Zum Inhalt springen
SimpleAct Logo

Leitfaden · DSGVO Art. 33, 34

Stand: 4. Oktober 2026

Datenpanne melden: 72-Stunden-Frist, Meldepflicht und Ablauf

Falsch versendete E-Mail, gestohlener Laptop, Ransomware: Bei einer Datenschutzverletzung zählt jede Stunde. Hier finden Sie, wann Sie der Aufsichtsbehörde melden und Betroffene benachrichtigen müssen, was in die Meldung gehört, zehn Fallbeispiele aus den EDSA-Leitlinien und einen Check mit 72-Stunden-Rechner.

Meldepflicht prüfenPflichten im Überblick
  • Meldepflicht nach Art. 33 und 34
  • Inhalt der Meldung als Tabelle
  • 10 Fallbeispiele mit Einordnung
  • Check mit 72-Stunden-Rechner
app.simpleact.de

Datenpanne · Vorfall #2026-014

E-Mail mit Kundendaten an falschen Verteiler

A
Meldefrist Aufsichtsbehörde41:12 hverbleibend · Kenntnis Mo 09:30
  1. Mo 09:30Hinweis eines Empfängers, Prüfung gestartet
  2. Mo 10:15Rückruf der E-Mail, Empfänger um Löschung gebeten
  3. Mo 14:00Risikobewertung mit DSB
  4. DiMeldung an die Aufsichtsbehörde
  5. –Benachrichtigung Betroffener prüfen

Beispieldaten · Frist läuft auch am Wochenende

Kurz gesagt

Eine Datenpanne melden Sie unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon Kenntnis erlangt haben, der zuständigen Aufsichtsbehörde (Art. 33 DSGVO) – außer, ein Risiko für Betroffene ist unwahrscheinlich. Bei voraussichtlich hohem Risiko benachrichtigen Sie auch die Betroffenen (Art. 34). Jede Panne wird intern dokumentiert, auch ohne Meldung.

Grundlagen

Was eine Datenpanne ist – und welche Pflichten sie auslöst

Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“. Gemeint ist eine Verletzung der Sicherheit, die – ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt (Art. 4 Nr. 12). Der EDSA unterscheidet drei Arten: Verletzungen der Vertraulichkeit (Daten gelangen an Unbefugte), der Integrität (Daten werden verändert) und der Verfügbarkeit (Daten sind verloren oder nicht erreichbar). Eine Panne kann mehrere Arten zugleich betreffen.

Daraus folgen bis zu drei Pflichten. Erstens die Meldung an die zuständige Aufsichtsbehörde: unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1). Zweitens die Benachrichtigung der Betroffenen, wenn voraussichtlich ein hohes Risiko besteht (Art. 34 Abs. 1). Drittens – und zwar immer – die interne Dokumentation aller Verletzungen mit Fakten, Auswirkungen und Abhilfemaßnahmen (Art. 33 Abs. 5).

Die 72 Stunden beginnen mit der Kenntnis, nicht mit dem Vorfall. Nach den EDSA-Leitlinien 9/2022 hat ein Verantwortlicher Kenntnis, wenn er mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall zu einer Verletzung personenbezogener Daten geführt hat. Nach einem Hinweis darf er kurz prüfen, ob tatsächlich eine Verletzung vorliegt; diese erste Prüfung muss aber so schnell wie möglich beginnen. Die Frist läuft in Stunden – also auch über Wochenende und Feiertage.

Wer zuerst merkt, dass etwas schiefgelaufen ist, ist oft gar nicht der Verantwortliche, sondern ein Dienstleister. Ein Auftragsverarbeiter meldet eine Verletzung dem Verantwortlichen unverzüglich (Art. 33 Abs. 2); die Meldung an die Behörde bleibt Sache des Verantwortlichen. Nach den EDSA-Leitlinien gilt der Verantwortliche in der Regel als informiert, sobald ihn der Auftragsverarbeiter benachrichtigt hat. Deshalb gehört eine klare Meldekette in jeden Auftragsverarbeitungsvertrag (Art. 28 Abs. 3 lit. f).

