Datenpanne melden

Start › IT-Recht › Datenschutz › Datenpanne melden

Ein Laptop ist weg, eine E-Mail mit Kundendaten ging an den falschen Verteiler, Angreifer haben Server verschlüsselt: Dann läuft die Meldefrist nach Art. 33 DSGVO. Diese Seite zeigt, was in den ersten Stunden zu tun ist. Wir unterstützen Verantwortliche und Auftragsverarbeiter bei Bewertung, Meldung und Kommunikation, auch kurzfristig.

Datenpanne: Sofort-Schritte

1. Vorfall eindämmen: betroffene Systeme isolieren, Zugänge sperren, Passwörter zurücksetzen. Systeme nicht vorschnell neu aufsetzen, weil Spuren für die Aufklärung verloren gehen.
2. Zeitpunkt der Kenntnis festhalten. Ab diesem Moment laufen die 72 Stunden.
3. Datenschutzbeauftragten, IT-Sicherheit und Geschäftsleitung einbinden. Wer Auftragsverarbeiter ist, informiert unverzüglich den Auftraggeber.
4. Erste Fakten sammeln: welche Daten, wie viele Personen, welche Systeme, seit wann, ist der Zugriff beendet.
5. Risiko bewerten und entscheiden: Meldung an die Aufsichtsbehörde, Benachrichtigung der Betroffenen, weitere Meldepflichten.
6. Fristgerecht melden, notfalls mit vorläufigen Angaben, und den gesamten Vorgang dokumentieren.

Meldepflicht nach Art. 33 DSGVO: Frist 72 Stunden

Eine Verletzung des Schutzes personenbezogener Daten liegt vor, wenn Daten vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich werden (Art. 4 Nr. 12 DSGVO). Auf Absicht oder Verschulden kommt es nicht an. Auch der Fehlversand einer einzelnen E-Mail kann genügen.

Der Verantwortliche muss die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde melden. Die Frist läuft auch an Wochenenden und Feiertagen. Kenntnis besteht, sobald mit hinreichender Sicherheit feststeht, dass ein Vorfall Personendaten betrifft. Eine längere interne Prüfung verschiebt den Fristbeginn nicht. Wer später meldet, muss die Verzögerung begründen. Fehlende Informationen dürfen schrittweise nachgereicht werden (Art. 33 Abs. 4).

Die Meldung enthält mindestens: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, Kontaktdaten des Datenschutzbeauftragten, wahrscheinliche Folgen und ergriffene oder geplante Maßnahmen (Art. 33 Abs. 3).

Risikobewertung: Wann melden, wann Betroffene informieren?

Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Diese Ausnahme ist eng. Maßgeblich sind Art und Sensibilität der Daten, Zahl der Betroffenen, Identifizierbarkeit, mögliche Folgen wie Identitätsdiebstahl, Betrug oder Rufschädigung und ob die Daten wirksam verschlüsselt waren.

Besteht voraussichtlich ein hohes Risiko, sind die betroffenen Personen zusätzlich unverzüglich zu benachrichtigen, in klarer und einfacher Sprache (Art. 34). Das gilt typischerweise bei Gesundheits-, Bank- oder Zugangsdaten und bei Veröffentlichungen im Darknet. Ausnahmen bestehen etwa bei wirksamer Verschlüsselung oder wenn das Risiko nachträglich sicher beseitigt wurde. Bei unverhältnismäßigem Aufwand ist eine öffentliche Bekanntmachung möglich.

Dokumentation nach Art. 33 Abs. 5 DSGVO

Jede Datenpanne ist intern zu dokumentieren, auch wenn keine Meldung erfolgt. Festzuhalten sind Sachverhalt, Auswirkungen, ergriffene Maßnahmen und die Begründung, warum gemeldet oder nicht gemeldet wurde. Die Aufsichtsbehörde kann diese Unterlagen anfordern. In Schadensersatzprozessen wird die Dokumentation regelmäßig zum zentralen Beweismittel.

