DSGVO Artikel 33: 72h-Meldepflicht 2026

In einem Satz. DSGVO Artikel 33 verpflichtet Verantwortliche zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis — außer wenn die Verletzung “voraussichtlich nicht zu einem Risiko” für Rechte und Freiheiten führt — mit klar definiertem Mindestinhalt (Art und Umfang, Folgen, Maßnahmen) und Pflicht zur Dokumentation jeder Verletzung.

Die 72-Stunden-Frist verlangt eine vorbereitete Entscheidungskette; auch eine Nichtmeldung muss begründet und dokumentiert werden. Siehe ergänzend Datenpanne melden DSGVO.

Wichtige Punkte

• Frist: 72h ab Kenntnis.
• Schwellenwert: “voraussichtlich Risiko”.
• Information Betroffener nach Art. 34 bei “hohem Risiko”.
• Dokumentationspflicht für ALLE Verletzungen (auch nicht meldepflichtige).
• Bußgeld bis 10 Mio. € / 2% (Art. 83 Abs. 4).

1. Was ist eine Datenschutzverletzung?

Art. 4 Nr. 12: Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu personenbezogenen Daten führt.

Drei Typen:

• Vertraulichkeitsverletzung: unbefugter Zugriff.
• Integritätsverletzung: unbefugte Änderung.
• Verfügbarkeitsverletzung: Verlust oder Vernichtung.

2. Beispiele

• Verlorenes/gestohlenes Laptop (mit Daten).
• Hacker-Angriff (Datenabfluss).
• Ransomware (Verfügbarkeitsverlust + ggf. Abfluss).
• E-Mail an falschen Empfänger.
• Datenbank versehentlich öffentlich.
• Mitarbeiter-Datenmissbrauch.

3. Schwellenwert

Meldung nur wenn “voraussichtlich Risiko”. Beispiele KEIN Risiko:

• Verschlüsseltes Laptop verloren (Schlüssel nicht kompromittiert).
• Backup-Tape verloren (verschlüsselt).
• Daten ohne Personenbezug betroffen.

Bei unklarer Sachlage die Risikobewertung beschleunigen und die bekannten Tatsachen dokumentieren; gegebenenfalls zunächst mit vorläufigen Angaben melden.

4. 72h-Frist

• Beginn: ab Kenntnis (“Awareness”) der Verletzung.
• “Kenntnis” = ausreichende Gewissheit über Eintritt.
• Wochenenden/Feiertage zählen mit.
• Verspätete Meldung: mit Begründung möglich.

5. Meldeinhalt (Abs. 3)

• Beschreibung Art der Verletzung.
• Kategorien und Anzahl Betroffener.
• Kategorien und Anzahl Datensätze.
• Name + Kontakt DSB.
• Wahrscheinliche Folgen.
• Ergriffene/vorgeschlagene Maßnahmen.

6. Phasenmeldung

Wenn nicht alle Informationen binnen 72h: Phasenmeldung erlaubt.

• 1. Initial-Meldung (binnen 72h).
• 2. Update-Meldung mit weiteren Informationen.
• 3. Abschluss-Meldung mit Maßnahmen.

7. Information Betroffener (Art. 34)

Pflicht wenn “hohes Risiko” für Rechte/Freiheiten:

• Persönliche Information jeder betroffenen Person.
• Klare Sprache, ohne Fachjargon.
• Kontakt DSB nennen.
• Information über ergriffene Maßnahmen.

Ausnahme: Verschlüsselte Daten, Maßnahmen verhindern Risiko, unverhältnismäßiger Aufwand (öffentliche Bekanntmachung).

8. Meldung an Aufsicht

Die zuständige Aufsicht und der aktuelle Meldekanal sollten anhand der konkreten Zuständigkeit vorab geprüft und im Notfallplan hinterlegt werden. Eine allgemeine Liste einzelner Bundesländer ersetzt diese Prüfung nicht.

9. Dokumentationspflicht

Art. 33 Abs. 5: Verantwortlicher dokumentiert alle Datenschutzverletzungen, einschließlich nicht-meldepflichtiger. Inhalt:

• Sachverhalt.
• Auswirkungen.
• Ergriffene Maßnahmen.
• Begründung Meldung/Nicht-Meldung.

