Datenpanne melden: Fristen und Pflichten nach Art. 33 und 34 DSGVO

Anfang September 2026 haben Angreifer nach dem Cyberangriff auf die Berliner Landesverwaltung erbeutete Daten veröffentlicht – darunter Zugangsdaten, Personalunterlagen und Bewerbungsdokumente. Solche Vorfälle zeigen, dass die Frage nicht lautet, ob eine Datenpanne passiert, sondern wie schnell und in welcher Form ein Unternehmen darauf reagieren muss. Die DSGVO gibt dafür mit Art. 33 und Art. 34 einen klaren Rahmen vor, der in der Praxis häufig unterschätzt wird. Dieser Beitrag erklärt, wann eine Meldepflicht besteht, welche Fristen gelten, was in die Meldung gehört und welche Vorbereitung sich für Unternehmen lohnt.

Rechtsgrundlage: Was ist eine „Verletzung des Schutzes personenbezogener Daten"?

Ausgangspunkt ist Art. 4 Nr. 12 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten – umgangssprachlich Datenpanne – liegt vor, wenn personenbezogene Daten unbefugt oder unrechtmäßig vernichtet, verloren, verändert, offengelegt oder zugänglich gemacht werden. Der Begriff ist bewusst weit gefasst. Er umfasst nicht nur Hackerangriffe, sondern auch:

• die E-Mail an den falschen Empfänger,

• den verlorenen, unverschlüsselten Laptop,

• die versehentlich öffentliche Freigabe eines Cloud-Ordners,

• Ransomware, die Daten verschlüsselt, auch ohne Abfluss,

• den Mitarbeiter, der auf Personalakten zugreift, für die er keine Berechtigung hat.

Entscheidend ist nicht, ob jemand böswillig gehandelt hat, sondern ob die Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten verletzt wurde.

Aus dieser Definition folgen zwei getrennte Pflichten: die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Beide haben unterschiedliche Schwellen und Fristen.

Art. 33 DSGVO: Meldung an die Aufsichtsbehörde

Wann besteht die Meldepflicht?

Nach Art. 33 Abs. 1 DSGVO ist jede Datenpanne der zuständigen Aufsichtsbehörde zu melden – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Regel ist also die Meldung, die Ausnahme das Absehen davon.

Ein Risiko fehlt typischerweise nur, wenn die Daten für Unbefugte praktisch nicht verwertbar sind, etwa weil sie nach dem Stand der Technik verschlüsselt waren und der Schlüssel nicht mitbetroffen ist, oder wenn die falsch adressierte E-Mail nachweislich ungelesen gelöscht wurde. Sobald Zugangsdaten, Gesundheitsdaten, Finanzdaten oder Personalunterlagen betroffen sind, wird sich ein Risiko kaum verneinen lassen.

Die 72-Stunden-Frist

Die Meldung muss unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem dem Verantwortlichen die Verletzung bekannt geworden ist. Zwei Punkte sind hier wichtig:

Erstens: Die Frist läuft ab Kenntnis, nicht ab Eintritt der Panne. Nach den Leitlinien des Europäischen Datenschutzausschusses (EDSA) liegt Kenntnis vor, wenn der Verantwortliche mit hinreichender Sicherheit weiß, dass ein Sicherheitsvorfall zu einer Verletzung personenbezogener Daten geführt hat. Eine kurze Phase der Prüfung ist zulässig – wer aber Tage verstreichen lässt, um „erst einmal intern zu klären", verschiebt die Frist nicht.

Zweitens: Die Frist ist keine Wochentagsfrist. Wird die Panne am Freitagnachmittag entdeckt, endet die Frist am Montagnachmittag. Eine verspätete Meldung muss begründet werden (Art. 33 Abs. 1 Satz 2 DSGVO).

Wer meldet: Verantwortlicher oder Auftragsverarbeiter?

Die Meldepflicht gegenüber der Behörde trifft den Verantwortlichen. Ein Auftragsverarbeiter – etwa ein Hosting- oder SaaS-Anbieter – muss die Panne nach Art. 33 Abs. 2 DSGVO unverzüglich an den Verantwortlichen melden, nicht an die Behörde. In der Praxis sollte der Auftragsverarbeitungsvertrag konkrete Meldewege und Fristen (z. B. 24 Stunden) vorsehen, damit der Verantwortliche seine eigene 72-Stunden-Frist einhalten kann.

Was gehört in die Meldung?

Art. 33 Abs. 3 DSGVO legt den Mindestinhalt fest:

1. Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze,

2. Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle,

3. wahrscheinliche Folgen der Verletzung,

4. ergriffene oder vorgeschlagene Maßnahmen zur Behebung und zur Schadensbegrenzung.

Liegen noch nicht alle Informationen vor, erlaubt Art. 33 Abs. 4 DSGVO ausdrücklich eine schrittweise Meldung. Es ist also zulässig und sinnvoll, innerhalb der 72 Stunden eine Erstmeldung mit dem bekannten Stand abzugeben und später nachzumelden. Die meisten Aufsichtsbehörden stellen dafür Online-Formulare bereit.

