# Datenpanne: was in den ersten 72 Stunden zu tun ist URL: https://pulsaiq.com/de/ratgeber/datenpanne-melden-72-stunden/ Zuletzt geprüft: 2026-10-23 Sprache: de Rechtsgrundlage: Art. 33 und 34 DSGVO Ein ruhiger Plan, Stunde für Stunde, für den Fall, dass mit personenbezogenen Daten etwas schiefgeht. Mit der Entscheidungslogik des Europäischen Datenschutzausschusses (EDSA), echten Fällen aus seinen Leitlinien und den genauen Angaben, die Ihre Meldung enthalten muss. ## In zwei Minuten - **Immer dokumentieren.** Jede Datenpanne kommt ins interne Register, auch die, die Sie nicht melden müssen. Art. 33 Abs. 5 - **Die Aufsichtsbehörde binnen 72 Stunden melden**, nachdem Ihnen die Panne bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Die 72 Stunden schließen das Wochenende ein. Art. 33 Abs. 1 - **Die Betroffenen benachrichtigen**, unverzüglich, wenn das Risiko hoch ist, in klarer und einfacher Sprache. Art. 34 Abs. 1 und 2 - **Nicht warten, bis Sie alles wissen.** Sie können schrittweise melden und später ergänzen. Art. 33 Abs. 4 - **Im Zweifel melden.** Das rät der EDSA selbst. Leitlinien 9/2022, Rn. 119 **Für wen dieser Ratgeber ist:** Inhaber von KMU, IT-Teams und Datenschutzbeauftragte (DSB), die wissen müssen, was sofort zu tun ist. Wenn Ihre Organisation nur als Auftragsverarbeiter tätig ist, besteht Ihre Hauptpflicht darin, Ihren Kunden unverzüglich zu informieren (Punkt 2). ## Ist es eine Datenpanne? Die DSGVO definiert die Verletzung des Schutzes personenbezogener Daten, die Datenpanne, als Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, ob unbeabsichtigt oder unrechtmäßig (Art. 4 Nr. 12). Ein Hacker ist dafür nicht nötig. Der EDSA unterscheidet drei Arten (Leitlinien 9/2022, Rn. 17): - **Vertraulichkeit:** Jemand hat gesehen, was er nicht sehen durfte. Eine E-Mail an die falsche Person, ein geteilter Ordner mit offenem Link, ein gestohlener Laptop. - **Integrität:** Daten wurden unbefugt verändert. Zum Beispiel die IBAN eines Lieferanten, die bei einem Zahlungsbetrug geändert wurde. - **Verfügbarkeit:** Die Daten sind nicht mehr zugänglich, auch nur vorübergehend. Ein Verschlüsselungstrojaner, eine gelöschte Datei ohne Sicherung. Eine geplante Wartung zählt nicht (Rn. 21). Eine E-Mail an die falsche Person ist eine Verletzung der Vertraulichkeit. Die Daten wurden jemandem offengelegt, der sie nicht sehen durfte, auch wenn diese Person keine bösen Absichten hat. ## Wann die 72 Stunden beginnen Die Frist läuft ab dem Zeitpunkt, an dem die Organisation **davon Kenntnis erlangt**. Für den EDSA ist das der Fall, wenn sie „mit hinreichender Sicherheit“ weiß, dass ein Sicherheitsvorfall eingetreten ist, der personenbezogene Daten beeinträchtigt hat (Leitlinien 9/2022, Rn. 31). In der Praxis gibt es zwei Situationen. Ist der Fehler offensichtlich, etwa eine verschickte E-Mail, beginnt die Kenntnis sofort. Gibt es nur ein Warnsignal, etwa eine Meldung des Virenscanners, dürfen Sie kurz prüfen, ob es sich bestätigt. Die Prüfung muss sofort beginnen und darf nicht dazu dienen, Zeit zu gewinnen. **Das Wochenende zählt mit.** Die Verordnung 1182/71, die die Fristen im EU-Recht regelt, legt fest, dass Fristen Feiertage, Sonntage und Samstage einschließen, sofern sie nicht in Arbeitstagen ausgedrückt sind (Art. 3 Abs. 3). Die Frist der DSGVO ist in Stunden angegeben. Hat Rui am Freitag um 17:40 Uhr davon erfahren, endet die Frist spätestens am Montag um 17:40 Uhr. **Wenn Sie Auftragsverarbeiter sind** (zum Beispiel ein IT-Dienstleister oder eine E-Mail-Marketing-Plattform), müssen Sie Ihren Kunden, den Verantwortlichen, unverzüglich informieren (Art. 33 Abs. 2). Ab dieser Mitteilung läuft die Uhr des Kunden (Leitlinien 9/2022, Rn. 44). Deshalb sollten Auftragsverarbeitungsverträge eine kurze Frist für diese Mitteilung festlegen. ## Die 72 Stunden, Stunde für Stunde Diese Einteilung steht nicht im Gesetz. Sie ist ein praktischer Weg, im Moment der Entscheidung die nötigen Informationen zu haben.
KenntnisFr. 17:40
Frist für die MeldungMo. 17:40
Die 72 Stunden schließen das Wochenende ein.
  1. Stunden 0–4

