angegebenen Ursachen:

Quelle: CNPD, Tätigkeitsbericht 2025 (Portugiesisch), S. 35 und 36. Die CNPD weist selbst darauf hin, dass die Ursachen von den Organisationen angegeben werden und unterschätzt sein können.

Die Lehre für ein KMU ist einfach. Der wahrscheinlichste Vorfall ist kein ausgeklügelter Angriff. Es ist jemand, der die falsche Datei verschickt, auf einen gefälschten Link klickt oder einen Ordner mit der falschen Person teilt. Dort muss die Vorbereitung ansetzen.

9 · Cybersicherheit

Wenn Ihre Organisation auch unter NIS2 fällt

Wesentliche und wichtige Einrichtungen im Sinne der NIS2-Richtlinie haben ein eigenes Verfahren, um erhebliche Sicherheitsvorfälle zu melden: eine Frühwarnung binnen 24 Stunden, eine Meldung des Vorfalls binnen 72 Stunden und einen Abschlussbericht binnen eines Monats (Richtlinie (EU) 2022/2555, Art. 23).

Ein Verschlüsselungstrojaner kann zwei Meldungen erfordern, eine an die Datenschutzbehörde und eine an die Behörde für Cybersicherheit. Das sind getrennte Pflichten mit unterschiedlichem Inhalt. Führen Sie eine einzige Vorfallsakte, die für beide dient, und prüfen Sie bei der nationalen Behörde für Cybersicherheit (in Deutschland das Bundesamt für Sicherheit in der Informationstechnik, BSI), ob Ihre Organisation erfasst ist.

Was sich ändern kann · aktualisiert am 21. Okt. 2026

Ein EU-Vorschlag will diese Regeln vereinfachen

Am 19. November 2025 hat die Europäische Kommission den Vorschlag Digital Omnibus vorgelegt, COM(2025) 837, der die DSGVO ändert. Für Datenpannen schlägt er vor:

• die Behörde nur noch zu melden, wenn die Panne voraussichtlich zu einem hohen Risiko führt, der Schwelle, die heute für die Benachrichtigung der Betroffenen gilt;
• die Frist von 72 auf 96 Stunden zu verlängern;
• eine zentrale Meldestelle in der EU, mit einem gemeinsamen Muster des EDSA.

Wo das Verfahren steht: Im Europäischen Parlament haben die Ausschüsse ITRE und LIBE noch nicht über den Bericht abgestimmt. Im Rat berieten die Botschafter der Mitgliedstaaten im Oktober 2026 über das Verhandlungsmandat. Danach folgen die Verhandlungen zwischen den Institutionen und die Veröffentlichung im Amtsblatt.

Was heute zu tun ist: die geltenden Regeln anwenden. Bis ein endgültiger Text veröffentlicht ist, gelten die 72 Stunden und die Schwelle „Risiko“. Und das interne Register aller Pannen bleibt in allen diskutierten Fassungen erhalten.

Derselbe Vorschlag ändert auch das Auskunftsrecht. Beide Änderungen erklären wir im Artikel zum Digital Omnibus.

Quellen: Europäisches Parlament, Verfahren 2025/0360(COD); Rat, Tagesordnung des AStV vom 21. Okt. 2026; Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB.

10 · Bevor es passiert

In einer Stunde vorbereitet, heute

Die Oficina Rocha hat die Frist eingehalten, weil Rui wusste, wen er anrufen muss. Die Behörden erwarten, dass jeder Verantwortliche ein internes Verfahren hat, um Vorfälle zu erkennen und zu bewältigen. Ein Handbuch mit 40 Seiten brauchen Sie nicht. Beginnen Sie mit einer Karte neben der Kaffeemaschine und einem Register der Pannen mit vier Spalten: Sachverhalt, Auswirkungen, ergriffene Abhilfemaßnahmen und die Entscheidung über die Meldung, mit Gründen (Art. 33 Abs. 5). Es hilft auch, vorher zu wissen, welche Daten Sie haben und wo: Das steht in Ihrem Verzeichnis von Verarbeitungstätigkeiten, und es ist das Erste, was Sie öffnen, um eine Panne zu bewerten.

Notfallkarte Datenpanne (zum Aufhängen)

1. Haben Sie den Schaden gestoppt? E-Mail zurückgerufen, Gerät vom Netz, Passwörter geändert.
2. Rufen Sie [Name und Telefon] und die/den DSB [Name und Telefon] an.
3. Notieren Sie die Uhrzeit, zu der Sie es erfahren haben. Dort beginnen die 72 Stunden, und das Wochenende zählt mit.
4. Nichts löschen: E-Mails, Systemprotokolle, Nachrichten.
5. Register der Pannen: [wo es liegt].