Was die Meldung enthalten muss, regelt Art. 33 Abs. 3: Art der Verletzung mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze, Kontakt des Datenschutzbeauftragten oder einer Anlaufstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Liegen nicht alle Informationen vor, dürfen sie schrittweise nachgereicht werden (Abs. 4). Eine unvollständige Meldung innerhalb der Frist ist also besser als eine vollständige zu spät. Wer später meldet, muss die Verzögerung begründen (Abs. 1 Satz 2).

Die Benachrichtigung der Betroffenen beschreibt in klarer und einfacher Sprache, was passiert ist, und enthält mindestens den Kontakt, die wahrscheinlichen Folgen und die Maßnahmen (Art. 34 Abs. 2). Sie entfällt, wenn die Daten etwa durch Verschlüsselung für Unbefugte unzugänglich waren, wenn nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder wenn sie unverhältnismäßigen Aufwand bedeuten würde – dann ist stattdessen eine öffentliche Bekanntmachung nötig (Abs. 3).

Verstöße gegen Art. 33 und 34 können nach Art. 83 Abs. 4 lit. a mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. In der Praxis wiegt etwas anderes oft schwerer: Wird eine Panne auf anderem Weg bekannt – durch Betroffene, Presse oder die Behörde selbst –, steht neben dem Vorfall auch die unterlassene Meldung im Raum.

Meldefrist ab Kenntnis – läuft auch am Wochenende (Art. 33 Abs. 1)
72 h
Meldefrist ab Kenntnis – läuft auch am Wochenende (Art. 33 Abs. 1)
Arten: Vertraulichkeit, Integrität, Verfügbarkeit (EDSA)
3
Arten: Vertraulichkeit, Integrität, Verfügbarkeit (EDSA)
oder 2 % Umsatz: Bußgeldrahmen bei Verstößen gegen Art. 33/34 (Art. 83 Abs. 4)
10 Mio. €
oder 2 % Umsatz: Bußgeldrahmen bei Verstößen gegen Art. 33/34 (Art. 83 Abs. 4)

Pflichten

Wer muss wann wen informieren?

Die Pflichten bei einer Datenschutzverletzung im Überblick – nach Adressat, Auslöser und Frist.

Meldung an die Aufsichtsbehörde
WerVerantwortlicher
AuslöserJede Verletzung, außer ein Risiko ist unwahrscheinlich
FristUnverzüglich, möglichst binnen 72 Stunden ab Kenntnis
FundstelleArt. 33 Abs. 1
Begründung der Verzögerung
WerVerantwortlicher
AuslöserMeldung nach mehr als 72 Stunden
FristMit der Meldung
FundstelleArt. 33 Abs. 1 S. 2
Meldung an den Verantwortlichen
WerAuftragsverarbeiter
AuslöserJede Verletzung, die ihm bekannt wird
FristUnverzüglich
FundstelleArt. 33 Abs. 2
Schrittweise Ergänzung
WerVerantwortlicher
AuslöserInformationen liegen noch nicht vollständig vor
FristOhne unangemessene weitere Verzögerung
FundstelleArt. 33 Abs. 4
Benachrichtigung der Betroffenen
WerVerantwortlicher
AuslöserVoraussichtlich hohes Risiko, keine Ausnahme nach Abs. 3
FristUnverzüglich
FundstelleArt. 34 Abs. 1
Öffentliche Bekanntmachung
WerVerantwortlicher
AuslöserHohes Risiko, Einzelbenachrichtigung unverhältnismäßig
FristUnverzüglich
FundstelleArt. 34 Abs. 3 lit. c
Interne Dokumentation
WerVerantwortlicher
AuslöserJede Verletzung – auch ohne Meldung
FristLaufend
FundstelleArt. 33 Abs. 5

Zuständig ist die Aufsichtsbehörde nach Art. 55 – in Deutschland für Unternehmen in der Regel die Landesdatenschutzbehörde am Sitz. Die meisten Behörden bieten ein Online-Meldeformular an.