10. Sanktionen

• Bußgeld bis 10 Mio. € / 2% (Art. 83 Abs. 4).
• Häufige Sanktionsgründe: zu späte Meldung, unvollständige Meldung, fehlende Dokumentation, fehlende Information Betroffener.
• Twitter Irland 2020: 450.000 € (verspätete Meldung Sicherheitslücke).

11. Erste Stunde: Eindämmen und Fakten sichern

Eine Meldung beginnt mit einem belastbaren Lagebild. Wenn beispielsweise eine Mitarbeiterin eine Datei an den falschen Empfänger sendet, muss der Verantwortliche schnell klären, welche Datei betroffen ist, ob sie personenbezogene Daten enthält, wer Zugriff hatte und ob der Empfänger sie geöffnet oder weitergeleitet hat. Gleichzeitig kann er die Rückholung versuchen und um Löschung bitten. Eine Zusage des Empfängers ist eine relevante Risikominderung, aber kein automatischer Beweis, dass kein Risiko besteht. Bei einem kompromittierten Konto müssen Sessions beendet, Zugangsdaten geändert und die erforderlichen Protokolle gesichert werden, bevor sie rotieren oder verloren gehen.

Der Incident-Verantwortliche hält die Uhrzeiten fest: erste technische Warnung, Eingang beim zuständigen Team, Zeitpunkt ausreichender Kenntnis einer personenbezogenen Datenschutzverletzung, Risikoentscheidung und Meldung. Ein früher Sicherheitsalarm ist nicht immer schon „Kenntnis“ einer Verletzung; umgekehrt darf die Aufklärung nicht künstlich verlängert werden, bis alle Details sicher sind. Die EDPB-Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen erläutern diesen Begriff. Eine Incident-Response-Anleitung kann die Rollen vorab festlegen.

Beim Eindämmen und Sichern ist Vorsicht nötig: Das sofortige Löschen betroffener Systeme kann Beweise vernichten. Der Verantwortliche sollte dokumentieren, warum er eine Maßnahme gewählt hat, welche Dienste dadurch ausfallen und wer sie genehmigt. Bei Auftragsverarbeitern regelt Artikel 33 Absatz 2 eine unverzügliche Information an den Verantwortlichen; ein Auftragsverarbeiter sollte nicht auf die vollständige forensische Analyse warten. Der Auftragsverarbeitungsvertrag sollte erreichbare Kontakte und erwartete Erstinformationen enthalten.

12. Risiko für Personen statt bloßer Zahl von Datensätzen

Die Meldeentscheidung nach Artikel 33 fragt nach dem Risiko für Rechte und Freiheiten natürlicher Personen. Entscheidend sind nicht allein Größe oder Ursache. Ein einzelner offengelegter medizinischer Befund kann gravierende Folgen haben; tausende technische Kennungen können unter Umständen geringe Risiken begründen, wenn sie nicht zu Personen zurückführbar und technisch geschützt sind. Bei der Bewertung helfen Art und Sensibilität der Daten, mögliche Identifizierbarkeit, Zahl der Betroffenen, Vertrauensstellung des Empfängers, tatsächliche Verbreitung und verfügbare Gegenmaßnahmen.

Verfügbarkeit ist ebenfalls ein Datenschutzthema. Nach einem Ransomware-Angriff kann eine Akte zeitweise nicht verfügbar sein, obwohl keine Exfiltration festgestellt wurde. Das Risiko hängt dann etwa davon ab, ob Versorgung, Gehaltszahlung oder andere Rechte beeinträchtigt werden und ob saubere Backups zeitnah verfügbar sind. Die Sicherheitsanforderungen des Artikels 32 und die Wiederherstellungstests sind daher für die Bewertung relevant. „Es wurde nichts gestohlen“ beantwortet die Frage nach dem Risiko nicht vollständig.

Für einen verlorenen verschlüsselten Laptop sind Verschlüsselungsverfahren, Schlüsselverwaltung und Schlüsselkompromittierung zu prüfen. Wenn die Verschlüsselung wirksam und der Schlüssel sicher ist, kann das Risiko gering sein. War das Gerät entsperrt, ist der Schlüssel zusammen mit dem Gerät verloren oder fehlte eine wirksame Verschlüsselung, fällt die Bewertung anders aus. Das Ergebnis sollte mit den bekannten Tatsachen und offenen Fragen begründet werden. Eine Nichtmeldung ohne dokumentierte Risikoprüfung ist ebenso schlecht verteidigbar wie eine pauschale Meldung jedes harmlosen IT-Ereignisses.