    Eindämmen

    • Den Schaden stoppen: E-Mail zurückrufen, Empfänger um Löschung bitten, Gerät vom Netz nehmen, Passwörter ändern.
    • Die Entscheidungsträger und Ihre/n DSB informieren.
    • Den Vorfall mit der genauen Uhrzeit des Bekanntwerdens erfassen.
    • Beweise sichern. Keine Systemprotokolle löschen.
  2. Stunden 4–24

    Bewerten

    • Welche Daten, und von wie vielen Personen?
    • Sind besondere Kategorien, Finanzdaten oder Daten von Kindern dabei?
    • Wer hatte Zugriff, und was könnte er mit den Daten tun?
    • Haben die bereits ergriffenen Maßnahmen das Risiko verringert?
  3. Stunden 24–72

    Entscheiden und melden

    • Das Risiko einstufen (Punkt 4).
    • Falls nötig, die Aufsichtsbehörde melden. In Deutschland ist für Unternehmen meist die Datenschutzbehörde des Bundeslandes zuständig, die dafür ein Online-Formular anbietet; in Portugal das Formular der CNPD.
    • Bei hohem Risiko die Nachricht an die Betroffenen vorbereiten.
    • Die Entscheidung und ihre Gründe festhalten, wie auch immer sie ausfällt.
## Das Risiko in drei Stufen Die Frage lautet nicht „Wie schlimm ist das für das Unternehmen?“. Sie lautet „Was kann den Menschen passieren, deren Daten betroffen sind?“. Der EDSA verlangt, die Art der Verletzung, Art, Sensibilität und Umfang der Daten, die Leichtigkeit der Identifizierung, die Schwere der Folgen, besondere Merkmale der Personen (etwa Kinder) oder des Verantwortlichen und die Zahl der Betroffenen zu berücksichtigen (Leitlinien 9/2022, Rn. 105 bis 118). Die Datenschutzkonferenz (DSK) erklärt in ihrem [Kurzpapier Nr. 18](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_18.pdf), wie man Eintrittswahrscheinlichkeit und Schwere eines Risikos abschätzt.
Frage 1Führt die Panne voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen?
Voraussichtlich kein Risiko

Intern dokumentieren

Kommt ins Register der Pannen, mit den Gründen der Entscheidung. Keine Meldung.

Art. 33 Abs. 5
Frage 2, wenn jaIst das Risiko hoch?
Risiko

Dokumentieren und der Behörde melden

Binnen 72 Stunden. Kommen Sie später, begründen Sie die Verzögerung.

Art. 33 Abs. 1
Hohes Risiko

Und die Betroffenen benachrichtigen

Unverzüglich, es sei denn, eine der Ausnahmen nach Art. 34 Abs. 3 greift (siehe Punkt 7).

Art. 34 Abs. 1
**Sie möchten Zahlen?** Der EDSA bezeichnet die Methode der ENISA, der Agentur der Europäischen Union für Cybersicherheit, als hilfreich (Leitlinien 9/2022, Rn. 120). Sie berechnet den Schweregrad mit der Formel **SE = DPC × EI + CB**. DPC bewertet die Datenart von 1 bis 4, EI ist die Leichtigkeit der Identifizierung (0,25 bis 1), und CB gibt Punkte für die Umstände, etwa die Offenlegung an unbekannte Empfänger oder böswillige Absicht. Ein Ergebnis unter 2 bedeutet geringen Schweregrad; von 2 bis 3 mittleren; von 3 bis 4 hohen; ab 4 sehr hohen ([ENISA, 2013](https://www.enisa.europa.eu/publications/dbn-severity)). Der Wert hilft, die Entscheidung zu begründen, trifft sie aber nicht für Sie.