Inhalt

Was in die Meldung und die Benachrichtigung gehört

Die Mindestangaben nach Art. 33 Abs. 3 für die Behörde und nach Art. 34 Abs. 2 für die Betroffenen. Die rechte Spalte zeigt, was Sie in der Praxis vorbereiten sollten – das ist unsere Empfehlung.

Art der Verletzung
BehördeJa – lit. a
BetroffeneJa – in klarer, einfacher Sprache
Praxis-TippWas ist passiert, wann, wie entdeckt, welche Art (Vertraulichkeit, Integrität, Verfügbarkeit)?
Kategorien und ungefähre Zahl der Betroffenen
BehördeJa – lit. a, soweit möglich
Betroffene–
Praxis-TippSchätzung mit Spanne ist besser als keine Angabe; später präzisieren
Kategorien und ungefähre Zahl der Datensätze
BehördeJa – lit. a, soweit möglich
Betroffene–
Praxis-TippBesondere Kategorien (Art. 9) ausdrücklich nennen
Kontakt DSB oder Anlaufstelle
BehördeJa – lit. b
BetroffeneJa – Art. 34 Abs. 2
Praxis-TippErreichbarkeit für Rückfragen sicherstellen
Wahrscheinliche Folgen
BehördeJa – lit. c
BetroffeneJa – Art. 34 Abs. 2
Praxis-TippFolgen aus Sicht der Betroffenen: Identitätsdiebstahl, Betrug, Bloßstellung, Diskriminierung
Ergriffene oder vorgeschlagene Maßnahmen
BehördeJa – lit. d
BetroffeneJa – Art. 34 Abs. 2
Praxis-TippEindämmung, Behebung und was Betroffene selbst tun können, z. B. Passwort ändern
Begründung bei Verspätung
BehördeJa – Abs. 1 S. 2
Betroffene–
Praxis-TippEhrlich und konkret begründen

Eine erste Meldung mit den bekannten Angaben ist zulässig; fehlende Informationen werden schrittweise nachgereicht (Art. 33 Abs. 4).

Interaktiv

Meldepflicht-Check mit 72-Stunden-Rechner

Tragen Sie den Zeitpunkt der Kenntnis ein und beantworten Sie vier Fragen. Sie sehen, wen Sie bis wann informieren müssen, und erhalten ein Gerüst für die Meldung nach Art. 33 Abs. 3. Es werden keine Daten gespeichert oder übertragen.

1 · Sind personenbezogene Daten betroffen?
2 · Ihre Rolle
3 · Risiko für die Betroffenen
app.simpleact.de

Ihre Pflichten

Meldefrist läuft ab

A

Meldefrist läuft ab

Zeitpunkt der Kenntnis eintragen

Konservativ ab Kenntnis gerechnet, Uhrzeit in Ihrer Zeitzone. Die Frist läuft auch an Wochenenden und Feiertagen.

  • Meldung an die zuständige Aufsichtsbehörde – unverzüglich, möglichst binnen 72 Stunden (Art. 33 Abs. 1)
  • Keine Benachrichtigung der Betroffenen, solange kein hohes Risiko besteht
  • Verletzung intern dokumentieren: Fakten, Auswirkungen, Abhilfemaßnahmen (Art. 33 Abs. 5)

Gerüst für die Meldung (Art. 33 Abs. 3)

Meldung einer Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO
Kenntnis am: [Datum, Uhrzeit] · Meldefrist bis: [Datum, Uhrzeit]

a) Art der Verletzung: [was, wann, wie entdeckt; Vertraulichkeit/Integrität/Verfügbarkeit]
   Betroffene Personen: [Kategorien], ca. [Zahl]
   Datensätze: [Kategorien, ggf. Art. 9], ca. [Zahl]
b) Kontakt: [Datenschutzbeauftragte/r oder Anlaufstelle, E-Mail, Telefon]
c) Wahrscheinliche Folgen: [aus Sicht der Betroffenen]
d) Maßnahmen: [ergriffen / vorgeschlagen, inkl. Abmilderung]

Benachrichtigung der Betroffenen: [ja – am / nein – Begründung]
Fehlende Angaben werden nach Art. 33 Abs. 4 nachgereicht.

