DSGVO Artikel 33: 72h-Meldepflicht 2026

In einem Satz. DSGVO Artikel 33 verpflichtet Verantwortliche zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis — außer wenn die Verletzung “voraussichtlich nicht zu einem Risiko” für Rechte und Freiheiten führt — mit klar definiertem Mindestinhalt (Art und Umfang, Folgen, Maßnahmen) und Pflicht zur Dokumentation jeder Verletzung.

72h-Frist ist eine der härtesten DSGVO-Fristen. Verstöße sind eine der häufigsten Sanktionsgründe. Siehe ergänzend Datenpanne melden DSGVO.

Wichtige Punkte

• Frist: 72h ab Kenntnis.
• Schwellenwert: “voraussichtlich Risiko”.
• Information Betroffener nach Art. 34 bei “hohem Risiko”.
• Dokumentationspflicht für ALLE Verletzungen (auch nicht meldepflichtige).
• Bußgeld bis 10 Mio. € / 2% (Art. 83 Abs. 4).

1. Was ist eine Datenschutzverletzung?

Art. 4 Nr. 12: Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu personenbezogenen Daten führt.

Drei Typen:

• Vertraulichkeitsverletzung: unbefugter Zugriff.
• Integritätsverletzung: unbefugte Änderung.
• Verfügbarkeitsverletzung: Verlust oder Vernichtung.

2. Beispiele

• Verlorenes/gestohlenes Laptop (mit Daten).
• Hacker-Angriff (Datenabfluss).
• Ransomware (Verfügbarkeitsverlust + ggf. Abfluss).
• E-Mail an falschen Empfänger.
• Datenbank versehentlich öffentlich.
• Mitarbeiter-Datenmissbrauch.

3. Schwellenwert

Meldung nur wenn “voraussichtlich Risiko”. Beispiele KEIN Risiko:

• Verschlüsseltes Laptop verloren (Schlüssel nicht kompromittiert).
• Backup-Tape verloren (verschlüsselt).
• Daten ohne Personenbezug betroffen.

Im Zweifel: melden.

4. 72h-Frist

• Beginn: ab Kenntnis (“Awareness”) der Verletzung.
• “Kenntnis” = ausreichende Gewissheit über Eintritt.
• Wochenenden/Feiertage zählen mit.
• Verspätete Meldung: mit Begründung möglich.

5. Meldeinhalt (Abs. 3)

• Beschreibung Art der Verletzung.
• Kategorien und Anzahl Betroffener.
• Kategorien und Anzahl Datensätze.
• Name + Kontakt DSB.
• Wahrscheinliche Folgen.
• Ergriffene/vorgeschlagene Maßnahmen.

6. Phasenmeldung

Wenn nicht alle Informationen binnen 72h: Phasenmeldung erlaubt.

• 1. Initial-Meldung (binnen 72h).
• 2. Update-Meldung mit weiteren Informationen.
• 3. Abschluss-Meldung mit Maßnahmen.

7. Information Betroffener (Art. 34)

Pflicht wenn “hohes Risiko” für Rechte/Freiheiten:

• Persönliche Information jeder betroffenen Person.
• Klare Sprache, ohne Fachjargon.
• Kontakt DSB nennen.
• Information über ergriffene Maßnahmen.

Ausnahme: Verschlüsselte Daten, Maßnahmen verhindern Risiko, unverhältnismäßiger Aufwand (öffentliche Bekanntmachung).

8. Meldung an Aufsicht

Bundesland	Meldewege
BfDI	Online-Portal
Bayern (BayLDA)	Online-Formular
Berlin	Online + Brief
Hessen	Online + E-Mail
Alle anderen	Online-Portal

9. Dokumentationspflicht

Art. 33 Abs. 5: Verantwortlicher dokumentiert alle Datenschutzverletzungen, einschließlich nicht-meldepflichtiger. Inhalt:

• Sachverhalt.
• Auswirkungen.
• Ergriffene Maßnahmen.
• Begründung Meldung/Nicht-Meldung.

10. Sanktionen

• Bußgeld bis 10 Mio. € / 2% (Art. 83 Abs. 4).
• Häufige Sanktionsgründe: zu späte Meldung, unvollständige Meldung, fehlende Dokumentation, fehlende Information Betroffener.
• Twitter Irland 2020: 450.000 € (verspätete Meldung Sicherheitslücke).

11. Tool-Unterstützung

Legiscope automatisiert Datenpannenmanagement: Triage-Workflow, 72h-Timer, Meldevorlagen pro Aufsicht, Dokumentation.