Unsicher zwischen zwei Stufen? Wählen Sie die vorsichtigere. Im Zweifel empfiehlt der EDSA dem Verantwortlichen, auf Nummer sicher zu gehen und zu melden (Leitlinien 9/2022, Rn. 119).

## Wie der EDSA ähnliche Fälle entscheidet Die [Leitlinien 01/2021](https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf) des EDSA analysieren 18 Praxisfälle. Wir haben die ausgewählt, die in einem KMU am häufigsten vorkommen. Wir fassen den Sachverhalt zusammen; das Ergebnis stammt vom EDSA. | Situation | Was für die Entscheidung zählte | Ergebnis des EDSA | |---|---|---| | **Ransomware bei einem kleinen Hersteller**, mit aktueller Sicherung und ohne Datenabfluss Fall 01 | Die Protokolle zeigten, dass keine Daten abgeflossen sind. Die Sicherung stellte alles in wenigen Stunden wieder her. Einige Dutzend Personen, keine Folgen für den Betrieb. | Nur dokumentieren | | **Zwei gestohlene Tablets in einer Kita**, verschlüsselt, ausgeschaltet und mit starkem Passwort Fall 10 | Die Daten waren für den Dieb unlesbar, es gab Sicherungen, und die Geräte wurden aus der Ferne gelöscht. | Nur dokumentieren | | **Gestohlener Laptop ohne Verschlüsselung und Passwort**, mit den Daten von über 100.000 Kunden Fall 11 | Jeder konnte Namen, Anschriften und Geburtsdaten lesen. Großer Umfang, Risiko des Identitätsdiebstahls. | Melden und benachrichtigen | | **Teilnehmerliste eines Kurses** versehentlich an 15 ehemalige Teilnehmer geschickt, mit zwei Lebensmittelunverträglichkeiten Fall 15 | Fehler sofort bemerkt, Empfänger informiert und um Löschung gebeten. Wenige und wenig sensible Daten. | Nur dokumentieren | | **E-Mail an 60.000 Arbeitsuchende** mit einem Anhang, der die Daten aller enthielt, einschließlich der Sozialversicherungsnummer Fall 14 | Riesiger Umfang, eine sensible Kennung und keine Möglichkeit sicherzustellen, dass die Empfänger löschen. | Melden und benachrichtigen | Achten Sie auf das Muster. Verschlüsselung und Sicherungen ändern das Ergebnis. Derselbe Fehler, etwa eine E-Mail an die falsche Person, kann je nach Umfang, Sensibilität der Daten und Möglichkeit, die Löschung zu erreichen, von „nur dokumentieren“ zu „melden und benachrichtigen“ wechseln. ## Was in die Meldung gehört Jede Behörde hat ihr eigenes Formular. In Deutschland melden Unternehmen in der Regel bei der Datenschutzbehörde ihres Bundeslandes; der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist vor allem für Bundesbehörden sowie Telekommunikations- und Postdienste zuständig und erklärt das Verfahren auf seiner [Seite zur Meldung von Datenschutzverstößen](https://www.bfdi.bund.de/DE/Service/Kontakt/Meldung-Datenschutzversto%C3%9F/Info_MeldungDSVerstoss.html). In Portugal nutzt man das Formular der CNPD (der portugiesischen Datenschutzbehörde). Welches Formular auch immer: Die DSGVO verlangt mindestens vier Angaben (Art. 33 Abs. 3). Halten Sie diese Antworten bereit, bevor Sie es öffnen: 1. **Was passiert ist.** Die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze. Beispiel: „Versehentlicher Versand einer Datei per E-Mail mit Name, Anschrift, Telefonnummer und Bestellhistorie von rund 300 Kunden an einen externen Kontakt“. 2. **Wen man kontaktieren kann.** Name und Kontaktdaten der oder des DSB oder einer sonstigen Anlaufstelle. Beispiel: „Inês \[Nachname\], DSB, \[E-Mail\], \[Telefon\]“. 3. **Wahrscheinliche Folgen.** Was den Personen passieren kann. Beispiel: „Risiko betrügerischer Kontaktaufnahmen durch Personen, die sich als das Unternehmen ausgeben. Keine Zahlungsdaten betroffen“. 4. **Ergriffene oder vorgeschlagene Maßnahmen.** Um die Verletzung zu beheben und ihre Folgen abzumildern. Beispiel: „Empfängerin um Löschung gebeten, Bestätigung am ersten Werktag erwartet; Überprüfung der Regeln für den Versand von Dateien mit Kundendaten“. **Sie wissen noch nicht alles?** Melden Sie fristgerecht, was Sie wissen, und ergänzen Sie später. Das Gesetz erlaubt, die Informationen schrittweise ohne weitere unangemessene Verzögerung bereitzustellen (Art. 33 Abs. 4; Leitlinien 9/2022, Rn. 56). Melden Sie nach 72 Stunden, müssen Sie die Gründe für die Verzögerung angeben (Art. 33 Abs. 1). ## Wann und wie Sie die Betroffenen benachrichtigen Ist das Risiko hoch, müssen Sie die Betroffenen unverzüglich benachrichtigen (Art. 34 Abs. 1). Die Nachricht muss klare und einfache Sprache verwenden, die Art der Verletzung beschreiben und die Angaben 2, 3 und 4 der Meldung enthalten (Art. 34 Abs. 2). Ergänzen Sie, was die Person selbst tun kann: misstrauisch sein bei Anrufen, die nach Daten fragen, das Passwort ändern, Kontobewegungen prüfen. Fragt jemand nach der Benachrichtigung, welche seiner Daten betroffen sind, behandeln Sie das als Auskunftsersuchen, mit dessen Monatsfrist. In drei Situationen müssen Sie nicht jede Person einzeln benachrichtigen (Art. 34 Abs. 3): - die Daten waren so geschützt, dass sie für alle Unbefugten unzugänglich sind, zum Beispiel durch starke Verschlüsselung; - Sie haben nachträglich Maßnahmen ergriffen, durch die das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht; - die einzelne Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden. Dann erfolgt eine öffentliche Bekanntmachung oder eine ähnlich wirksame Maßnahme. Auch wenn es nicht Pflicht ist, kann die Benachrichtigung richtig sein, wenn die Mithilfe der Personen das Risiko senkt. Im Fall 13 der Leitlinien 01/2021, zwei an die falschen Kunden verschickte Bestellungen, kam der EDSA zu dem Schluss, dass die Kontaktaufnahme mit beiden Kunden unvermeidlich war, um das Problem zu lösen. ## Eine falsche E-Mail, von Anfang bis Ende So werden die Schritte dieses Ratgebers auf einen konkreten Fall angewendet, von Freitagnachmittag bis Montagmorgen.
Oficina RochaMöbelhersteller bei Braga im Norden Portugals, mit Onlineshop

