Datenpannenmeldung 72h: das genaue Verfahren (Art. 33 + 34 DSGVO)

Eine Datenpanne erzeugt zwei getrennte Pflichten mit zwei verschiedenen Schwellen und zwei verschiedenen Adressaten. Wer beide zusammenwirft, meldet entweder zu viel an die falsche Stelle oder informiert Betroffene zu spät.

1. Art. 33 + 34 DSGVO

Art. 33 und Art. 34 DSGVO regeln zwei getrennte Meldewege: Art. 33 die Meldung an die Aufsichtsbehörde ab der Schwelle "Risiko", Art. 34 die Benachrichtigung der betroffenen Personen ab der höheren Schwelle "hohes Risiko".

"Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche diese unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen." — Art. 33 Abs. 1 DSGVO

Zwei Stufen:

• Art. 33: Meldung an die Aufsichtsbehörde (immer bei Risiko) — die Verspätung hebt die Meldepflicht nicht auf, die Meldung erfolgt dann mit Begründung für die Verzögerung.
• Art. 34: Information an Betroffene (nur bei hohem Risiko) — unverzüglich und in klarer und einfacher Sprache, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat.

Beide Artikel gelten in Deutschland und Österreich unverändert; unterschiedlich ist der nationale Überbau: die zuständige Behörde, die ergänzenden Straf- und Verwaltungsstrafnormen und die Verwarnungspraxis. Diese Unterschiede stehen in Abschnitt 4 und Abschnitt 9.

2. Wann ist Meldung Pflicht?

Meldepflicht besteht immer dann, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt — die Meldung entfällt nur im umgekehrten Fall, dass ein solches Risiko voraussichtlich nicht entsteht (Art. 33 Abs. 1 DSGVO).

Entscheidend ist, die beiden Schwellen sauber auseinanderzuhalten. Die DSGVO benutzt "Risiko" und "hohes Risiko" nicht synonym: Art. 33 Abs. 1 DSGVO stellt auf ein Risiko ab, Art. 34 Abs. 1 DSGVO auf ein hohes Risiko. Für die Fallbewertung heißt das: Erst prüfen Sie, ob überhaupt ein Risiko entsteht (Meldung ja/nein), dann getrennt davon, ob es hoch ist (Benachrichtigung ja/nein).

Praxisempfehlung für die Einstufung: Arbeiten Sie den Fall entlang von vier Fragen ab — welche Datenarten sind betroffen (besondere Kategorien nach Art. 9 Abs. 1 DSGVO — Gesundheitsdaten, genetische und biometrische Daten zur eindeutigen Identifizierung; warum bei ihnen ein hohes Risiko naheliegt: Abschnitt 5), wie viele Personen, wie leicht sind die Daten missbräuchlich verwendbar, und greifen technische Schutzmaßnahmen wie Verschlüsselung. Halten Sie die Antworten schriftlich fest — sie sind später die Begründung im Dokumentationsregister (Abschnitt 6).

Die folgende Einordnung ist eine Praxis-Orientierung, keine gesetzliche Kategorisierung; maßgeblich bleibt die Bewertung des Einzelfalls nach Art. 33 Abs. 1 und Art. 34 Abs. 1 DSGVO. Die Spalte "Ausschlaggebend" nennt jeweils das Merkmal, an dem die Einordnung hängt.

3. 72h-Ablauf-Plan

Der Ablauf gliedert sich in fünf Etappen — Erkennung und Krisenstab (0-2h), Eindämmung und erste Forensik (2-8h), Klassifizierung (8-24h), Meldungsentwurf (24-48h), Versand und Nachweis (48-72h); Fristanker ist allein die Kenntnis nach Art. 33 Abs. 1 DSGVO. Die Etappen sind Praxis-Taktung dieses Artikels; das Gesetz nennt nur "unverzüglich und möglichst binnen 72 Stunden" ab dem Zeitpunkt, zu dem dem Verantwortlichen die Verletzung bekannt wurde.