13. Meldung in Phasen und Kommunikation an Betroffene

Die Erstmeldung nach Artikel 33 Absatz 3 umfasst soweit möglich Art der Verletzung, Kategorien und ungefähre Anzahl Betroffener und Datensätze, Kontaktstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Fehlen Angaben, erlaubt Absatz 4 ihre schrittweise Nachreichung ohne unangemessene Verzögerung. Die erste Meldung sollte Unbekanntes ausdrücklich als unbekannt kennzeichnen und den Plan zur Aufklärung nennen. Zahlen nicht schätzen, als seien sie bestätigt; besser eine nachvollziehbare Spanne oder einen vorläufigen Stand angeben.

Die zuständige Aufsicht hängt vom Verantwortlichen und gegebenenfalls der grenzüberschreitenden Verarbeitung ab. Ein Unternehmen sollte die konkrete Meldestelle und den aktuellen technischen Meldeweg vor dem Vorfall festlegen. Veraltete Tabellen mit festen Portalen können fehlleiten, wenn Behörden ihre Formulare ändern. Eine verspätete Meldung ist nicht automatisch wertlos; Artikel 33 verlangt dann eine Begründung für die Verzögerung. Das Team sollte diese Begründung aus dem Zeitprotokoll ableiten, statt sie nachträglich pauschal zu formulieren.

Artikel 34 ist eine zweite Entscheidung. Besteht voraussichtlich ein hohes Risiko, sind Betroffene grundsätzlich unverzüglich in klarer Sprache zu informieren. Die Nachricht erklärt, was passiert ist, welche Folgen möglich sind, wen man erreichen kann und was das Unternehmen sowie die Person selbst tun können. Nach Artikel 34 Absatz 3 können Ausnahmen greifen, etwa wenn geeignete Schutzmaßnahmen die Daten unverständlich machen oder spätere Maßnahmen das hohe Risiko beseitigen. Ob eine öffentliche Bekanntmachung anstelle individueller Ansprache ausreicht, ist gesondert zu prüfen. Eine bloße Pressemitteilung ohne konkrete Hilfestellung ist für betroffene Menschen meist wenig nützlich.

14. Fallbeispiele für die dokumentierte Entscheidung

Falsch versandte Gehaltsdatei: Zuerst feststellen, ob der Empfänger intern berechtigt war, wie viele Beschäftigte betroffen sind, welche Angaben enthalten sind und ob Rückruf oder Löschung bestätigt wurde. Gehalts- und Bankdaten können Identitäts- und Vermögensrisiken begründen. Die betroffenen Personen sind nicht bloß eine Zahl; für Art. 34 sind mögliche Folgen und Schutzmöglichkeiten gesondert zu bewerten. Eine E-Mail an die falsche Adresse ist auch dann eine Datenschutzverletzung, wenn kein externer Angriff vorliegt.

Ransomware auf einem Terminserver: Prüfen, ob Daten verändert, verschlüsselt, vernichtet oder unbefugt kopiert wurden; ebenso, ob Patientinnen oder Kunden wegen der Nichtverfügbarkeit Nachteile erlitten haben. Backups und Wiederanlaufzeiten sind hier zentrale Fakten. Fehlt ein Hinweis auf Exfiltration, darf die Verfügbarkeitsverletzung nicht ignoriert werden. Parallel können Meldepflichten aus NIS2 oder anderen Sektorgesetzen entstehen, die nicht dieselbe Schwelle wie Artikel 33 haben.

Verlorenes verschlüsseltes Sicherungsmedium: Dokumentieren, welche Daten enthalten waren, ob Verschlüsselung und Schlüsselverwaltung wirksam sind und ob zusätzliche Kopien vorhanden sind. Besteht nach sorgfältiger Prüfung voraussichtlich kein Risiko, kann die Meldung entfallen; die Verletzung bleibt nach Artikel 33 Absatz 5 dennoch im Register. Falls ein späterer Hinweis auf Schlüsselkompromittierung auftaucht, ist die Entscheidung sofort zu überprüfen. Der Eintrag sollte deshalb eine verantwortliche Person und einen Trigger für neue Erkenntnisse enthalten.