Arbeitshilfe, keine Rechtsberatung. Die Risikobewertung ist eine Entscheidung im Einzelfall – im Zweifel melden und schrittweise ergänzen.

Fallbeispiele

Zehn Datenpannen und wer zu informieren ist

Die Fälle stammen sinngemäß aus Anhang B der EDSA-Leitlinien 9/2022. Sie zeigen den Unterschied zwischen Risiko und hohem Risiko – die Einordnung bleibt eine Bewertung des Einzelfalls.

Verschlüsselte Sicherung auf USB-Stick wird gestohlen
Behörde melden?Nein
Betroffene informieren?Nein
HinweisWenn nach Stand der Technik verschlüsselt, Schlüssel sicher und Sicherung vorhanden. Wird der Schlüssel später kompromittiert: melden.
Cyberangriff auf Online-Dienst, Daten werden abgezogen
Behörde melden?Ja, bei wahrscheinlichen Folgen
Betroffene informieren?Je nach Art der Daten und Schwere der Folgen
Hinweis–
Kurzer Stromausfall im Callcenter, Kunden erreichen ihre Daten nicht
Behörde melden?Nein
Betroffene informieren?Nein
HinweisNicht meldepflichtig, aber nach Art. 33 Abs. 5 zu dokumentieren.
Ransomware verschlüsselt alle Daten, keine Sicherung vorhanden
Behörde melden?Ja, bei wahrscheinlichen Folgen (Verlust der Verfügbarkeit)
Betroffene informieren?Je nach Art der Daten und Folgen
HinweisMit aktueller Sicherung und rechtzeitiger Wiederherstellung wäre keine Meldung nötig gewesen.
Kunde erhält den Kontoauszug einer anderen Person
Behörde melden?Ja
Betroffene informieren?Nur die Betroffenen, bei hohem Risiko
HinweisKurze Prüfung, ob ein systematischer Fehler weitere Personen betrifft.
Marktplatz gehackt, Nutzernamen, Passwörter und Käufe veröffentlicht
Behörde melden?Ja (bei grenzüberschreitender Verarbeitung: federführende Behörde)
Betroffene informieren?Ja, kann zu hohem Risiko führen
HinweisPasswörter zurücksetzen, weitere Meldepflichten prüfen.
Hosting-Dienstleister findet Fehler, Nutzer sehen fremde Kontodaten
Behörde melden?Dienstleister meldet seinen Kunden, diese prüfen und melden
Betroffene informieren?Wenn kein hohes Risiko: nein
HinweisDer Verantwortliche gilt mit der Mitteilung des Dienstleisters als informiert.
Patientenakten durch Cyberangriff 30 Stunden nicht verfügbar
Behörde melden?Ja
Betroffene informieren?Ja
HinweisHohes Risiko für Wohl und Privatsphäre der Patienten.
Daten vieler Studierender an falschen Verteiler mit über 1.000 Empfängern
Behörde melden?Ja
Betroffene informieren?Je nach Umfang, Art der Daten und Folgen
Hinweis–
Werbe-E-Mail mit allen Adressen im „An“- oder „Cc“-Feld
Behörde melden?Kann Pflicht sein – bei vielen Betroffenen, sensiblen Daten oder weiteren Risiken
Betroffene informieren?Je nach Umfang und Art der Daten
HinweisBei wenigen Adressen ohne sensible Daten ggf. nicht nötig.

Quelle: EDSA, Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0, Anhang B (sinngemäß, gekürzt).