  1. Freitag

    Punkt 2 · Die Uhr

    17:40 Rui kümmert sich bei der Oficina Rocha um die IT. Er bekommt eine Nachricht von einer Kollegin aus dem Vertrieb: „Ich glaube, ich habe die Kundendatei an die falsche Ana geschickt.“ Die Tabelle enthielt Namen, Anschriften, Telefonnummern und Bestellhistorie von 300 Kunden. Sie war für Ana aus der Buchhaltung bestimmt. Gelandet ist sie bei Ana Ferreira, einer Mitarbeiterin des Lieferdienstes, mit dem sie zusammenarbeiten.

    17:46 Rui ruft Marta an, die das Büro leitet und „sich auch um die DSGVO kümmert“. Marta stellt die drei Fragen, die alle stellen. Ist das eine Datenpanne? Wen rufen wir an? Und zählt das Wochenende zu den 72 Stunden? Ja. Inês, die externe DSB des Unternehmens. Und ja, es zählt.

  2. Samstag

    Punkt 4 · Die Entscheidung

    10:00 Inês bewertet den Fall mit Marta am Telefon. Es sind Kontakt- und Kaufdaten von 300 Personen, ohne Zahlungsdaten oder besondere Kategorien. Die Empfängerin ist ein bekannter Geschäftskontakt, aber die einzige Antwort auf Ruis E-Mail war eine automatische Nachricht: „Im Urlaub bis Montag“. Niemand kann bestätigen, dass die Datei gelöscht wurde.