15. Lernen, ohne die Dokumentation zu verwischen

Das interne Verletzungsregister hält Sachverhalt, Folgen, Risikoentscheidung, Meldungen, Gegenmaßnahmen und Ergebnisse der Nachprüfung fest. Es enthält auch die Begründung, wenn nicht gemeldet wurde. Zur Rechenschaftspflicht gehört, offene Unsicherheiten sichtbar zu machen und spätere Korrekturen datiert zu ergänzen, anstatt den ursprünglichen Stand zu überschreiben. Ein Muster für das Verletzungsregister unterstützt die laufende Dokumentation; ein einfaches Meldemuster ist nützlich, wenn es diese Entscheidungskette aufnimmt; ein Formular allein ersetzt die Bewertung nicht.

Nach Abschluss sollte die Leitung nicht nur fragen, ob die 72 Stunden eingehalten wurden. Die Information an Betroffene sollte als eigener Arbeitsschritt überprüft werden. Bessere Fragen sind: War der erste Alarm erreichbar? Wurden Datenarten schnell erkannt? Hat der Dienstleister unverzüglich informiert? Konnte die Aufsicht korrekt erreicht werden? Wurden Betroffene klar und rechtzeitig unterstützt? Den Antworten werden Verantwortliche und Fristen für Verbesserungen zugeordnet. Bei wiederkehrenden Fehlversänden kann etwa eine technische Empfängerprüfung wirksamer sein als eine weitere allgemeine Schulung.

Die Rechtsgrundlage und Sicherheitsmaßnahmen für den ursprünglichen Prozess bleiben eigene Themen. Eine schnelle Meldung heilt weder eine unzulässige Verarbeitung noch mangelnde Sicherheit; umgekehrt macht ein Sicherheitsfehler die Meldung nicht automatisch verspätet. Artikel 33 sanktioniert Pflichtverletzungen nach seinem eigenen Tatbestand. Der maßgebliche Wortlaut der DSGVO und die EDPB-Leitlinien sollten deshalb bei Zweifeln dem Zeitplan und der Risikoprüfung zugrunde liegen.

Ein Meldeplan für die nächsten 72 Stunden

Der Notfallplan sollte am ersten Arbeitstag nach einer Personenumstellung geprüft werden: Sind Stellvertretung, mobile Rufnummern, Behördenzugang und Auftragsverarbeiter-Kontakt aktuell? Im Übungsfall erhält das Team nur die Fakten, die zu diesem Zeitpunkt realistisch bekannt wären. Nach zwei Stunden muss es festhalten, ob überhaupt personenbezogene Daten betroffen sein können; nach weiteren Stunden, ob eine Datenschutzverletzung hinreichend sicher feststeht und welches Risiko wahrscheinlich ist. So wird die Frist nicht mit dem Beginn einer technischen Untersuchung verwechselt.

Die Meldung sollte ein fachlicher Verantwortlicher freigeben können, auch wenn ein Geschäftsführer unterwegs ist. Ein Entwurf enthält die bekannten Kategorien, einen vorläufigen Umfang, mögliche Folgen und Sofortmaßnahmen sowie ausdrücklich markierte Lücken. Rechtsabteilung und Datenschutzbeauftragter beraten, aber der Verantwortliche bleibt für die Entscheidung zuständig. Wenn ein Systemadministrator im Ausland oder ein externer Forensiker Informationen liefert, müssen die Daten in einer gemeinsamen Zeitleiste zusammenlaufen. Sonst erhalten Aufsicht und Betroffene widersprüchliche Versionen des gleichen Vorfalls.

Am dritten Tag sollten bereits Termine für Nachmeldungen, Benachrichtigungen und Wirksamkeitsprüfungen gesetzt sein. Die erste Übermittlung ist nicht das Ende der Pflicht. Eine Nachmeldung aktualisiert Umfang und Folgen, eine Betroffeneninformation muss verständliche Schutzschritte nennen, und eine Ursachenanalyse sollte zu messbaren Änderungen führen. Der interne Eintrag bewahrt den damaligen Kenntnisstand und ergänzt später die Korrekturen. Genau diese Chronologie ermöglicht es, eine schwierige Entscheidung gegenüber Aufsicht und Betroffenen zu erklären.