Dokumentationspflicht – auch ohne Meldung

Oft übersehen wird Art. 33 Abs. 5 DSGVO: Jede Datenpanne ist intern zu dokumentieren, einschließlich der Tatsachen, der Auswirkungen und der Abhilfemaßnahmen – auch dann, wenn nach Prüfung keine Meldung erfolgt. Die Behörde kann diese Dokumentation anfordern. Wer eine Panne nicht meldet, muss also nachweisen können, warum er kein Risiko gesehen hat.

Art. 34 DSGVO: Benachrichtigung der Betroffenen

Die Benachrichtigung der betroffenen Personen hat eine höhere Schwelle: Sie ist erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat. Ein hohes Risiko ist regelmäßig anzunehmen bei:

• Zugangsdaten und Passwörtern (Gefahr von Identitätsmissbrauch),

• Gesundheits-, Finanz- oder Bewerbungsdaten,

• Daten, deren Veröffentlichung zu Diskriminierung, Rufschädigung oder finanziellem Schaden führen kann,

• besonders schutzbedürftigen Personengruppen.

Die Benachrichtigung muss unverzüglich erfolgen, ohne feste Stundenfrist, und in klarer und einfacher Sprache. Inhaltlich entspricht sie im Wesentlichen der Behördenmeldung (Art. 34 Abs. 2 DSGVO), sollte aber vor allem eines leisten: den Betroffenen konkret sagen, was sie tun können – etwa Passwörter ändern, Kontobewegungen prüfen, auf Phishing achten.

Ausnahmen von der Benachrichtigungspflicht

Art. 34 Abs. 3 DSGVO nennt drei Ausnahmen:

• Die Daten waren durch geeignete technische Maßnahmen für Unbefugte unzugänglich, insbesondere durch Verschlüsselung.

• Der Verantwortliche hat nachträglich Maßnahmen ergriffen, die ein hohes Risiko aller Wahrscheinlichkeit nach ausschließen.

• Die individuelle Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden – dann ist eine öffentliche Bekanntmachung erforderlich, etwa auf der Website.

Die dritte Ausnahme entbindet nicht von der Information, sie ändert nur den Weg.

Aktuelle Rechtsprechung: Warum die Panne selbst schon Schadensersatz auslösen kann

Die Meldepflichten sind nicht nur Ordnungsrecht. Seit dem Urteil des EuGH vom 14.12.2023 (C-340/21) ist geklärt, dass allein die Befürchtung eines möglichen Missbrauchs der Daten nach einem unbefugten Zugriff Dritter einen immateriellen Schaden nach Art. 82 DSGVO darstellen kann. Der Verantwortliche kann sich nicht pauschal darauf berufen, er sei selbst Opfer eines Angriffs gewesen; er muss vielmehr nachweisen, dass seine technischen und organisatorischen Maßnahmen geeignet waren.

Eine saubere, fristgerechte Meldung und eine transparente Benachrichtigung der Betroffenen sind damit auch ein Baustein der Haftungsverteidigung: Sie belegen, dass der Verantwortliche seine Pflichten ernst genommen und den Schaden begrenzt hat.

Praktische Auswirkungen für Unternehmen

Aus den Vorgaben ergeben sich konkrete Anforderungen, die vor dem Ernstfall stehen sollten:

Meldeprozess festlegen. Wer im Unternehmen erkennt eine Panne, wer bewertet sie, wer entscheidet über die Meldung? Ohne definierten Prozess vergehen die ersten 48 Stunden mit der Frage, wer zuständig ist.

Risikobewertung vorbereiten. Ein kurzes Prüfschema (Datenkategorien, Betroffene, Verschlüsselung, Zugriffsmöglichkeit Dritter) beschleunigt die Entscheidung Meldung / keine Meldung / Benachrichtigung.

Auftragsverarbeiter einbinden. Meldefristen und Ansprechpartner gehören in jeden AV-Vertrag. Der Dienstleister muss wissen, dass er den Kunden innerhalb weniger Stunden informieren muss.

Dokumentation standardisieren. Ein Vorfallsregister nach Art. 33 Abs. 5 DSGVO ist Pflicht. Es sollte auch die Fälle enthalten, in denen bewusst nicht gemeldet wurde, mit Begründung.

Kommunikation vorbereiten. Eine Textvorlage für die Betroffenenbenachrichtigung spart im Ernstfall Zeit und verhindert, dass unter Druck unklar oder beschönigend formuliert wird.

Sanktionsrisiko kennen. Verstöße gegen Art. 33 und 34 DSGVO können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Aufsichtsbehörden sanktionieren dabei nicht selten die verspätete oder unterlassene Meldung schärfer als die Panne selbst.

Fazit und Handlungsempfehlung

Eine Datenpanne ist grundsätzlich meldepflichtig; nur wenn ein Risiko für die Betroffenen ausgeschlossen werden kann, darf die Meldung unterbleiben – und auch dann muss der Vorfall dokumentiert werden. Die 72-Stunden-Frist beginnt mit der Kenntnis und lässt sich durch Erstmeldung und Nachmeldung einhalten. Besteht ein hohes Risiko, sind zusätzlich die Betroffenen unverzüglich und verständlich zu informieren.

Wer den Meldeprozess, die Risikobewertung und die Vorlagen vor dem ersten Vorfall festlegt, kann im Ernstfall die Frist einhalten und reduziert zugleich sein Haftungsrisiko. Die Vorfälle der letzten Wochen zeigen, dass diese Vorbereitung keine Formalie ist.