Checkliste

Bevor Sie den Vorfall abschließen

• Ich habe die genaue Uhrzeit notiert, zu der wir davon erfahren haben.
• Ich habe die Panne eingedämmt und die Beweise gesichert.
• Ich habe die Daten, die Betroffenen und ihre ungefähre Zahl ermittelt.
• Ich habe das Risiko nach den Kriterien des EDSA bewertet und die Gründe notiert.
• Bei Risiko habe ich die Behörde binnen 72 Stunden gemeldet oder die Verzögerung begründet.
• Bei hohem Risiko habe ich die Betroffenen in klarer Sprache benachrichtigt oder die Ausnahme dokumentiert.
• Wenn ich schrittweise gemeldet habe, habe ich die fehlenden Informationen nachgereicht.
• Ich habe geprüft, ob auch NIS2 greift.
• Ich habe das Register der Pannen aktualisiert.
• Ich habe entschieden, was sich ändert, damit es nicht wieder passiert.

Häufige Fragen

Häufige Fragen

Zählen Wochenende und Feiertage zu den 72 Stunden?

Ja. Die Frist wird in aufeinanderfolgenden Stunden gezählt und schließt Samstage, Sonntage und Feiertage ein (Verordnung 1182/71, Art. 3 Abs. 3). Haben Sie am Freitag um 17:40 Uhr davon erfahren, haben Sie bis Montag 17:40 Uhr Zeit, die Aufsichtsbehörde zu melden.

Ich habe personenbezogene Daten per E-Mail an die falsche Person geschickt. Muss ich melden?

Das hängt vom Risiko ab, dokumentieren müssen Sie aber immer. Eine kurze Liste mit wenig sensiblen Daten und einem Empfänger, der die Löschung sofort bestätigt, kann im internen Register bleiben (Fall 15 der Leitlinien 01/2021). Viele Daten, sensible Daten oder keine Gewissheit über die Löschung führen zur Meldung an die Behörde und, bei hohem Risiko, zur Benachrichtigung der Betroffenen (Fall 14).

Und wenn ich nach 72 Stunden noch nicht alles weiß?

Melden Sie trotzdem, mit dem, was Sie wissen. Die DSGVO erlaubt, die Informationen schrittweise ohne weitere unangemessene Verzögerung bereitzustellen (Art. 33 Abs. 4). Auf einen vollständigen Bericht zu warten, ist der häufigste Grund, die Frist zu versäumen.

Muss auch eine Panne ohne Risiko dokumentiert werden?

Ja. Jede Datenpanne kommt ins interne Register, mit Sachverhalt, Auswirkungen, ergriffenen Abhilfemaßnahmen und der Entscheidung, nicht zu melden, samt Gründen (Art. 33 Abs. 5). Die Aufsichtsbehörde kann dieses Register anfordern, um die Einhaltung zu prüfen.

Wer meldet die Behörde, wenn die Panne bei einem Dienstleister passiert?

Der Verantwortliche, also der Kunde des Dienstleisters. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren (Art. 33 Abs. 2), und die 72 Stunden des Verantwortlichen laufen ab dieser Mitteilung. Wenn Sie DSB mehrerer Organisationen sind, vereinbaren Sie mit jeder, wer wen in welcher Zeit informiert: Der Ratgeber für externe DSB mit mehreren Mandanten erklärt, wie Sie Prioritäten setzen, wenn alles gleichzeitig kommt.

Nur amtliche Quellen

Quellen

EU-Recht

• Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 33 und 34 (EUR-Lex)
• Verordnung (EWG, Euratom) Nr. 1182/71, Regeln für die Fristen, Art. 3 (EUR-Lex)
• Richtlinie (EU) 2022/2555 (NIS2), Art. 23 (EUR-Lex)

EDSA und ENISA

• Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0
• Leitlinien 01/2021, Beispiele für Meldungen von Datenpannen (Englisch)
• EDSA, Kurzüberblick zu Datenpannen („at a glance“) (Englisch)
• ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches (2013) (Englisch)
• EDSA und EDSB, Gemeinsame Stellungnahme 2/2026 zum Digital Omnibus (Englisch)

Aufsichtsbehörden

• DSK, Kurzpapier Nr. 18: Risiko für die Rechte und Freiheiten natürlicher Personen
• BfDI, Meldung von Datenschutzverstößen
• CNPD (Portugal), Datenpannen (Portugiesisch)
• CNPD, Tätigkeitsbericht 2025 (Portugiesisch)

Laufende Vorschläge

• COM(2025) 837, Vorschlag Digital Omnibus
• Europäisches Parlament, Verfahren 2025/0360(COD)
• Rat der EU, Tagesordnung des AStV, 21. Okt. 2026

Zuletzt geprüft: 21. Oktober 2026. Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Wenn Sie es mit einer echten Datenpanne zu tun haben, sprechen Sie mit Ihrer/Ihrem DSB oder einer Rechtsanwältin oder einem Rechtsanwalt. Die Personen und das Unternehmen in den Szenen sind fiktiv.