Zuständige Aufsichtsbehörde

Zuständig ist für nicht-öffentliche Stellen in der Regel die Landesdatenschutzbehörde am Sitz des Unternehmens, in Niedersachsen etwa die LfD Niedersachsen in Hannover. Für Telekommunikations- und Postdienstleister ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) zuständig. Bei grenzüberschreitender Verarbeitung meldet die Hauptniederlassung bei der federführenden Behörde (Art. 56). Die meisten Behörden stellen Online-Formulare bereit.

Parallele Meldepflichten: NIS2, TKG, DORA

Ein Cyberangriff ist oft zugleich ein meldepflichtiger Sicherheitsvorfall nach anderen Gesetzen. Die Fristen sind teils kürzer als 72 Stunden:

Regelung	Wer	Frist / Adressat
Art. 33 DSGVO	jeder Verantwortliche	72 Stunden, Datenschutzaufsicht
§ 32 BSIG (NIS2-Umsetzung, seit 6.12.2025)	wichtige und besonders wichtige Einrichtungen	Frühwarnung 24 Stunden, Meldung 72 Stunden, Abschlussbericht nach einem Monat, BSI
§ 169 TKG	Anbieter öffentlich zugänglicher TK-Dienste	unverzüglich, BfDI
DORA	Finanzunternehmen	gestufte Meldungen an die Finanzaufsicht

Hinzu kommen vertragliche Informationspflichten gegenüber Kunden und Auftraggebern sowie Obliegenheiten gegenüber dem Cyberversicherer. Eine Strafanzeige ist meist sinnvoll, sollte aber mit der Kommunikationslinie abgestimmt sein.

Kommunikation nach einer Datenpanne

Behördenmeldung, Betroffenenbrief, Kundeninformation und Pressestatement müssen inhaltlich zusammenpassen. Widersprüche werden später in Bußgeld- und Schadensersatzverfahren gegen das Unternehmen verwendet. Wir formulieren die Texte so, dass sie die gesetzlichen Pflichten erfüllen, ohne unnötige Zugeständnisse zur Haftung zu machen. Bei Erpressung durch Ransomware-Gruppen beraten wir auch zum Umgang mit Lösegeldforderungen und Veröffentlichungsdrohungen.

Folgen: Bußgeld und Schadensersatz

Eine unterlassene oder verspätete Meldung kann nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Häufiger sind Folgeverfahren wegen unzureichender Sicherheitsmaßnahmen nach Art. 32. Betroffene können Schadensersatz nach Art. 82 verlangen; schon der Kontrollverlust über Daten kann nach der Rechtsprechung von EuGH und BGH einen immateriellen Schaden begründen. Nach großen Vorfällen folgen oft Massenklagen.

Häufige Fragen zur Datenpanne

Muss ich melden, wenn ich noch nicht alles weiß?

Ja. Melden Sie innerhalb der Frist mit dem aktuellen Kenntnisstand und kündigen Sie Nachträge an. Eine vorsorgliche Meldung schadet weniger als eine verspätete.

Kann eine Meldung gegen uns verwendet werden?

Im Straf- und Bußgeldverfahren nur mit Zustimmung des Meldenden (§ 42 Abs. 4, § 43 Abs. 4 BDSG). Gegenüber Betroffenen gilt diese Sperre nicht. Deshalb sollte die Meldung sachlich und präzise sein.

Was gilt, wenn unser Dienstleister gehackt wurde?

Die Meldepflicht trifft Sie als Verantwortlichen. Ihre Frist beginnt mit der Information durch den Auftragsverarbeiter. Prüfen Sie den Auftragsverarbeitungsvertrag auf Mitwirkungs- und Kostenregelungen.

Reicht eine Meldung, wenn Daten verschlüsselt waren?

Bei aktueller, wirksamer Verschlüsselung und sicherem Schlüssel kann das Risiko entfallen. Bei Ransomware ist meist nicht die Vertraulichkeit, sondern die Verfügbarkeit betroffen; oft wurden Daten vorher auch abgezogen.

Verwandte Themen

• Cyberangriff: Sofortmaßnahmen
• NIS2
• Bußgeld und Schadensersatz
• Auftragsverarbeitung
• Cyberkriminalität