DSGVO-Bußgeld bei Datenpanne: Bis zu 20 Mio. € — was die 72-Stunden-Frist entscheidet
Bei DSGVO-Verstößen drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes — und die Meldepflicht nach Art. 33 DSGVO ist einer der häufigsten Anknüpfungspunkte. Denn hier sanktionieren Aufsichtsbehörden nicht nur die Datenpanne selbst, sondern eigenständig auch deren verspätete, unvollständige oder unterlassene Meldung. Eine beherrschte Panne mit sauberer Meldung ist bußgeldrechtlich ein völlig anderer Fall als dieselbe Panne, die verschwiegen wurde.
Aufsichtsbehörden erfahren von Datenpannen längst nicht nur durch die Meldung des Verantwortlichen: Betroffene beschweren sich, Ransomware-Gruppen veröffentlichen erbeutete Daten, Sicherheitsforscher und Presse berichten. Kommt die Behörde der eigenen Meldung zuvor, steht neben der Panne sofort die Frage im Raum, warum nicht gemeldet wurde — eine denkbar schlechte Ausgangslage für das Bußgeldverfahren.
Bußgeldmindernd wirken nach Art. 83 DSGVO unter anderem die Art der Bekanntwerdung, die Kooperation mit der Behörde und ergriffene Abhilfemaßnahmen. Genau hier zahlt sich Vorbereitung aus: Wer Meldeprozess, Risikobewertung und Dokumentation vor dem Ernstfall aufgesetzt hat, meldet fristgerecht, vollständig und belegt damit organisatorische Sorgfalt statt Organisationsversagen.
Diese Sanktionen drohen konkret
Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
Meldepflichtige Datenpannen sind der Aufsichtsbehörde ohne unangemessene Verzögerung, möglichst binnen 72 Stunden, zu melden.
Bei hohem Risiko müssen die betroffenen Personen zusätzlich unverzüglich benachrichtigt werden.
Passendes Tool
Melden Sie jede Datenpanne fristgerecht und sicher.
DSGVO 72h Leak Shield → Jetzt kostenlos prüfenHäufige Fragen
Wird schon die verspätete Meldung einer Datenpanne mit Bußgeld belegt?
Ja. Der Verstoß gegen die Meldepflicht des Art. 33 DSGVO ist eigenständig bußgeldbewehrt — unabhängig davon, ob für die Panne selbst ein Verschulden vorliegt. Erfolgt die Meldung später als 72 Stunden nach Kenntniserlangung, muss die Verzögerung begründet werden; fehlt eine tragfähige Begründung, fließt das in die Bußgeldbemessung ein.
Wann beginnt die 72-Stunden-Frist genau zu laufen?
Mit der Kenntniserlangung des Verantwortlichen — also sobald hinreichende Gewissheit besteht, dass eine Verletzung des Schutzes personenbezogener Daten vorliegt. Interne Zuständigkeitsfragen verschieben den Fristbeginn nicht: Das Wissen von Mitarbeitenden wird dem Unternehmen zugerechnet. Deshalb braucht es einen internen Eskalationsweg, der Vorfälle sofort zur meldenden Stelle bringt.
Was mindert das Bußgeld nach einer Datenpanne konkret?
Art. 83 DSGVO nennt unter anderem: fristgerechte Eigenmeldung, umfassende Kooperation mit der Aufsichtsbehörde, schnelle Abhilfe- und Schadensbegrenzungsmaßnahmen sowie vorhandene technische und organisatorische Schutzmaßnahmen. Eine lückenlose Dokumentation des Vorfalls und der Reaktion ist die Grundlage, um diese Faktoren geltend zu machen.
Muss ich auch Pannen dokumentieren, die ich nicht melden muss?
Ja. Art. 33 Abs. 5 DSGVO verpflichtet zur Dokumentation aller Verletzungen des Datenschutzes — einschließlich der Fälle, in denen mangels Risiko keine Meldung erfolgt, samt Begründung dieser Einschätzung. Genau diese Dokumentation prüft die Aufsichtsbehörde, wenn sie später auf den Vorfall aufmerksam wird.