Maßgeblich ist die Kenntnis, nicht der Abschluss der Forensik und nicht die Entscheidung der Geschäftsführung. Der Wortlaut nennt 72 Stunden, keine Werktage. Praxisempfehlung: Regeln Sie die Erreichbarkeit von IT, Datenschutzbeauftragtem und Geschäftsleitung so, dass eine Freitagabend erkannte Verletzung nicht erst am Montag bewertet wird, und dokumentieren Sie den Kenntniszeitpunkt minutengenau — er entscheidet später darüber, ob eine Begründung für die Verzögerung beizufügen ist.

Rolle des Datenschutzbeauftragten: Der Datenschutzbeauftragte unterrichtet und berät den Verantwortlichen, überwacht die Einhaltung der DSGVO, berät bei der Datenschutz-Folgenabschätzung, arbeitet mit der Aufsichtsbehörde zusammen und ist deren Anlaufstelle (Art. 39 Abs. 1 lit. a bis e DSGVO); Anlaufstelle für betroffene Personen ist er nach Art. 38 Abs. 4 DSGVO. Deshalb steht er in der Tabelle bei Klassifizierung, Entwurf und Versand — nicht als Entscheider über die Meldung, sondern als beratende und überwachende Instanz.

Praxisempfehlung für Dienstleister: Legen Sie Melde- und Informationswege mit Ihren Auftragsverarbeitern vertraglich fest. Art. 28 Abs. 1 DSGVO erlaubt ohnehin nur die Zusammenarbeit mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; der Vertrag nach Art. 28 Abs. 3 DSGVO legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen fest.

4. Meldung an Aufsichtsbehörde

Die Meldung geht an die für Sie zuständige Aufsichtsbehörde — in Deutschland für Unternehmen an die nach Landesrecht zuständige Behörde, in Österreich an die Datenschutzbehörde — und enthält die Pflicht-Angaben des Art. 33 Abs. 3.

Pflicht-Inhalte (Art. 33 Abs. 3):

1. Beschreibung der Verletzung (Art, Umstände)
2. Ungefähre Zahl betroffener Personen + Datensätze
3. Datenkategorien
4. Voraussichtliche Folgen
5. Maßnahmen zur Behebung
6. Maßnahmen zur Schadensminderung
7. Kontaktdaten Datenschutzbeauftragte(r) / Verantwortlicher

Praxisempfehlung: Legen Sie vorab fest, aus welcher internen Quelle jede dieser sieben Angaben kommt — die Zahl betroffener Personen aus der Datenbank-Auswertung, die Datenkategorien aus dem Verarbeitungsverzeichnis, die Kontaktdaten aus der Bestellungsdokumentation des Datenschutzbeauftragten. Wer diese Zuordnung erst im Vorfall klärt, verliert Stunden, die von den 72 fehlen.

Praxisempfehlung: Klären Sie vor dem Ernstfall, welche Landesbehörde für Sie zuständig ist, und hinterlegen Sie Portal-URL, Telefonnummer und das benötigte Formular im Notfallplan — im Vorfall kostet die Suche nach der richtigen Stelle sonst Zeit, die von den 72 Stunden fehlt.

Meldeportale (Beispiele):

• Beispiel Bayern: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), lda.bayern.de — zuständig für nichtöffentliche Stellen. Der Bayerische Landesbeauftragte für den Datenschutz (datenschutz-bayern.de) ist demgegenüber für den öffentlichen Bereich zuständig.
• BfDI: bfdi.bund.de/datenpannen — nur für öffentliche Stellen des Bundes sowie bestimmte Anbieter von Telekommunikationsdiensten (§ 9 Abs. 1 BDSG), nicht für Unternehmen allgemein.
• Österreich: Art. 33 DSGVO gilt wortgleich; zuständig ist die Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO (§ 18 Abs. 1 DSG) — dsb.gv.at. Die Meldung geht dort also nicht an den BfDI oder eine deutsche Landesbehörde; Art. 34 DSGVO (Betroffenen-Information) gilt ebenfalls unverändert. Ergänzend zu Art. 83 DSGVO sieht § 62 Abs. 1 DSG nationale Verwaltungsstrafen bis zu 50.000 EUR vor (z.B. vorsätzlich widerrechtlicher Zugang zu einer Datenverarbeitung); zuständig für diese Entscheidungen ist ebenfalls die Datenschutzbehörde (§ 62 Abs. 5 DSG).