Datenpannen und KI

Datenpannen bei KI-Systemen – und Vorfälle nach der KI-Verordnung

KI-Systeme schaffen neue Wege, wie Daten an die falsche Stelle gelangen. Und die KI-Verordnung bringt eigene Meldepflichten mit, die neben der DSGVO stehen.

01

Typische KI-Datenpannen

Vertrauliche Daten in einem öffentlichen KI-Tool eingegeben, ein Chatbot gibt Daten anderer Kunden aus, Verläufe sind für falsche Nutzer sichtbar, Protokolle beim Anbieter ungeschützt. Das sind Verletzungen nach Art. 4 Nr. 12, wenn personenbezogene Daten betroffen sind.

02

Anbieter als Auftragsverarbeiter

Bemerkt der KI-Anbieter eine Verletzung, muss er Sie unverzüglich informieren (Art. 33 Abs. 2). Prüfen Sie im AVV, wie und wie schnell das geschieht – Ihre 72 Stunden beginnen in der Regel mit dieser Mitteilung.

03

Schwerwiegende Vorfälle nach Art. 73 KI-VO

Anbieter von Hochrisiko-KI melden schwerwiegende Vorfälle der Marktüberwachungsbehörde: spätestens 15 Tage nach Kenntnis, bei weitverbreiteten Verstößen oder Störungen kritischer Infrastruktur 2 Tage, bei Todesfällen 10 Tage.

04

Pflichten der Betreiber

Betreiber von Hochrisiko-KI informieren bei einem schwerwiegenden Vorfall unverzüglich zuerst den Anbieter und dann Einführer oder Händler und die zuständigen Marktüberwachungsbehörden (Art. 26 Abs. 5 KI-VO). Für Anhang-III-Systeme gilt das nach dem Digital Omnibus ab 2. Dezember 2027.

05

Zwei Register, zwei Fristen

Ein Vorfall kann zugleich Datenpanne und KI-Vorfall sein. Dann laufen beide Fristen mit eigenen Adressaten. Führen Sie beide Prüfungen und dokumentieren Sie sie getrennt.

06

Vorbeugen

Regeln für die Eingabe personenbezogener Daten in KI-Tools, Unternehmensversionen mit vertraglich ausgeschlossenem Training und kurze Speicherfristen senken das Risiko – das ist unsere Empfehlung.

Weitere Meldepflichten können hinzukommen, etwa für Betreiber kritischer Anlagen oder bestimmte Branchen. Prüfen Sie sie parallel.

Vorgehen

Datenpanne bearbeiten in 7 Schritten

So läuft ein Vorfall von der Entdeckung bis zum Abschluss. Der Ablauf ist eine Empfehlung aus der Praxis; die Fristen stammen aus Art. 33 und 34.

  1. 1

    Erkennen und melden lassen

    Jede Person im Unternehmen muss wissen, wohin sie einen Verdacht meldet – sofort, auch am Wochenende. Dienstleister melden nach AVV.

  2. 2

    Zeitpunkt festhalten

    Wann wurde die Verletzung mit hinreichender Sicherheit bekannt? Ab diesem Zeitpunkt laufen die 72 Stunden. Den Vorfallzeitpunkt getrennt erfassen.

  3. 3

    Eindämmen

    Datenabfluss stoppen, Zugänge sperren, E-Mails zurückrufen, Empfänger um Löschung bitten, Passwörter zurücksetzen.

  4. 4

    Risiko bewerten

    Welche Daten, wie viele Personen, wie wahrscheinlich und wie schwer sind die Folgen? Datenschutzbeauftragten einbeziehen.

  5. 5

    Melden

    Bei Risiko an die Aufsichtsbehörde – auch unvollständig, wenn nötig. Bei hohem Risiko die Betroffenen benachrichtigen.

  6. 6

    Beheben und nachreichen

    Ursache beseitigen, fehlende Angaben schrittweise nachreichen (Art. 33 Abs. 4).

