Datenpanne: die 72-Stunden-Meldung, was jetzt zu tun ist

Kurz beantwortet: Wird Ihnen eine meldepflichtige Datenpanne bekannt, müssen Sie diese als Verantwortlicher unverzüglich, möglichst binnen 72 Stunden, der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO). Als Auftragsverarbeiter, die typische Rolle eines SaaS-Anbieters, informieren Sie stattdessen unverzüglich Ihren Kunden, damit dieser seine eigene Frist einhalten kann.

Was zählt als meldepflichtige Datenpanne?

Eine Verletzung des Schutzes personenbezogener Daten liegt vor, sobald Vertraulichkeit, Integrität oder Verfügbarkeit dieser Daten verletzt wird: ein gehacktes Konto, ein Fehlversand an den falschen Empfänger, ein verlorenes Gerät ohne Verschlüsselung, ein Systemausfall ohne Backup. Meldepflichtig ist sie grundsätzlich immer. Die Meldung entfällt nach Art. 33 Abs. 1 DSGVO nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt; diese Einschätzung sollten Sie dokumentieren.

Wie läuft die 72-Stunden-Meldung konkret ab?

Sobald die Verletzung bekannt wird, beginnt die Frist zu laufen. Der folgende Ablauf gilt für Verantwortliche und lässt sich unmittelbar als Checkliste verwenden.

1. Kenntnisnahme dokumentieren. Zeitpunkt, Quelle und ersten Befund schriftlich festhalten, denn ab hier läuft die Frist (Art. 33 Abs. 1 DSGVO). Betrifft der Vorfall zusätzlich Netz- und Informationssysteme, kann parallel eine NIS2-Meldepflicht mit eigener Frist laufen, dazu der Beitrag zu NIS2 für Softwareunternehmen. Sind Sie Hersteller eines Produkts mit digitalen Elementen, kann zudem seit dem 11. September 2026 eine Meldepflicht nach Art. 14 Cyber Resilience Act (Verordnung (EU) 2024/2847) mit Frühwarnung binnen 24 Stunden bestehen, dazu der Beitrag zur CRA-Meldepflicht.
2. Risiko bewerten. Welche Daten sind betroffen, wie viele Personen, wie hoch ist das Risiko für deren Rechte und Freiheiten? Diese Einordnung entscheidet über die Meldepflicht.
3. Verantwortlichkeit klären. Sind Sie selbst Verantwortlicher, melden Sie direkt. Sind Sie Auftragsverarbeiter, informieren Sie stattdessen unverzüglich Ihren Kunden (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist wahren kann.
4. Meldung an die Aufsichtsbehörde vorbereiten. Art der Verletzung, betroffene Kategorien und ungefähre Anzahl der Personen, Namen und Kontaktdaten der Ansprechperson, wahrscheinliche Folgen, ergriffene und geplante Abhilfemaßnahmen (Art. 33 Abs. 3 DSGVO).
5. Fristgerecht melden oder Verzögerung begründen. Binnen 72 Stunden nach Kenntnisnahme bei der zuständigen Behörde einreichen. Ist das nicht möglich, kann die Meldung stufenweise erfolgen, dann ist die Verzögerung zu begründen.
6. Betroffene prüfen und gegebenenfalls informieren. Bei voraussichtlich hohem Risiko zusätzlich die betroffenen Personen unverzüglich benachrichtigen (Art. 34 DSGVO), siehe unten.
7. Alles dokumentieren. Fakten, Auswirkungen und ergriffene Maßnahmen festhalten, unabhängig davon, ob gemeldet wurde (Art. 33 Abs. 5 DSGVO).

Wann müssen auch die Betroffenen informiert werden?

Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge, müssen Sie zusätzlich die betroffenen Personen unverzüglich benachrichtigen (Art. 34 DSGVO), in klarer, einfacher Sprache. Diese Benachrichtigung ist ausnahmsweise entbehrlich, wenn die Daten etwa durch Verschlüsselung geschützt waren, das hohe Risiko durch nachträgliche Maßnahmen beseitigt wurde oder die Einzelbenachrichtigung unverhältnismäßig wäre, dann genügt eine öffentliche Bekanntmachung. Mit der Benachrichtigung erfahren Betroffene zugleich von einem möglichen Anspruch; welche Voraussetzungen der Schadensersatz hat, ordnet der Beitrag zum DSGVO-Schadensersatz ein.

Was passiert, wenn Sie als SaaS-Anbieter Auftragsverarbeiter sind?