    „Anschriften, Telefonnummern und was jeder gekauft hat. Jemand könnte sich als wir ausgeben und die Kunden täuschen“, sagt Inês. „Ein hohes Risiko sehe ich nicht. Aber ich kann auch nicht sagen, dass es kein Risiko gibt.“

    ENISA-Skala2,25 · mittlerer Schweregrad
    EntscheidungDie CNPD vor Fristablauf melden, die Kunden vorerst nicht benachrichtigen und neu bewerten, falls Anzeichen von Missbrauch auftauchen. Alles kommt ins Register, mit den Gründen.

    Hätte Ana am Freitagabend geantwortet und die Löschung bestätigt, hätte die Bewertung wie Fall 15 enden können: nur dokumentieren.

  3. Montag

    Punkt 6 · Melden

    09:30 Marta schickt die Meldung ab, mit acht Stunden Puffer.

    10:15 Ana Ferreira kommt aus dem Urlaub zurück, liest Ruis E-Mail und bestätigt schriftlich, dass sie die E-Mail und den Anhang gelöscht hat. Inês schickt die Bestätigung als ergänzende Information an die CNPD und aktualisiert das Register.

Die Oficina Rocha, Marta, Rui und Inês sind fiktiv. Die Regeln und die zitierten Fälle sind echt. Das Unternehmen sitzt in Portugal und meldet deshalb bei der CNPD; in Deutschland ginge die Meldung an die zuständige Datenschutzbehörde des Bundeslandes.

## Die meisten Datenpannen beginnen nicht mit einem Angriff 2025 hat die CNPD, die portugiesische Datenschutzbehörde, 472 Verfahren zu Datenpannen eröffnet, 42 % mehr als die 332 im Jahr 2024. In 390 Fällen war die Vertraulichkeit betroffen. Das sind die von den Organisationen am häufigsten angegebenen Ursachen: | Angegebene Ursache (2025) | Fälle | |---|---| | Menschlicher Fehler | 128 | | Phishing oder Social Engineering | 72 | | Schadsoftware | 49 | | Ransomware | 47 | | Betrug (Missbrauch von Ressourcen, Identitätsdiebstahl) | 33 | Quelle: [CNPD, Tätigkeitsbericht 2025](https://www.cnpd.pt/media/v50frkwy/relatorio-atividades-de-2025.pdf) (Portugiesisch), S. 35 und 36. Die CNPD weist selbst darauf hin, dass die Ursachen von den Organisationen angegeben werden und unterschätzt sein können. Die Lehre für ein KMU ist einfach. Der wahrscheinlichste Vorfall ist kein ausgeklügelter Angriff. Es ist jemand, der die falsche Datei verschickt, auf einen gefälschten Link klickt oder einen Ordner mit der falschen Person teilt. Dort muss die Vorbereitung ansetzen. ## Wenn Ihre Organisation auch unter NIS2 fällt Wesentliche und wichtige Einrichtungen im Sinne der NIS2-Richtlinie haben ein eigenes Verfahren, um erhebliche Sicherheitsvorfälle zu melden: eine Frühwarnung binnen 24 Stunden, eine Meldung des Vorfalls binnen 72 Stunden und einen Abschlussbericht binnen eines Monats (Richtlinie (EU) 2022/2555, Art. 23). Ein Verschlüsselungstrojaner kann zwei Meldungen erfordern, eine an die Datenschutzbehörde und eine an die Behörde für Cybersicherheit. Das sind getrennte Pflichten mit unterschiedlichem Inhalt. Führen Sie eine einzige Vorfallsakte, die für beide dient, und prüfen Sie bei der nationalen Behörde für Cybersicherheit (in Deutschland das Bundesamt für Sicherheit in der Informationstechnik, BSI), ob Ihre Organisation erfasst ist. ## Ein EU-Vorschlag will diese Regeln vereinfachen Am 19. November 2025 hat die Europäische Kommission den Vorschlag Digital Omnibus vorgelegt, [COM(2025) 837](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52025PC0837), der die DSGVO ändert. Für Datenpannen schlägt er vor: - die Behörde nur noch zu melden, wenn die Panne voraussichtlich zu einem **hohen Risiko** führt, der Schwelle, die heute für die Benachrichtigung der Betroffenen gilt; - die Frist von **72 auf 96 Stunden** zu verlängern; - eine **zentrale Meldestelle** in der EU, mit einem gemeinsamen Muster des EDSA. **Wo das Verfahren steht:** Im Europäischen Parlament haben die Ausschüsse ITRE und LIBE noch nicht über den Bericht abgestimmt. Im Rat berieten die Botschafter der Mitgliedstaaten im Oktober 2026 über das Verhandlungsmandat. Danach folgen die Verhandlungen zwischen den Institutionen und die Veröffentlichung im Amtsblatt. **Was heute zu tun ist:** die geltenden Regeln anwenden. Bis ein endgültiger Text veröffentlicht ist, gelten die 72 Stunden und die Schwelle „Risiko“. Und das interne Register aller Pannen bleibt in allen diskutierten Fassungen erhalten. Derselbe Vorschlag ändert auch das Auskunftsrecht. Beide Änderungen erklären wir im Artikel zum Digital Omnibus. Quellen: [Europäisches Parlament, Verfahren 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)); [Rat, Tagesordnung des AStV vom 21. Okt. 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf); [Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf). ## In einer Stunde vorbereitet, heute Die Oficina Rocha hat die Frist eingehalten, weil Rui wusste, wen er anrufen muss. Die Behörden erwarten, dass jeder Verantwortliche ein internes Verfahren hat, um Vorfälle zu erkennen und zu bewältigen. Ein Handbuch mit 40 Seiten brauchen Sie nicht. Beginnen Sie mit einer Karte neben der Kaffeemaschine und einem Register der Pannen mit vier Spalten: Sachverhalt, Auswirkungen, ergriffene Abhilfemaßnahmen und die Entscheidung über die Meldung, mit Gründen (Art. 33 Abs. 5). Es hilft auch, vorher zu wissen, welche Daten Sie haben und wo: Das steht in Ihrem Verzeichnis von Verarbeitungstätigkeiten, und es ist das Erste, was Sie öffnen, um eine Panne zu bewerten. ### Notfallkarte Datenpanne (zum Aufhängen) 1. Haben Sie den Schaden gestoppt? E-Mail zurückgerufen, Gerät vom Netz, Passwörter geändert. 2. Rufen Sie [Name und Telefon] und die/den DSB [Name und Telefon] an. 3. Notieren Sie die Uhrzeit, zu der Sie es erfahren haben. Dort beginnen die 72 Stunden, und das Wochenende zählt mit. 4. Nichts löschen: E-Mails, Systemprotokolle, Nachrichten. 