11. Vollständiger Artikeltext (Auszug)

Der vollständige Wortlaut des Artikels ist im Amtsblatt der EU veröffentlicht (Verordnung (EU) 2016/679, ABl. L 119/1 vom 4.5.2016). Die hier behandelte Norm ist Teil des Schutzkanons und wird durch die nationale Umsetzung im BDSG (Bundesdatenschutzgesetz, Neufassung 2018, geändert 2019, 2021, 2024) ergänzt. Begleitende Erwägungsgründe (Recitals) liefern Auslegungshilfen, sind aber nicht unmittelbar verbindlich.

12. Relevante Erwägungsgründe (Recitals)

Erwägungsgründe konkretisieren die Anwendung. Besonders einschlägig für diesen Artikel:

• Recital 39: Grundsatz der Transparenz und faire Verarbeitung.
• Recital 50: Vereinbare Weiterverarbeitung — kompatible Zwecke.
• Recital 75: Risiken für Rechte und Freiheiten.
• Recital 76: Bewertung der Eintrittswahrscheinlichkeit.
• Recital 83: Sicherheit der Verarbeitung (Stand der Technik).
• Recital 85: Datenpannenrisiken und Meldepflicht.

Die deutsche Aufsichtspraxis stützt sich regelmäßig auf diese Erwägungsgründe; der BfDI (BfDI) zitiert sie in Bescheiden.

13. Enforcement-Fälle 2020-2024

Jahr	Behörde	Verantwortlicher	Sanktion	Kernverstoß
2020	LfDI BW	H&M Hamburg	35.300.000 €	exzessive Mitarbeiterprofile
2020	LfD Berlin	Deutsche Wohnen	14.500.000 €	unzulässige Archivstruktur
2021	LfDI Niedersachsen	Notebooksbilliger.de	10.400.000 €	dauerhafte Videoüberwachung
2022	LDA Bayern	VW	1.100.000 €	unzureichende AVV-Kontrolle
2023	HmbBfDI	Vattenfall	900.000 €	unzulässige Bonitätsprüfung
2023	LfDI BW	bonprix	35.000 €	DSAR-Verstoß
2024	BlnBDI	Real Estate Firm	7.500.000 €	Aufbewahrungsverstoß

Bußgelder werden nach EDSA-Leitlinie 4/2022 berechnet (Schwere, Vorsatz, Vorgeschichte, Konzernumsatz). Maximum: 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

14. EuGH-Rechtsprechung

Wesentliche Urteile mit Relevanz:

• C-311/18 Schrems II (16.7.2020): Privacy-Shield ungültig, SCC nur mit zusätzlichen Schutzmaßnahmen.
• C-184/20 Vyriausioji (1.8.2022): Verarbeitung sensibler Daten nur restriktiv.
• C-300/21 Österreichische Post (4.5.2023): Schadensersatz nach Art. 82 setzt konkreten Schaden voraus, keine Bagatellgrenze.
• C-340/21 Natsionalna agentsia (14.12.2023): Beweislast für TOM beim Verantwortlichen.
• C-687/21 MediaMarktSaturn (25.1.2024): Mitarbeiterfehler entlasten nicht.
• C-26/22 SCHUFA-Scoring (7.12.2023): Score-Wert ist automatisierte Einzelentscheidung nach Art. 22.

Die EuGH-Linie ist betroffenenfreundlich und wird von deutschen Aufsichten konsequent umgesetzt.

15. EDPB- und BfDI-Leitlinien

Verbindliche Auslegungshilfen:

• EDPB Guidelines 4/2022: Bußgeldberechnung.
• EDPB Guidelines 5/2020: Einwilligung.
• EDPB Guidelines 8/2020: Targeting Social Media Users.
• BfDI-Tätigkeitsbericht 2024 (Bundestag-Drucksache).
• DSK-Beschlüsse der Konferenz der unabhängigen Datenschutzaufsichtsbehörden.
• Orientierungshilfen einzelner Länderbehörden (BayLDA, LDI NRW, LfDI BW).

Für die DPO-Praxis sind DSK-Beschlüsse meist die schnellste Quelle für deutsche Auslegung, ergänzt durch BfDI-FAQs.

16. Zusammenspiel mit BDSG

Das BDSG (Bundesdatenschutzgesetz, Neufassung 2018) regelt:

• § 26 BDSG: Beschäftigtendatenschutz (eigenständige Norm, hohe Bedeutung).
• § 38 BDSG: DSB-Pflicht ab 20 Beschäftigten (über DSGVO hinaus).
• § 22 BDSG: Verarbeitung besonderer Kategorien (Konkretisierung Art. 9).
• § 27 BDSG: Forschungsdatenschutz.
• § 32 ff. BDSG: Informationspflichten und Betroffenenrechte.
• § 41 ff. BDSG: Bußgeldvorschriften und Strafvorschriften (§ 42 BDSG).

Strafnorm § 42 BDSG ist scharf: bis 3 Jahre Freiheitsstrafe bei vorsätzlicher unrechtmäßiger Verarbeitung — relevant für Innentäter.