Wird Ihnen als SaaS-Anbieter eine Verletzung bekannt, treffen Sie nicht selbst die Meldepflicht gegenüber der Aufsichtsbehörde. Sie müssen Ihren Kunden, den Verantwortlichen, unverzüglich informieren (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist einhalten kann. Wie diese Pflicht vertraglich in der AVV verankert wird, ordnet der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO ein.

Wie bereiten Sie sich auf den Ernstfall vor?

Der entscheidende Fehler ist, den Prozess erst im Ernstfall zu erfinden. Legen Sie vorab fest: Wer bewertet die Verletzung, wer entscheidet über die Meldung, wer meldet, und wie wird dokumentiert. Ein vorbereiteter Datenpannen-Prozess mit Meldevorlage ist der Unterschied zwischen einer kontrollierten Meldung und drei Tagen Chaos. Welche technischen und organisatorischen Maßnahmen das Risiko einer Datenpanne von vornherein senken, zeigt der Beitrag zu TOMs für Softwareunternehmen.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Online-Terminbuchung für Friseursalons mit rund 35 Mitarbeitenden bekommt von einer Salonkette einen Datenschutzfragebogen. Gefragt wird, wie schnell die Kette bei einer Datenpanne informiert wird. Eine feste Antwort gibt es intern nicht. Zu klären ist zuerst die Rolle. Für die Termindaten der Salonkunden ist der Anbieter Auftragsverarbeiter und muss die Kette unverzüglich informieren, damit sie ihre eigene Frist wahren kann. Für eigene Daten, etwa Vertragsdaten der Salons oder Bewerbungen, ist er selbst Verantwortlicher.

Danach trennen sich die Wege. Betrifft ein Vorfall Termindaten, endet der Ablauf mit einer vollständigen Information an den jeweiligen Salonbetreiber. Betrifft er eigene Daten, bewertet der Anbieter das Risiko und meldet unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich zu keinem Risiko; bei voraussichtlich hohem Risiko werden auch die Betroffenen benachrichtigt. Dokumentiert wird in jedem Fall. Eine Übung mit einem Fehlversand prüft, ob Zuständigkeiten und Meldevorlage sitzen. Am Ende stehen ein Notfallplan und eine Antwort für den Fragebogen. Wie dieser Ablauf vorab festgelegt wird, zeigt das Rechtssystem.

Häufige Fragen

Ab wann läuft die 72-Stunden-Frist?

Die Frist beginnt zu laufen, sobald Ihnen die Verletzung bekannt wird. Ab diesem Zeitpunkt sollten Sie Kenntnisnahme, Quelle und ersten Befund schriftlich festhalten, denn daran knüpft die Meldung nach Art. 33 Abs. 1 DSGVO an.

Was gehört in die Meldung an die Aufsichtsbehörde?

Die Meldung nach Art. 33 Abs. 3 DSGVO umfasst die Art der Verletzung, die betroffenen Kategorien und die ungefähre Anzahl der Personen, Namen und Kontaktdaten der Ansprechperson, die wahrscheinlichen Folgen sowie die ergriffenen und geplanten Abhilfemaßnahmen. Ist die 72-Stunden-Frist nicht zu halten, kann die Meldung stufenweise erfolgen, dann ist die Verzögerung zu begründen.

Was gilt, wenn Sie als SaaS-Anbieter Auftragsverarbeiter sind?

Als Auftragsverarbeiter trifft Sie nicht selbst die Meldepflicht gegenüber der Aufsichtsbehörde. Sie müssen Ihren Kunden, den Verantwortlichen, unverzüglich informieren (Art. 33 Abs. 2 DSGVO), damit dieser seine eigene 72-Stunden-Frist einhalten kann.

Wann müssen die betroffenen Personen benachrichtigt werden?

Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge, müssen Sie diese zusätzlich unverzüglich in klarer, einfacher Sprache benachrichtigen (Art. 34 DSGVO). Die Benachrichtigung ist ausnahmsweise entbehrlich, etwa wenn die Daten durch Verschlüsselung geschützt waren oder das hohe Risiko durch nachträgliche Maßnahmen beseitigt wurde.

Ob bei einer Datenpanne jemand weiß, wer meldet und wer die Kunden informiert, zeigt sich erst im Ernstfall, und dann zählt jede Stunde. Im Rechtssystem entsteht eine Datenschutzorganisation mit Zuständigkeiten und Eskalationsweg, die Ihr Team vorher kennt. Rechtssystem: den Ablauf bei Datenpannen vorher festlegen

Sie wollen einen belastbaren Datenpannen-Prozess für Ihr Unternehmen, bevor Sie ihn brauchen? In einem 60-minütigen Strategiegespräch setzen wir die Grundlage. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen