Datenpanne-Checkliste: Die 72-Stunden-Meldung nach Art. 33 DSGVO in 8 Schritten
Wenn eine Datenpanne entdeckt wird, läuft die Uhr: Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung, möglichst binnen 72 Stunden nach Kenntniserlangung. In dieser Zeit müssen Sie den Vorfall eingrenzen, das Risiko für die Betroffenen bewerten und eine vollständige Meldung formulieren — unter Druck kaum leistbar, wenn der Prozess nicht vorher steht.
Diese Checkliste deckt beide Phasen ab: die Vorbereitung, die jedes Unternehmen vor dem Ernstfall treffen sollte, und die Schritte, die nach Entdeckung einer Panne in den ersten 72 Stunden abzuarbeiten sind. Sie folgt der Logik der Aufsichtsbehörden — vom Fristbeginn über die Risikobewertung bis zur Dokumentationspflicht, die auch für nicht meldepflichtige Vorfälle gilt.
Ihre Checkliste
- 1Meldeprozess vorab aufsetzen: Verantwortlichkeiten, Eskalationsweg und Meldevorlage definieren, damit jeder Vorfall sofort die zuständige Stelle erreicht — die Frist läuft ab Kenntnis.
- 2Vorfall eingrenzen: Betroffene Systeme, Datenkategorien und ungefähre Zahl der Betroffenen ermitteln und die Ursache sichern, ohne Beweise zu vernichten.
- 3Fristbeginn dokumentieren: Zeitpunkt der Kenntniserlangung schriftlich festhalten — er bestimmt die 72-Stunden-Frist und muss gegenüber der Behörde belastbar sein.
- 4Risiko bewerten: Prüfen, ob die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt — davon hängt die Meldepflicht ab.
- 5Behördenmeldung vorbereiten: Art der Verletzung, Kategorien und Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen strukturiert zusammenstellen.
- 6Fristgerecht melden: Die Meldung möglichst binnen 72 Stunden bei der zuständigen Aufsichtsbehörde einreichen — notfalls gestuft mit Nachreichung offener Punkte.
- 7Betroffene informieren: Bei hohem Risiko die betroffenen Personen unverzüglich in klarer und einfacher Sprache benachrichtigen, inklusive Empfehlungen zum Selbstschutz.
- 8Vorfall vollständig dokumentieren: Hergang, Bewertung, Maßnahmen und Meldung im Verzeichnis festhalten — auch nicht meldepflichtige Pannen samt Begründung.
Passendes Tool
Melden Sie jede Datenpanne fristgerecht und sicher.
DSGVO 72h Leak Shield → Jetzt kostenlos prüfenHäufige Fragen
Was tun, wenn die 72 Stunden nicht für eine vollständige Meldung reichen?
Die DSGVO erlaubt eine gestufte Meldung: Reichen Sie fristgerecht eine Erstmeldung mit den verfügbaren Informationen ein und ergänzen Sie offene Punkte unverzüglich nach. Das ist ausdrücklich vorgesehen und deutlich besser, als die Frist verstreichen zu lassen — eine spätere Meldung muss begründet werden.
Wer sollte die Meldung an die Aufsichtsbehörde verantworten?
In der Praxis koordiniert der Datenschutzbeauftragte die Meldung; rechtlich verantwortlich bleibt die Unternehmensleitung als Verantwortlicher im Sinne der DSGVO. Wichtig ist eine vorab definierte Vertretungsregelung, damit die Meldung auch bei Urlaub oder Krankheit fristgerecht erfolgt — die Frist wartet nicht.
Muss ich bei einer Panne beim Auftragsverarbeiter selbst melden?
Ja. Der Auftragsverarbeiter meldet die Verletzung unverzüglich an Sie als Verantwortlichen — die Meldung an die Aufsichtsbehörde bleibt Ihre Pflicht, und Ihre 72-Stunden-Frist beginnt mit Ihrer Kenntnis. Vereinbaren Sie deshalb im Auftragsverarbeitungsvertrag kurze Informationsfristen und klare Meldewege.
Ist jede verlorene E-Mail oder jeder Fehlversand meldepflichtig?
Nein. Meldepflichtig ist eine Verletzung nur, wenn sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt — ein Fehlversand ohne sensible Daten an einen vertrauenswürdigen Empfänger kann darunter bleiben. Dokumentieren müssen Sie den Vorfall und Ihre Risikobewertung aber in jedem Fall.