AmtsDeutschland
0%
Zum Hauptinhalt springen
Behörden Beliebteste Ratgeber
Fragen Kontakt
Behördengang suchen

Datenpanne melden nach Art. 33 DSGVO

Die Frist läuft ab Kenntnis der Verletzung — nicht ab dem Vorfall

Online-MeldeformularKostenlosArt. 33 DSGVO

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten — einem Hackerangriff, einer Fehlversendung, einem verlorenen Datenträger oder einem offen zugänglichen Ordner —, muss der Verantwortliche dies der zuständigen Aufsichtsbehörde melden. Art. 33 Abs. 1 DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden. Entscheidend und häufig missverstanden ist der Fristbeginn: Er knüpft an den Zeitpunkt an, zu dem dem Verantwortlichen die Verletzung bekannt wurde, nicht an den Zeitpunkt des Vorfalls selbst.

Eine Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Einschätzung liegt beim Verantwortlichen — und er muss sie belegen können. Wird die Frist überschritten, ist der Meldung nach Art. 33 Abs. 1 Satz 2 DSGVO eine Begründung für die Verzögerung beizufügen. Unabhängig davon verpflichtet Abs. 5 zur Dokumentation aller Verletzungen, ausdrücklich auch derjenigen, die nicht gemeldet wurden.

Von der Meldung an die Behörde zu unterscheiden ist die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO. Sie ist nur geschuldet, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten mit sich bringt — dann allerdings unverzüglich und in klarer, einfacher Sprache. Abs. 3 nennt Ausnahmen, etwa wenn die Daten durch geeignete technische Maßnahmen wie eine wirksame Verschlüsselung unbrauchbar sind oder das hohe Risiko durch nachfolgende Maßnahmen beseitigt wurde.

Letzte Aktualisierung27. August 2026
RechtsgrundlageArt. 33 DSGVO
VerifizierungArt. 33 Abs. 1 bis 5 und Art. 34 DSGVO geprüft
Verfasst und geprüft vonAndrés Sánchez Botta
Unabhängige Informationsseite: Wir sind nicht die Datenschutzbehörde, keine Behörde und keine kostenpflichtige Beratung — wir stellen keine Anträge für Sie. Alle Angaben stammen aus amtlichen Quellen und sind hier einfach erklärt; verbindlich ist immer die zuständige Stelle. Keine Rechtsberatung und keine offizielle Behörde. Wir sind weder Rechtsanwälte noch Steuerberater: wir dokumentieren Behördengänge und prüfen die Angaben gegen die amtliche Quelle — das ist Information, keine Rechts- oder Steuerberatung.
Meldefrist72 StundenAb Kenntnis, nicht ab dem Vorfall
EmpfängerAufsichtsbehördeBetroffene nur bei hohem Risiko (Art. 34)
Meldung0,00 EURDokumentationspflicht für alle Fälle
Benötigte Unterlagen

Was Sie benötigen

Beschreibung der Verletzung

Art und Hergang des Vorfalls, soweit bekannt: was geschehen ist, wann es bemerkt wurde und welche Systeme betroffen sind. Eine lückenlose Aufklärung ist zum Meldezeitpunkt nicht verlangt — die Meldung darf schrittweise ergänzt werden, wenn nicht alle Informationen zugleich vorliegen.

Kategorien und ungefähre Zahl der Betroffenen

Anzugeben sind die Kategorien betroffener Personen und Datensätze sowie deren ungefähre Zahl. Eine Schätzung genügt, wenn die genaue Zahl noch nicht feststeht. Die Angabe entscheidet mit darüber, ob ein hohes Risiko im Sinne des Art. 34 DSGVO anzunehmen ist.

Kontaktdaten der Auskunftsstelle

Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen. Die Aufsichtsbehörde muss zügig nachfragen können; eine unbesetzte Sammeladresse verzögert das Verfahren und wirkt sich auf die Bewertung aus.

Folgen und ergriffene Maßnahmen

Die wahrscheinlichen Folgen der Verletzung sowie die getroffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen. Gerade der letzte Punkt beeinflusst die Bewertung erheblich und ist bei Art. 34 Abs. 3 DSGVO sogar der Grund, aus dem eine Benachrichtigung entfallen kann.

Interne Dokumentation

Nach Art. 33 Abs. 5 DSGVO sind alle Verletzungen zu dokumentieren, einschließlich der Fakten, der Auswirkungen und der ergriffenen Abhilfemaßnahmen — auch dann, wenn nicht gemeldet wurde. Diese Dokumentation dient der Aufsichtsbehörde zur Überprüfung und ist der einzige Beleg dafür, dass eine Nichtmeldung geprüft und begründet war.

