BasiQ Wissenswertes · Datenschutz
Datenpanne: Was innerhalb der ersten 72 Stunden geklärt werden muss
Kurz erklärt
Fehlversand, verlorenes Gerät oder unbefugter Zugriff: Meldeweg, Risikobewertung und die unterschiedlichen Pflichten gegenüber Behörde und Betroffenen.
Eine Datenpanne kann auch ohne Hacker entstehen
Eine Kursliste geht an den falschen Empfänger, eine Personalakte wird offen zugänglich oder ein Gerät mit personenbezogenen Daten geht verloren. Auch Verlust, unzulässige Veränderung oder zeitweise Nichtverfügbarkeit können relevant sein. Die Frage lautet, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welche Folgen sie für betroffene Menschen haben kann.
Was bedeutet die 72-Stunden-Regel?
Nach Artikel 33 DSGVO meldet der Verantwortliche eine relevante Verletzung unverzüglich und möglichst innerhalb von 72 Stunden, nachdem sie ihm bekannt geworden ist, an die zuständige Datenschutzaufsicht. Die Meldung kann unterbleiben, wenn voraussichtlich kein Risiko für Rechte und Freiheiten natürlicher Personen entsteht. Die Bewertung und ihre Gründe müssen nachvollziehbar sein.
Die Frist ist kein Zeitraum von drei Arbeitstagen. Wochenenden oder Feiertage setzen sie nicht automatisch aus. Ist eine Meldung verspätet, muss die Verzögerung begründet werden. Noch fehlende Informationen dürfen nach Artikel 33 Absatz 4 schrittweise nachgereicht werden. Warten Sie daher nicht auf einen vollständigen Abschluss der technischen Untersuchung.
Behördenmeldung und Information der Betroffenen unterscheiden
Bei voraussichtlich hohem Risiko verlangt Artikel 34 grundsätzlich zusätzlich eine unverzügliche Benachrichtigung der betroffenen Personen. Dafür gelten eigene Voraussetzungen und Ausnahmen, beispielsweise im Zusammenhang mit wirksamen Schutzmaßnahmen. Eine Meldung an die Behörde ersetzt diese Prüfung nicht. Umgekehrt führt nicht jeder Vorfall automatisch zu einer Benachrichtigung aller Kunden.
Unser Ablauf für die ersten Schritte
- Vorfall unverzüglich intern melden und zuständige Entscheider erreichen.
- Weitere Offenlegung oder Schäden begrenzen; Beweise und relevante Protokolle sichern.
- Zeitpunkt der Kenntnis, Datenarten, betroffene Personen und Umfang erfassen.
- Mit fachkundiger Unterstützung das Risiko für die Betroffenen bewerten.
- Behördenmeldung und gegebenenfalls Benachrichtigung vorbereiten.
- Maßnahmen, Entscheidungen und weitere Erkenntnisse fortlaufend dokumentieren.
Welche technischen Sofortmaßnahmen geeignet sind, hängt vom Vorfall ab. Unkoordinierte Änderungen können wichtige Informationen vernichten. Legen Sie deshalb vorher fest, wer mit IT, Leitung und Datenschutzbeauftragtem zusammenarbeitet.
Was gehört in eine Meldung?
Artikel 33 nennt insbesondere Art und Umfang der Verletzung, soweit möglich Kategorien und ungefähre Zahlen betroffener Personen und Datensätze, eine Kontaktstelle, wahrscheinliche Folgen sowie ergriffene oder geplante Maßnahmen. Alle Verletzungen sind nach Artikel 33 Absatz 5 zu dokumentieren, auch wenn nach begründeter Prüfung keine Meldung erforderlich ist.
Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren, sobald ihm eine Verletzung bekannt wird. Für ihn besteht gegenüber dem Auftraggeber keine allgemeine eigene Wartefrist von 72 Stunden.
Vorbereitung spart entscheidende Zeit
Halten Sie eine aktuelle Meldekette, Vertretungen und eine einfache Erfassungsmaske bereit. Üben Sie einen fiktiven Fehlversand. Der Test zeigt, ob das Team den Vorfall schnell an die richtige Stelle bringt und ob außerhalb üblicher Bürozeiten jemand entscheiden kann.
Quellen und Originaldokumente
Originalquellen zuletzt geprüft am 20.10.2026. Die verlinkten Veröffentlichungen können vom Herausgeber aktualisiert werden. Beispiele und Umsetzungsvorschläge stammen von BasiQ.
Datenschutz praktisch umsetzen
Sie möchten Zuständigkeiten, Datenverarbeitungen und Nachweise nachvollziehbar organisieren? Wir besprechen mit Ihnen die passende Beratung oder externe Datenschutzbetreuung.
Datenschutzberatung und externe Betreuung ↗ · Weiterbildung zum Datenschutzbeauftragten ↗
Über den Autor
Jan Streit
Jan Streit ist Geschäftsführer der BasiQ GmbH. Er berät Bildungsträger und Unternehmen zu AZAV, Qualitätsmanagement und Datenschutz und arbeitet als Datenschutzbeauftragter. Seine Arbeit verbindet die Gestaltung betrieblicher Abläufe mit Weiterbildung und der Vorbereitung auf Zertifizierungen.