  7. 7

    Dokumentieren und lernen

    Fakten, Auswirkungen, Maßnahmen und Entscheidungen festhalten (Art. 33 Abs. 5). Lessons Learned in TOM und Schulungen übernehmen.

Verspätung

Was tun, wenn die 72 Stunden schon vorbei sind?

Die 72 Stunden sind kein Ausschlussgrund: Art. 33 Abs. 1 verlangt eine Meldung „unverzüglich und möglichst binnen 72 Stunden“. Ist die Frist verstrichen, melden Sie trotzdem – und fügen eine Begründung für die Verzögerung bei. Die Behörde bewertet dann, ob die Verzögerung nachvollziehbar ist.

Häufig ist nicht die Meldung selbst das Problem, sondern der späte Start. Wer erst nach Tagen erfährt, dass ein Dienstleister eine Panne hatte, oder wer einen Hinweis im Postfach liegen lässt, verliert Zeit, die er nicht zurückbekommt. Der EDSA erwartet, dass die erste Prüfung so schnell wie möglich beginnt.

Ebenso wichtig: Die Meldung muss nicht vollständig sein. Wenn und soweit Informationen nicht zur gleichen Zeit bereitgestellt werden können, dürfen sie ohne unangemessene weitere Verzögerung schrittweise nachgereicht werden (Art. 33 Abs. 4). Eine erste Meldung mit dem bekannten Stand innerhalb der Frist ist deshalb fast immer der bessere Weg.

  • Trotzdem melden – mit Begründung der Verzögerung
  • Lieber unvollständig in der Frist als vollständig zu spät
  • Fehlende Angaben schrittweise nachreichen
  • Ursache der Verzögerung im Prozess beheben

Häufige Fehler

Sechs Fehler bei Datenpannen

Frist erst ab Montag gerechnet

Die 72 Stunden laufen in Stunden, auch über das Wochenende. Eine Panne am Freitagabend ist am Montagabend fällig.

Nicht gemeldet, nicht dokumentiert

Auch eine Panne ohne Meldepflicht gehört in die Dokumentation nach Art. 33 Abs. 5 – samt Begründung, warum kein Risiko besteht.

Auf vollständige Informationen gewartet

Die Meldung darf schrittweise erfolgen. Wer auf alle Fakten wartet, reißt die Frist.

Dienstleister ohne Meldekette

Ohne klare Regel im AVV erfahren Sie von einer Panne beim Dienstleister zu spät oder gar nicht.

Risiko aus Unternehmenssicht bewertet

Maßgeblich sind die Folgen für die Betroffenen – Identitätsdiebstahl, Betrug, Bloßstellung –, nicht der Imageschaden.

Verschlüsselung ohne Nachweis

Die Ausnahme nach Art. 34 Abs. 3 lit. a hilft nur, wenn die Verschlüsselung wirksam war und der Schlüssel nicht betroffen ist – das sollten Sie belegen können.

Mit SimpleAct

Datenpannen in SimpleAct

Das DSGVO-Modul (ab Professional) führt jede Panne als Vorfallakte – mit automatisch berechneter 72-Stunden-Frist, Statusführung und Dokumentation nach Art. 33 Abs. 5.

  • Frist aus dem Zeitpunkt der Entdeckung berechnet, Liste danach sortiert
  • Entdeckung und Vorfall als getrennte Zeitpunkte
  • Status von „offen“ über „gemeldet“ bis „geschlossen“
  • Behörden- und Betroffenenmeldung mit Zeitpunkt und Aktenzeichen
  • Risikobewertung, Ursachenanalyse, Maßnahmen, Lessons Learned
  • Verknüpfung mit KI-System und VVT-Eintrag

Datenpanne oder KI-Vorfall?

Schwerwiegende Vorfälle nach der KI-Verordnung haben eigene Adressaten und Fristen. In SimpleAct führen Sie sie im Incident Management, Datenpannen im DSGVO-Modul.

