Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Datenpanne melden: 72-Stunden-Frist nach Art. 33 DSGVO

Kurz gesagt: Eine Verletzung des Schutzes personenbezogener Daten musst du nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Die Meldung entfällt nur, wenn die Panne voraussichtlich ein geringes Risiko für die Betroffenen bedeutet. Bei hohem Risiko musst du zusätzlich die betroffenen Personen benachrichtigen.

Stand: 03.11.2026

Was zählt als Datenpanne?

Die DSGVO spricht von einer „Verletzung des Schutzes personenbezogener Daten“. Darunter fällt alles, was zur Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten führt, ebenso die unbefugte Offenlegung oder der unbefugte Zugang zu solchen Daten. Typische Fälle aus unserem Alltag als IT-Systemhaus:

  • Ransomware verschlüsselt Server mit Kunden- oder Patientendaten. Auch ohne Datenabfluss ist das ein Verlust der Verfügbarkeit.
  • Ein Postfach wird nach einem Phishing-Angriff von Fremden gelesen.
  • Ein Laptop, USB-Stick oder Smartphone mit unverschlüsselten Daten geht verloren.
  • Eine E-Mail mit Anhang geht an den falschen Empfänger oder ein Serienbrief mit offenem Verteiler.
  • Daten werden versehentlich gelöscht und es gibt kein Backup.

Die LfD Niedersachsen stellt klar: Versehentlich gelöschte Daten sind in der Regel meldepflichtig. Ein ungeöffnet zurückgekommener Brief ist dagegen meist ein geringes Risiko.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Wann beginnt die 72-Stunden-Frist?

Die Frist läuft ab dem Zeitpunkt, an dem dir die Verletzung bekannt wird. Die Meldung muss „unverzüglich und möglichst binnen 72 Stunden“ erfolgen. Schaffst du die 72 Stunden nicht, musst du die Verzögerung in der Meldung begründen.

In der Praxis heißt das: Sobald ein Verdacht erhärtet ist, beginnt die Uhr. Warte nicht, bis die forensische Analyse abgeschlossen ist. Die DSGVO sieht eine vorläufige und schrittweise Meldung vor: Du meldest zunächst das Bekannte und ergänzst später.

Wann musst du nicht melden?

Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nur zu einem geringen Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei der Bewertung zählen Art und Umfang der Daten, also welche Daten von wie vielen Personen betroffen sind. Die LfD Niedersachsen nennt Beispiele:

  • Daten, die nach aktuellem Stand der Technik verschlüsselt waren, bedeuten in der Regel ein geringes Risiko. Geht aber die Verfügbarkeit verloren, etwa bei Diebstahl ohne Kopie, kann trotzdem eine Meldepflicht bestehen.
  • Ein verlorener USB-Stick mit schwachem Zugriffsschutz ist eher ein mittleres Risiko.
  • Ein Brief mit falscher Anlage, der nur Namen enthält, ist eher gering. Enthält er Anschriften oder Bankverbindungen, besteht Meldepflicht.

Im Zweifel melden. Eine Meldung, die sich als unnötig herausstellt, hat keine Nachteile. Eine unterlassene Meldung schon.

Wie meldest du eine Datenpanne?

  1. Vorfall eindämmen: Betroffene Systeme vom Netz trennen, Passwörter ändern, Zugänge sperren. Nichts löschen, damit Spuren erhalten bleiben.
  2. Sachverhalt klären: Welche Daten, wie viele Personen, wie ist es passiert, seit wann, was wurde bereits getan.
  3. Risiko bewerten: Können die Betroffenen Schaden erleiden, etwa durch Identitätsmissbrauch, finanziellen Verlust oder Rufschädigung?
  4. Datenschutzbeauftragten einbinden, falls vorhanden.
  5. Meldung einreichen: Die Aufsichtsbehörden stellen Online-Formulare bereit. Für Niedersachsen ist das die Landesbeauftragte für den Datenschutz in Hannover. Das Formular führt durch die erforderlichen Angaben.
  6. Betroffene benachrichtigen, wenn ein hohes Risiko besteht (siehe unten).
  7. Alles dokumentieren: Vorfall, Bewertung, Maßnahmen und Meldung schriftlich festhalten, auch wenn du dich gegen eine Meldung entscheidest.

Wann musst du die Betroffenen informieren?

Nach Art. 34 DSGVO musst du die betroffenen Personen benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für sie bedeutet, also wenn mit erheblichen Konsequenzen zu rechnen ist. Eine praktische Prüffrage der LfD Niedersachsen: Können die Betroffenen selbst etwas tun, um ihr Risiko zu senken, etwa ein Passwort ändern oder eine Kreditkarte sperren? Wenn ja, solltest du in der Regel benachrichtigen.

Das hohe Risiko kann entfallen, wenn etwa alle Empfänger glaubhaft versichern, dass sie die Unterlagen vernichtet oder ungeöffnet zurückgegeben haben.

Was gilt für IT-Dienstleister und Auftragsverarbeiter?

Verarbeitet ein Dienstleister Daten in deinem Auftrag, etwa ein Hoster oder ein Systemhaus mit Fernzugriff, muss er dir eine Datenpanne nach Art. 33 Abs. 2 DSGVO melden. Die Meldung an die Aufsichtsbehörde bleibt aber deine Aufgabe als Verantwortlicher. Deshalb sollten Auftragsverarbeitungsverträge klare Meldewege und Erreichbarkeiten enthalten.

Wer irrtümlich eine E-Mail, ein Fax oder einen Brief mit fremden Daten erhält, wird dadurch nicht zum Verantwortlichen und muss nicht melden. Die Unterlagen sollten vernichtet oder ungeöffnet zurückgegeben werden.

So unterstützen wir dich

Bei einem Hackerangriff zählt jede Stunde. Wir trennen betroffene Systeme, sichern Spuren, stellen aus dem Backup wieder her und liefern dir die technischen Fakten, die du für die Meldung an die Aufsichtsbehörde brauchst. Vor Ort in Osnabrück und Umgebung, entfernter per Fernwartung. Mehr auf unserer Seite zur Soforthilfe bei einem Hackerangriff.

Häufige Fragen

Zählt ein Ransomware-Angriff auch ohne Datendiebstahl als Datenpanne?

Ja. Der Verlust der Verfügbarkeit ist eine Verletzung des Schutzes personenbezogener Daten. Ob eine Meldung nötig ist, hängt vom Risiko ab, in der Regel ist sie es.

Was passiert, wenn ich die 72 Stunden verpasse?

Dann meldest du trotzdem und begründest die Verzögerung in der Meldung. Gar nicht zu melden ist die schlechtere Option.

Wo melde ich in Niedersachsen?

Bei der Landesbeauftragten für den Datenschutz Niedersachsen in Hannover. Sie stellt dafür ein Online-Formular bereit.

Muss ich auch melden, wenn die Daten verschlüsselt waren?

Bei Verschlüsselung nach Stand der Technik ist das Risiko meist gering und die Meldung entfällt. Sind die Daten aber dauerhaft weg und es gibt keine Kopie, kann trotzdem eine Meldepflicht bestehen.

Quellen