5. Register der Pannen: [wo es liegt]. ## Bevor Sie den Vorfall abschließen - Ich habe die genaue Uhrzeit notiert, zu der wir davon erfahren haben. - Ich habe die Panne eingedämmt und die Beweise gesichert. - Ich habe die Daten, die Betroffenen und ihre ungefähre Zahl ermittelt. - Ich habe das Risiko nach den Kriterien des EDSA bewertet und die Gründe notiert. - Bei Risiko habe ich die Behörde binnen 72 Stunden gemeldet oder die Verzögerung begründet. - Bei hohem Risiko habe ich die Betroffenen in klarer Sprache benachrichtigt oder die Ausnahme dokumentiert. - Wenn ich schrittweise gemeldet habe, habe ich die fehlenden Informationen nachgereicht. - Ich habe geprüft, ob auch NIS2 greift. - Ich habe das Register der Pannen aktualisiert. - Ich habe entschieden, was sich ändert, damit es nicht wieder passiert. ## Häufige Fragen ### Zählen Wochenende und Feiertage zu den 72 Stunden? Ja. Die Frist wird in aufeinanderfolgenden Stunden gezählt und schließt Samstage, Sonntage und Feiertage ein (Verordnung 1182/71, Art. 3 Abs. 3). Haben Sie am Freitag um 17:40 Uhr davon erfahren, haben Sie bis Montag 17:40 Uhr Zeit, die Aufsichtsbehörde zu melden. ### Ich habe personenbezogene Daten per E-Mail an die falsche Person geschickt. Muss ich melden? Das hängt vom Risiko ab, dokumentieren müssen Sie aber immer. Eine kurze Liste mit wenig sensiblen Daten und einem Empfänger, der die Löschung sofort bestätigt, kann im internen Register bleiben (Fall 15 der Leitlinien 01/2021). Viele Daten, sensible Daten oder keine Gewissheit über die Löschung führen zur Meldung an die Behörde und, bei hohem Risiko, zur Benachrichtigung der Betroffenen (Fall 14). ### Und wenn ich nach 72 Stunden noch nicht alles weiß? Melden Sie trotzdem, mit dem, was Sie wissen. Die DSGVO erlaubt, die Informationen schrittweise ohne weitere unangemessene Verzögerung bereitzustellen (Art. 33 Abs. 4). Auf einen vollständigen Bericht zu warten, ist der häufigste Grund, die Frist zu versäumen. ### Muss auch eine Panne ohne Risiko dokumentiert werden? Ja. Jede Datenpanne kommt ins interne Register, mit Sachverhalt, Auswirkungen, ergriffenen Abhilfemaßnahmen und der Entscheidung, nicht zu melden, samt Gründen (Art. 33 Abs. 5). Die Aufsichtsbehörde kann dieses Register anfordern, um die Einhaltung zu prüfen. ### Wer meldet die Behörde, wenn die Panne bei einem Dienstleister passiert? Der Verantwortliche, also der Kunde des Dienstleisters. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren (Art. 33 Abs. 2), und die 72 Stunden des Verantwortlichen laufen ab dieser Mitteilung. Wenn Sie DSB mehrerer Organisationen sind, vereinbaren Sie mit jeder, wer wen in welcher Zeit informiert: Der Ratgeber für externe DSB mit mehreren Mandanten erklärt, wie Sie Prioritäten setzen, wenn alles gleichzeitig kommt. ## Quellen ### EU-Recht - [Verordnung (EU) 2016/679 (DSGVO)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), Artikel 4, 33 und 34 (EUR-Lex) - [Verordnung (EWG, Euratom) Nr. 1182/71](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:31971R1182), Regeln für die Fristen, Art. 3 (EUR-Lex) - [Richtlinie (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), Art. 23 (EUR-Lex) ### EDSA und ENISA - [Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0](https://www.edpb.europa.eu/documents/guideline/guidelines-92022-on-personal-data-breach-notification-under-gdpr_de) - [Leitlinien 01/2021, Beispiele für Meldungen von Datenpannen](https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf) (Englisch) - [EDSA, Kurzüberblick zu Datenpannen („at a glance“)](https://www.edpb.europa.eu/system/files/2026-10/edpb_guidelines-at-a-glance_data_breaches_en.pdf) (Englisch) - [ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches (2013)](https://www.enisa.europa.eu/publications/dbn-severity) (Englisch) - [EDSA und EDSB, Gemeinsame Stellungnahme 2/2026 zum Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (Englisch) ### Aufsichtsbehörden - [DSK, Kurzpapier Nr. 18: Risiko für die Rechte und Freiheiten natürlicher Personen](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_18.pdf) - [BfDI, Meldung von Datenschutzverstößen](https://www.bfdi.bund.de/DE/Service/Kontakt/Meldung-Datenschutzversto%C3%9F/Info_MeldungDSVerstoss.html) - [CNPD (Portugal), Datenpannen](https://www.cnpd.pt/organizacoes/outras-obrigacoes/violacao-de-dados-ou-data-breach/) (Portugiesisch) - [CNPD, Tätigkeitsbericht 2025](https://www.cnpd.pt/media/v50frkwy/relatorio-atividades-de-2025.pdf) (Portugiesisch) ### Laufende Vorschläge - [COM(2025) 837, Vorschlag Digital Omnibus](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52025PC0837) - [Europäisches Parlament, Verfahren 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)) - [Rat der EU, Tagesordnung des AStV, 21. Okt. 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) **Zuletzt geprüft:** 21. Oktober 2026. Dieser Ratgeber ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Wenn Sie es mit einer echten Datenpanne zu tun haben, sprechen Sie mit Ihrer/Ihrem DSB oder einer Rechtsanwältin oder einem Rechtsanwalt. Die Personen und das Unternehmen in den Szenen sind fiktiv.