Incident Management ansehen

FAQ

Häufige Fragen zur Meldung von Datenpannen

Nein. Die Meldung an die Aufsichtsbehörde entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1). Dokumentiert werden muss aber jede Verletzung (Art. 33 Abs. 5) – einschließlich der Begründung, warum nicht gemeldet wurde.
Ab dem Zeitpunkt, an dem dem Verantwortlichen die Verletzung bekannt wurde. Nach den EDSA-Leitlinien ist das der Fall, wenn er mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Eine kurze Prüfung ist erlaubt, muss aber sofort beginnen.
Ja. Die Frist ist in Stunden bemessen und läuft durch. Eine Panne, die am Freitag um 18 Uhr bekannt wird, ist am Montag um 18 Uhr zu melden.
Nach Art. 33 Abs. 3 mindestens: Art der Verletzung mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze, Kontakt des Datenschutzbeauftragten oder einer Anlaufstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben dürfen nachgereicht werden.
Wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat (Art. 34 Abs. 1) – unverzüglich und in klarer, einfacher Sprache. Ausnahmen gelten bei wirksamer Verschlüsselung, bei nachträglich beseitigtem Risiko oder bei unverhältnismäßigem Aufwand; dann ist eine öffentliche Bekanntmachung nötig.
Der Verantwortliche. Der Auftragsverarbeiter meldet ihm die Verletzung unverzüglich (Art. 33 Abs. 2) und unterstützt ihn (Art. 28 Abs. 3 lit. f). Nach den EDSA-Leitlinien gilt der Verantwortliche in der Regel ab dieser Mitteilung als informiert.
Die Meldung bleibt Pflicht, ihr ist eine Begründung für die Verzögerung beizufügen (Art. 33 Abs. 1 Satz 2). Verstöße gegen Art. 33 und 34 können nach Art. 83 Abs. 4 lit. a mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Ja, wenn sie personenbezogene Daten an Unbefugte offenlegt. Ob gemeldet werden muss, hängt vom Risiko ab: Nach den EDSA-Beispielen kann eine Werbe-E-Mail mit offenen Adressen bei wenigen Empfängern ohne sensible Daten unkritisch sein, bei vielen Betroffenen oder sensiblen Daten aber meldepflichtig.
Nicht immer. Nach den EDSA-Leitlinien ist eine Verschlüsselung durch Ransomware ein Verlust der Verfügbarkeit. Gibt es eine aktuelle Sicherung und lassen sich die Daten rechtzeitig wiederherstellen, kann die Meldung entfallen. Wurden Daten abgezogen oder fehlt die Sicherung, ist in der Regel zu melden.
Nur wenn personenbezogene Daten betroffen sind. Schwerwiegende Vorfälle nach Art. 73 KI-VO haben eigene Adressaten und Fristen. Ein Vorfall kann beides sein – dann laufen beide Meldepflichten nebeneinander.

Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)

Quellen und Stand

Stand: · Redaktion SimpleAct

Dieser Leitfaden dient der allgemeinen Information und ist keine Rechtsberatung. Die Fallbeispiele sind sinngemäß aus den EDSA-Leitlinien zusammengefasst; die Bewertung bleibt eine Entscheidung im Einzelfall.

Änderungen

  • 2026-10-04 – Seite neu aufgebaut: Pflichten-Tabelle, Inhalt der Meldung, zehn Fallbeispiele nach EDSA, Meldepflicht-Check mit 72-Stunden-Rechner, KI-Abschnitt.
  • 2026-06-13 – Erste Fassung.

Weiterführende Themen

Die 72 Stunden im Blick, auch am Wochenende

SimpleAct berechnet Meldefristen, führt die Vorfallakte und verknüpft Datenpannen mit VVT und KI-Systemen. Testen Sie 7 Tage (Kreditkarte nötig) oder buchen Sie eine Demo.

Demo buchen7 Tage testen (Kreditkarte nötig)