DSGVO Datenpanne 2026 : Meldepflicht, Fristen und Behörden im Überblick
- Erkennen: Datenpanne identifizieren und intern eskalieren (Datenschutzbeauftragter einbeziehen)
- Dokumentieren: Art des Vorfalls, betroffene Datenkategorien, Anzahl betroffener Personen festhalten
- Schwere prüfen: Liegt ein Risiko für Betroffene vor? → Meldepflicht nach Art. 33 DSGVO gegeben
- Melden: Innerhalb von 72 Stunden ab Kenntnisnahme an die zuständige Datenschutzbehörde
- Betroffene informieren: Bei hohem Risiko zusätzlich Pflicht zur Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO
Was ist eine meldepflichtige Datenpanne nach Art. 33 DSGVO?
Eine Datenpanne (Data Breach) ist gemäß DSGVO jede Verletzung der Sicherheit personenbezogener Daten, die zur unbeabsichtigten oder unrechtmässigen Vernichtung, zum Verlust, zur Veränderung oder unbefugten Offenlegung von Daten führt.
Typische Beispiele:
- Hackerangriff mit Datenzugriff oder Datenexfiltration
- Versand einer E-Mail mit personenbezogenen Daten an falsche Empfänger
- Verlust eines unverschlüsselten Laptops oder USB-Sticks mit Kundendaten
- Ransomware-Angriff, der Daten verschlüsselt (auch wenn keine Exfiltration nachweisbar)
- Versehentliche Veröffentlichung von personenbezogenen Daten auf einer Website
Nicht jede Datenpanne ist meldepflichtig: Nur wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht, greift die Meldepflicht nach Art. 33 DSGVO. Ist das Risiko auszuschliessen (z.B. weil die Daten verschlüsselt waren und der Schlüssel sicher ist), kann von einer Meldung abgesehen werden — die Datenpanne muss aber dennoch intern dokumentiert werden.
Lesen Sie auch: Datenschutzbeauftragter intern oder extern bestellen 2026
Die 72-Stunden-Frist — wie sie korrekt berechnet wird
Art. 33 Abs. 1 DSGVO schreibt vor, dass die Meldung unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme erfolgen muss. Dabei gilt:
- Startpunkt: Der Moment, in dem der Verantwortliche (oder ein Auftragsverarbeiter, der ihn informiert) von der Datenpanne Kenntnis erlangt.
- 72 Stunden = 3 Tage + Stunden: Die Frist läuft auch über Wochenenden und Feiertage. Es gibt keine Unterbrechung für Arbeitstage.
- Verspätete Meldung möglich: Wenn die 72 Stunden nicht eingehalten werden können, ist eine spätere Meldung mit Begründung der Verspätung möglich — aber das Bußgeldrisiko steigt.
Praxistipp: Interne Eskalationswege sollten so eingerichtet sein, dass die zuständige Person (Datenschutzbeauftragter, Geschäftsführung) innerhalb weniger Stunden informiert wird. Jede Stunde zählt.
An welche Behörde melden? (Übersicht Datenschutzbehörden DE/AT/CH)
Die Meldung erfolgt an die zuständige Aufsichtsbehörde. Welche das ist, richtet sich nach dem Sitz des Verantwortlichen:
| Land/Bereich | Zuständige Behörde | Meldeportal |
|---|---|---|
| Deutschland (Bundesbehörden) | BfDI (Bundesbeauftragter für Datenschutz) | bfdi.bund.de |
| Deutschland (private Unternehmen) | Landesbehörde des jeweiligen Bundeslandes (z.B. LfDI BW, Bayerisches LDA) | Je nach Bundesland |
| Österreich | Datenschutzbehörde (DSB) | dsb.gv.at |
| Schweiz | EDÖB (Eidg. Datenschutz- und Öffentlichkeitsbeauftragter) — unter DSG (nicht DSGVO) | edoeb.admin.ch |
In Deutschland gilt: Für private Unternehmen ist die Datenschutzbehörde des Bundeslandes des Unternehmenssitzes zuständig. Bei grenzüberschreitenden Verarbeitungen (One-Stop-Shop) ist die Behörde der Hauptniederlassung in der EU zuständig.
Was muss die Meldung enthalten? (Pflichtangaben Art. 33 Abs. 3 DSGVO)
Die DSGVO schreibt in Art. 33 Abs. 3 vor, welche Informationen die Meldung mindestens enthalten muss:
- Art der Datenpanne: Beschreibung der Art der Verletzung (z.B. Datenverlust, unbefugter Zugriff, Verschlüsselung durch Ransomware)
- Betroffene Kategorien und Anzahl: Kategorien und ungefähre Anzahl der betroffenen Personen sowie betroffene Datensätze
- Kontaktdaten des DSB: Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
- Wahrscheinliche Folgen: Beschreibung der voraussichtlichen Folgen der Datenpanne
- Ergriffene Massnahmen: Beschreibung der Massnahmen, die getroffen wurden oder vorgeschlagen werden (Eindämmung, Abhilfe)
Wenn nicht alle Informationen sofort vorliegen, erlaubt Art. 33 Abs. 4 DSGVO eine gestaffelte Meldung: Zunächst mit den verfügbaren Informationen, dann Ergänzung sobald weitere Details bekannt sind.