17. Implementierungs-Checkliste

1. Verarbeitungsverzeichnis aktualisieren (Art. 30).
2. Rechtsgrundlage dokumentieren (Art. 6 / Art. 9).
3. Informationspflichten erfüllen (Art. 13/14).
4. TOM nach DSGVO Art. 32 Sicherheit prüfen.
5. AVV mit allen Auftragsverarbeitern (AVV Muster).
6. DSFA bei hohem Risiko nach Art. 35.
7. Datenpannenprozess installieren (Datenpanne melden).
8. DSB benennen und einbinden.
9. Schulung mindestens jährlich.
10. Audit alle 12-24 Monate.

Fazit

72h-Frist erscheint wenig. Mit klarem Incident-Response-Prozess, dokumentierten Triage-Kriterien und vorbereiteten Meldevorlagen ist sie beherrschbar. Ein fertiges Muster für die Datenpannen-Meldung spart im Ernstfall wertvolle Zeit. Wer keinen Prozess hat, scheitert bei jedem ernsten Vorfall — und sammelt Bußgelder.

FAQ

Wann beginnt die 72h-Frist?

Ab “Kenntnis” der Verletzung — also wenn ausreichende Gewissheit über Eintritt besteht. Vermutungen reichen nicht.

Muss ich jede Datenpanne melden?

Nein. Nur wenn “voraussichtlich Risiko” für Rechte/Freiheiten. Im Zweifel melden, aber Schwellenwert dokumentieren.

Was tun bei Wochenende?

Die 72h laufen weiter. Falls Aufsichtsbehörde am Wochenende geschlossen, Meldung montags ist zu spät — Online-Portale meist verfügbar.

Brauche ich Pflichtinformation an Betroffene?

Nur bei “hohem Risiko”. Beispiel: Zugangsdaten kompromittiert, Gesundheitsdaten betroffen, Identitätsdiebstahl-Risiko.

Wie dokumentiere ich nicht-meldepflichtige Pannen?

Internes Datenpannen-Register mit Sachverhalt, Begründung der Nicht-Meldung und ergriffenen Maßnahmen — auf Anfrage Aufsicht vorlegen.

Wer überwacht die Einhaltung dieses Artikels in Deutschland?

Primär die zuständige Landesdatenschutzbehörde am Sitz des Verantwortlichen (Art. 55 DSGVO). Bei grenzüberschreitenden Verfahren greift One-Stop-Shop nach Art. 56 mit Federführung der Hauptniederlassungs-Behörde. Bundesbehörden, Telekommunikation und Post unterliegen dem BfDI. Die DSK koordiniert bundesweit einheitliche Auslegung über Beschlüsse und Orientierungshilfen.

Welche Bußgelder drohen bei Verstößen?

Nach Art. 83 Abs. 5 DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Konzernjahresumsatzes — je nachdem, welcher Betrag höher ist. EDSA Guidelines 4/2022 konkretisieren die Berechnung: Ausgangsbetrag nach Schwere, Multiplikator nach Konzerngröße, Auf- oder Abschläge nach Vorsatz, Mitwirkung und Vorgeschichte. In Deutschland sind bislang Sanktionen bis 35,3 Mio. € (H&M Hamburg, 2020) verhängt worden.

Wie verhält sich die Norm zum BDSG?

BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Wichtig: § 26 BDSG (Beschäftigtendatenschutz), § 38 BDSG (DSB-Pflicht ab 20 Personen), § 22 BDSG (besondere Kategorien). § 42 BDSG enthält Straftatbestände mit Freiheitsstrafe bis 3 Jahren — relevant bei Innentätern oder vorsätzlichem Datenmissbrauch.

Welche EuGH-Urteile sollte ich kennen?

Schrems II (C-311/18), Österreichische Post (C-300/21, Schadensersatz), SCHUFA-Scoring (C-26/22, automatisierte Einzelentscheidung). Die deutsche Aufsichts- und Gerichtspraxis folgt der EuGH-Linie konsequent. BGH und OLG-Rechtsprechung konkretisiert dazu die nationale Umsetzung — insbesondere zum immateriellen Schadensersatz nach Art. 82.

Wie sieht ein typischer Compliance-Workflow aus?

Bestandsaufnahme über Art. 30-Verzeichnis → Rechtsgrundlage je Verarbeitung definieren → Informationspflicht nach Art. 13/14 umsetzen → AVV mit allen Auftragsverarbeitern (AVV Muster) → TOM dokumentieren (DSGVO Art. 32 Sicherheit) → DSFA bei Hochrisiko-Verarbeitungen → Datenpannenprozess installieren → DSB einbinden → jährliche Wirksamkeitsprüfung. Der Workflow ist iterativ; bei Änderung der Verarbeitung erneut zu durchlaufen.