Schritt für Schritt

So gehen Sie vor

  1. 1

    Vorfall feststellen und Kenntniszeitpunkt festhalten

    Halten Sie schriftlich fest, wann und wie der Vorfall bekannt wurde. Ab diesem Zeitpunkt läuft die Frist des Art. 33 Abs. 1 DSGVO — nicht ab dem mutmaßlichen Eintritt der Verletzung. Der dokumentierte Kenntniszeitpunkt ist der wichtigste Einzelbeleg des gesamten Vorgangs.

  2. 2

    Risiko bewerten

    Zu melden ist, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Maßgeblich sind Art der Daten, Zahl der Betroffenen, Wahrscheinlichkeit eines Missbrauchs und mögliche Folgen. Im Zweifel ist zu melden: Eine unterlassene Meldung wiegt regelmäßig schwerer als eine, die sich als entbehrlich erweist.

  3. 3

    Innerhalb von 72 Stunden melden

    Alle Aufsichtsbehörden stellen Online-Meldeformulare bereit. Liegen noch nicht alle Angaben vor, melden Sie zunächst mit dem verfügbaren Kenntnisstand und reichen nach. Bei Überschreitung der 72 Stunden ist der Meldung nach Art. 33 Abs. 1 Satz 2 DSGVO eine Begründung für die Verzögerung beizufügen.

  4. 4

    Prüfen, ob Betroffene zu benachrichtigen sind

    Nach Art. 34 DSGVO ist zusätzlich die betroffene Person unverzüglich zu benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten voraussichtlich besteht. Die Benachrichtigung muss in klarer und einfacher Sprache erfolgen. Abs. 3 lässt Ausnahmen zu, etwa bei wirksamer Verschlüsselung, bei nachträglicher Beseitigung des hohen Risikos oder — dann aber ersetzt durch eine öffentliche Bekanntmachung — bei unverhältnismäßigem Aufwand.

  5. 5

    Alles dokumentieren, auch das Nichtmelden

    Art. 33 Abs. 5 DSGVO verlangt die Dokumentation sämtlicher Verletzungen mit Fakten, Auswirkungen und Abhilfemaßnahmen. Wer nicht meldet, muss die Risikobewertung festhalten, die zu dieser Entscheidung geführt hat. Ohne diese Dokumentation lässt sich gegenüber der Aufsichtsbehörde nicht belegen, dass überhaupt geprüft wurde.

Gebühreninformation

Kosten und Bezahlung

Meldung kostenlosKosten entstehen erst bei Verstößen
Meldung an die Aufsichtsbehörde0,00 EUR
Benachrichtigung der Betroffenen0,00 EUR
Beschwerde eines Betroffenen0,00 EUR
Bußgeld bei Verstoß gegen Art. 33Bis 10 Mio. EUR / 2 %

Die Verletzung der Melde- und Dokumentationspflichten aus Art. 33 DSGVO fällt unter den Rahmen des Art. 83 Abs. 4 DSGVO: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen die Betroffenenrechte selbst fallen unter den höheren Rahmen des Abs. 5.

Gut zu wissen

Wichtige Hinweise

Die 72 Stunden laufen ab Kenntnis, nicht ab dem Vorfall. Wird ein Datenleck Wochen nach dem Eindringen entdeckt, beginnt die Frist erst mit der Entdeckung. Genau deshalb ist der dokumentierte Kenntniszeitpunkt so wichtig.

Melden und benachrichtigen sind zwei verschiedene Pflichten mit verschiedenen Schwellen. Die Meldung an die Behörde nach Art. 33 ist die Regel, sobald ein Risiko besteht; die Benachrichtigung der Betroffenen nach Art. 34 setzt ein hohes Risiko voraus.

Auch nicht gemeldete Vorfälle sind zu dokumentieren. Art. 33 Abs. 5 DSGVO verlangt das ausdrücklich. Die Dokumentation ist der einzige Nachweis dafür, dass die Entscheidung gegen eine Meldung auf einer Risikobewertung beruhte und nicht auf Unterlassen.

Als Betroffener müssen Sie nicht auf eine Benachrichtigung warten. Sie können jederzeit Auskunft nach Art. 15 DSGVO verlangen, kostenlos Beschwerde bei der Aufsichtsbehörde einlegen und Ansprüche nach Art. 82 DSGVO prüfen lassen.