Wann müssen Betroffene informiert werden? (Art. 34 DSGVO)
Neben der Meldung an die Behörde gibt es unter Umständen auch eine Pflicht zur Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Diese gilt, wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat.
Indikatoren für ein hohes Risiko:
- Gesundheitsdaten, Finanzdaten, biometrische Daten oder besondere Kategorien nach Art. 9 DSGVO betroffen
- Passwörter oder Zugangsdaten im Klartext abgeflossen
- Daten von besonders schutzbedürftigen Personen (Minderjährige, psychisch Erkrankte) betroffen
- Identitätsdiebstahl oder finanzielle Schäden für Betroffene realistisch
Die Benachrichtigung der Betroffenen muss unverzüglich erfolgen und in klarer, verständlicher Sprache verfasst sein. Sie muss Art der Panne, Kontaktdaten des DSB, wahrscheinliche Folgen und ergriffene Massnahmen enthalten.
Strafen bei nicht fristgerechter Meldung
Die DSGVO sieht empfindliche Bußgelder vor, wenn Meldepflichten verletzt werden:
- Nicht oder zu spät gemeldete Datenpannen: Bußgeld bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO) — je nachdem, was höher ist.
- Schwerwiegendere Verstösse (z.B. grundlegend mangelhafte Datensicherheit): Bis zu 20 Mio. Euro oder 4% des Jahresumsatzes.
In der Praxis verhängen die deutschen Landesbehörden auch bei kleineren Unternehmen empfindliche Bußgelder bei versäumter Meldung — selbst wenn der eigentliche Datenschutzverstoß nicht schwerwiegend war. Die Meldung rettet vor dem Bußgeld für die Nicht-Meldung, schützt aber nicht vor Sanktionen für den ursprünglichen Datenschutzmangel.
Häufig gestellte Fragen zur DSGVO-Datenpannenmeldung 2026
Ab wann beginnt die 72-Stunden-Frist zu laufen?
Die 72-Stunden-Frist beginnt, sobald der Verantwortliche von der Datenpanne Kenntnis erlangt. Das kann der Moment sein, in dem ein Mitarbeiter den Vorfall entdeckt und intern eskaliert — oder wenn ein Auftragsverarbeiter den Verantwortlichen informiert. Die Frist läuft durchgehend, auch über Wochenenden und Feiertage.
Was passiert, wenn ich die 72-Stunden-Frist nicht einhalten kann?
Eine verspätete Meldung ist besser als gar keine. Die DSGVO erlaubt eine Meldung nach Ablauf der 72 Stunden, wenn gleichzeitig die Gründe für die Verspätung mitgeteilt werden. Das Bußgeldrisiko für die Verspätung besteht jedoch. Behörden bewerten eine proaktive, transparente Kommunikation in der Regel positiv.
Müssen auch kleine Unternehmen Datenpannen melden?
Ja. Die Meldepflicht nach Art. 33 DSGVO gilt für alle Verantwortlichen — unabhängig von Unternehmensgrösse oder Mitarbeiterzahl. Auch Kleinunternehmen, Freiberufler und Vereine, die personenbezogene Daten verarbeiten, unterliegen der Meldepflicht. Ausgenommen sind nur Verarbeitungen, bei denen kein Risiko für Betroffene besteht.
Muss ich Datenpannen auch ohne Datenschutzbeauftragten melden?
Ja. Ob ein Datenschutzbeauftragter (DSB) vorhanden ist oder nicht, hat keinen Einfluss auf die Meldepflicht. Die Meldepflicht trifft den Verantwortlichen selbst. Unternehmen ohne DSB sollten eine interne Person benennen, die im Ernstfall die Meldung koordiniert und kennt, an welche Behörde zu melden ist.
Was ist der Unterschied zwischen Art. 33 und Art. 34 DSGVO bei Datenpannen?
Art. 33 DSGVO regelt die Meldepflicht gegenüber der Datenschutzbehörde (Aufsichtsbehörde) — diese greift bei jedem Risiko für Betroffene. Art. 34 DSGVO regelt die Benachrichtigungspflicht gegenüber den betroffenen Personen selbst — diese greift nur bei einem hohen Risiko. Kurz: Art. 33 = Behörde, Art. 34 = Betroffene. Beide Pflichten können gleichzeitig entstehen.