Bei einem Vorfall mit mehreren Gesellschaften darf nicht nur die Konzernzentrale auf die Uhr schauen. Für jeden Verantwortlichen ist zu klären, welche Daten und Entscheidungen ihm zuzurechnen sind und welche Aufsicht zuständig ist. Gemeinsame technische Ermittlungen sind sinnvoll, doch eine einheitliche Meldung ist nicht automatisch für alle Rechtsträger ausreichend. Ebenso sollte ein Dienstleister dokumentieren, welche Kunden betroffen sein könnten und wann er sie jeweils informiert hat. Eine gemeinsame Zeitleiste, eindeutige Freigaben und abgestimmte, aber rechtlich getrennte Entscheidungen verhindern widersprüchliche Angaben. Bei grenzüberschreitenden Verarbeitungen ist die federführende Aufsicht nach den Regeln des One-Stop-Shop zu prüfen, statt nach dem Standort des betroffenen Servers zu raten.

FAQ

Wann beginnt die 72h-Frist?

Ab “Kenntnis” der Verletzung — also wenn ausreichende Gewissheit über Eintritt besteht. Vermutungen reichen nicht.

Muss ich jede Datenpanne melden?

Nein. Nur wenn “voraussichtlich Risiko” für Rechte/Freiheiten. Im Zweifel melden, aber Schwellenwert dokumentieren.

Was tun bei Wochenende?

Die 72h laufen weiter. Falls Aufsichtsbehörde am Wochenende geschlossen, Meldung montags ist zu spät — Online-Portale meist verfügbar.

Brauche ich Pflichtinformation an Betroffene?

Nur bei “hohem Risiko”. Beispiel: Zugangsdaten kompromittiert, Gesundheitsdaten betroffen, Identitätsdiebstahl-Risiko.

Wie dokumentiere ich nicht-meldepflichtige Pannen?

Internes Datenpannen-Register mit Sachverhalt, Begründung der Nicht-Meldung und ergriffenen Maßnahmen — auf Anfrage Aufsicht vorlegen.

Wer überwacht die Einhaltung dieses Artikels in Deutschland?

Primär die zuständige Landesdatenschutzbehörde am Sitz des Verantwortlichen (Art. 55 DSGVO). Bei grenzüberschreitenden Verfahren greift One-Stop-Shop nach Art. 56 mit Federführung der Hauptniederlassungs-Behörde. Bundesbehörden, Telekommunikation und Post unterliegen dem BfDI. Die DSK koordiniert bundesweit einheitliche Auslegung über Beschlüsse und Orientierungshilfen.

Welche Bußgelder drohen bei Verstößen?

Eine Verletzung der Meldepflicht aus Artikel 33 fällt unter Artikel 83 Absatz 4 DSGVO: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die konkrete Sanktion hängt vom Einzelfall ab. Andere Verstöße im selben Vorfall können gesonderte Bußgeldkategorien betreffen; ein fremder Fall zu Beschäftigtendaten belegt keine Sanktion wegen verspäteter Meldung.

Wie verhält sich die Norm zum BDSG?

BDSG (Bundesdatenschutzgesetz 2018) ergänzt die DSGVO dort, wo Öffnungsklauseln dies erlauben. Für die Meldeschwelle und die 72-Stunden-Frist ist Artikel 33 DSGVO maßgeblich. Daneben können besondere sektorale Meldepflichten bestehen; ihre Adressaten und Fristen sind eigenständig zu prüfen.

Welche EuGH-Urteile sollte ich kennen?

Für die praktische Entscheidung zu Artikel 33 sind zunächst der Normtext und die EDPB-Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen einschlägig. Urteile zu Drittlandtransfers, Scoring oder Schadensersatz beantworten die konkrete Risikoschwelle einer Verletzung nicht.

Wie sieht ein typischer Compliance-Workflow aus?

Alarm entgegennehmen → Datenbezug und Verletzung feststellen → Zeitpunkt der Kenntnis dokumentieren → Risiko für Betroffene bewerten → Aufsicht und Betroffene nach getrennten Schwellen prüfen → bekannte Fakten fristgerecht melden → Ergänzungen, Abhilfe und Nichtmeldungsgründe im Verletzungsregister festhalten. Der Ablauf wird nach jedem ernsten Vorfall und nach geänderten Lieferketten oder Zuständigkeiten erneut erprobt.