Eine wirksame Verschlüsselung kann die Benachrichtigungspflicht entfallen lassen. Art. 34 Abs. 3 Buchst. a DSGVO stellt darauf ab, dass die Daten durch geeignete technische und organisatorische Maßnahmen für Unbefugte unzugänglich sind — der Verantwortliche muss das allerdings belegen können.

Vermeiden Sie diese Fehler

Häufige Fehler

Die Frist ab dem Vorfall statt ab der Kenntnis berechnen. Art. 33 Abs. 1 DSGVO stellt auf den Zeitpunkt ab, zu dem die Verletzung bekannt wurde.

Die Meldung aufschieben, bis der Sachverhalt vollständig aufgeklärt ist. Zulässig und vorgesehen ist die Meldung mit dem aktuellen Kenntnisstand und eine spätere Ergänzung.

Nicht melden, ohne die Risikobewertung festzuhalten. Die Ausnahme greift nur, wenn ein Risiko voraussichtlich nicht besteht — und Art. 33 Abs. 5 DSGVO verlangt die Dokumentation auch dieses Falls.

Meldung und Benachrichtigung gleichsetzen. Betroffene sind nur bei voraussichtlich hohem Risiko zu benachrichtigen; umgekehrt entbindet eine Benachrichtigung nicht von der Meldung an die Behörde.

Als Betroffener annehmen, ohne Benachrichtigung sei nichts geschehen. Die Benachrichtigungspflicht kennt Ausnahmen — eine Auskunft nach Art. 15 DSGVO klärt, ob und welche Ihrer Daten betroffen waren.

Häufig gestellte Fragen

Fragen und Antworten

Ab wann laufen die 72 Stunden?

Ab dem Zeitpunkt, zu dem dem Verantwortlichen die Verletzung bekannt wurde — nicht ab dem Vorfall selbst. Art. 33 Abs. 1 DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden nach Kenntniserlangung. Wird die Frist überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen.

Muss jede Datenpanne gemeldet werden?

Nein. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Bewertung trifft der Verantwortliche und muss sie belegen können. Unabhängig davon verlangt Art. 33 Abs. 5 DSGVO die Dokumentation auch der nicht gemeldeten Fälle.

Wann müssen die Betroffenen informiert werden?

Nach Art. 34 DSGVO nur dann, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person zur Folge hat. Die Benachrichtigung hat unverzüglich und in klarer, einfacher Sprache zu erfolgen. Abs. 3 sieht Ausnahmen vor, etwa bei wirksamer Verschlüsselung oder wenn das hohe Risiko durch nachfolgende Maßnahmen beseitigt wurde.

Ich bin von einem Datenleck betroffen — was kann ich tun?

Sie können Auskunft nach Art. 15 DSGVO verlangen, um zu erfahren, welche Ihrer Daten betroffen sind, kostenlos Beschwerde bei der zuständigen Aufsichtsbehörde einlegen und Ansprüche nach Art. 82 DSGVO prüfen. Ändern Sie außerdem betroffene Zugangsdaten und beobachten Sie Kontobewegungen. Eine Benachrichtigung durch das Unternehmen ist keine Voraussetzung dafür, selbst tätig zu werden.

Welches Bußgeld droht bei unterlassener Meldung?

Verstöße gegen Art. 33 DSGVO fallen unter Art. 83 Abs. 4 DSGVO: Geldbußen von bis zu 10 Mio. EUR oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Betroffenenrechte gilt der höhere Rahmen des Abs. 5 mit bis zu 20 Mio. EUR oder 4 %.

Was gehört in die Dokumentation nach Art. 33 Abs. 5?

Die Verletzung selbst mit allen im Zusammenhang stehenden Fakten, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen. Bei nicht gemeldeten Vorfällen gehört die Risikobewertung dazu, die zur Entscheidung gegen eine Meldung geführt hat. Die Dokumentation muss der Aufsichtsbehörde eine Überprüfung ermöglichen.

Verwandte Behördengänge

Schadensersatz (Art. 82)
Kein gesetzlicher Tarif — Einzelfall
Gerichtskosten nach Streitwert
Auskunft verlangen (Art. 15)
Welche Daten sind über Sie gespeichert?
Erste Kopie kostenlos
DSGVO-Beschwerde einlegen
Bei der Aufsichtsbehörde Ihres Bundeslandes
Kostenlos

Behördengang nicht gefunden?

Teilen Sie uns mit, welche Informationen Sie benötigen.

Anfrage senden