Wie schnell muss eine Datenpanne gemeldet werden?

Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde (Art. 33 DSGVO). Wird die Frist überschritten, ist die Verzögerung zu begründen. Fehlende Details dürfen schrittweise nachgereicht werden.

Muss jede Datenpanne gemeldet werden?

Nein. Eine Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt – etwa bei wirksam verschlüsselten Daten. Diese Risikoeinschätzung muss aber dokumentiert werden.

Wann müssen betroffene Personen informiert werden?

Wenn die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet (Art. 34 DSGVO). Die Benachrichtigung erfolgt unverzüglich in klarer, einfacher Sprache und kann entfallen, wenn Schutzmaßnahmen das hohe Risiko unwahrscheinlich machen.

Was passiert, wenn keine Meldung nötig ist?

Auch dann besteht die Pflicht, die Verletzung intern zu dokumentieren (Fakten, Auswirkungen, Maßnahmen – Art. 33 Abs. 5 DSGVO). Die Aufsichtsbehörde kann diese Dokumentation einsehen.

Wissen · Datenschutz

Datenpanne melden: die 72-Stunden-Frist nach DSGVO

Eine Verletzung des Schutzes personenbezogener Daten muss der Verantwortliche der zuständigen Aufsichtsbehörde nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden – es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen. Besteht ein hohes Risiko, müssen zusätzlich die betroffenen Personen benachrichtigt werden (Art. 34). Jede Panne ist zudem intern zu dokumentieren.

Rechtsgrundlage: Art. 33 DSGVO (Meldung), Art. 34 (Benachrichtigung)
Frist Aufsichtsbehörde: unverzüglich, max. 72 Stunden
Betroffene: bei hohem Risiko benachrichtigen
Ausnahme Meldung: voraussichtlich kein Risiko
Immer Pflicht: interne Dokumentation (Art. 33 Abs. 5)

Wann ist eine Meldung Pflicht?

Meldepflichtig ist eine „Verletzung des Schutzes personenbezogener Daten“ – also die Vernichtung, der Verlust, die Veränderung oder die unbefugte Offenlegung von bzw. der unbefugte Zugang zu personenbezogenen Daten. Gemeldet wird an die Aufsichtsbehörde, sobald die Verletzung dem Verantwortlichen bekannt ist. Die Frist von 72 Stunden ist eine Höchstgrenze – „unverzüglich“ bedeutet: so schnell wie möglich.

Keine Meldung ist erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (z. B. betroffene Daten waren wirksam verschlüsselt). Diese Einschätzung muss dokumentiert werden.

Was gehört in die Meldung?

Nach Art. 33 Abs. 3 DSGVO mindestens: eine Beschreibung der Art der Verletzung (soweit möglich mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze), Name und Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Risikominderung.

Liegen nicht alle Informationen binnen 72 Stunden vor, ist eine erste Meldung zulässig; die weiteren Angaben können schrittweise nachgereicht werden. Wird die 72-Stunden-Frist überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen.

Betroffene benachrichtigen (Art. 34)

Führt die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen, müssen diese unverzüglich in klarer und einfacher Sprache benachrichtigt werden. Die Benachrichtigung kann entfallen, wenn geeignete Schutzmaßnahmen (z. B. Verschlüsselung) das hohe Risiko unwahrscheinlich machen, nachträgliche Maßnahmen es abgewendet haben oder eine öffentliche Bekanntmachung verhältnismäßiger wäre.

Dokumentation und Vorbereitung

Unabhängig von der Meldepflicht muss der Verantwortliche jede Datenschutzverletzung dokumentieren – einschließlich der Fakten, Auswirkungen und ergriffenen Maßnahmen (Art. 33 Abs. 5). Diese interne Dokumentation ermöglicht der Aufsichtsbehörde die Überprüfung. Wer im Ernstfall schnell handeln will, braucht einen vorbereiteten Prozess: Erkennung, Bewertung, Meldung, Benachrichtigung, Dokumentation.

Das DSMS-Modul in MGMSYS bildet den Vorfall-Workflow mit Fristenüberwachung ab: Erfassung der Panne, Risikobewertung, 72-Stunden-Fristanzeige, Meldetext, Betroffenen-Benachrichtigung und revisionssichere Dokumentation als Nachweis.

Häufige Fragen

Wie schnell muss eine Datenpanne gemeldet werden?: Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde (Art. 33 DSGVO). Wird die Frist überschritten, ist die Verzögerung zu begründen. Fehlende Details dürfen schrittweise nachgereicht werden.
Muss jede Datenpanne gemeldet werden?: Nein. Eine Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt – etwa bei wirksam verschlüsselten Daten. Diese Risikoeinschätzung muss aber dokumentiert werden.
Wann müssen betroffene Personen informiert werden?: Wenn die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet (Art. 34 DSGVO). Die Benachrichtigung erfolgt unverzüglich in klarer, einfacher Sprache und kann entfallen, wenn Schutzmaßnahmen das hohe Risiko unwahrscheinlich machen.
Was passiert, wenn keine Meldung nötig ist?: Auch dann besteht die Pflicht, die Verletzung intern zu dokumentieren (Fakten, Auswirkungen, Maßnahmen – Art. 33 Abs. 5 DSGVO). Die Aufsichtsbehörde kann diese Dokumentation einsehen.