Österreich-Besonderheit: § 11 DSG sieht eine verhältnismäßige Anwendung des Art. 83 DSGVO vor — insbesondere bei erstmaligen Verstößen eine Verwarnung durch die Datenschutzbehörde statt einer Geldbuße. Das ändert nichts an der Meldepflicht selbst, wohl aber an der Erwartung, wie ein erstmaliger, sauber dokumentierter Vorfall behandelt wird.

5. Art. 34: Betroffenen-Information

Betroffene sind zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat — typischerweise bei Gesundheits-, Finanz- oder Identitätsdaten, unverzüglich und in klarer und einfacher Sprache (Art. 34 Abs. 1 DSGVO).

Gesundheitsdaten, genetische und biometrische Daten zur eindeutigen Identifizierung gehören zu den besonderen Kategorien nach Art. 9 Abs. 1 DSGVO, deren Verarbeitung grundsätzlich untersagt ist — bei ihnen liegt die Annahme eines hohen Risikos entsprechend nahe.

Pflicht-Inhalte:

• Klare Beschreibung der Verletzung in einfacher Sprache
• Kontaktdaten Datenschutzbeauftragte(r)
• Voraussichtliche Folgen
• Maßnahmen zur Schadensminderung
• Empfehlungen an die betroffene Person, wie sie den Schaden begrenzen kann (Passwort ändern, Bank informieren, Konto überwachen)

Ausnahmen Art. 34 Abs. 3: Art. 34 Abs. 3 DSGVO nennt drei Fälle, in denen die Benachrichtigung nicht erforderlich ist; sie greifen nur, wenn ihre Voraussetzungen tatsächlich vorliegen:

• Verschlüsselung war wirksam (Schlüssel nicht mitkompromittiert) — die Norm verlangt, dass geeignete technische und organisatorische Schutzmaßnahmen, insbesondere Verschlüsselung, angewandt wurden.
• Maßnahmen wirksam Risiko abgewendet — das hohe Risiko besteht durch nachfolgende Maßnahmen nicht mehr.
• Unverhältnismäßiger Aufwand → öffentliche Information stattdessen — die Benachrichtigung wird durch eine öffentliche Bekanntmachung ersetzt, nicht ersatzlos gestrichen.

Praxisempfehlung: Dokumentieren Sie bei jeder herangezogenen Ausnahme, welche der drei Voraussetzungen Sie annehmen und woraus sich das ergibt — bei Verschlüsselung etwa Verfahren, Schlüsselverwaltung und der Nachweis, dass der Schlüssel nicht mit abgeflossen ist. Diese Begründung gehört in dieselbe Akte wie die Meldeentscheidung nach Art. 33 (Abschnitt 6).

6. Pflicht-Dokumentation (Art. 33 Abs. 5)

Jede Datenpanne ist zu dokumentieren, auch die nicht meldepflichtige (Art. 33 Abs. 5 DSGVO). Die Dokumentation ist der Nachweis, dass eine unterbliebene Meldung eine begründete Entscheidung war und keine Unterlassung.

• Datum + Zeitpunkt Eintritt + Kenntnisnahme — der Kenntniszeitpunkt ist der Fristanker des Art. 33 Abs. 1 DSGVO; halten Sie zusätzlich fest, wer wann wovon erfahren hat.
• Detaillierte Beschreibung — Art und Umstände, betroffene Systeme, Datenkategorien und die ungefähre Zahl betroffener Personen und Datensätze; dieselben Angaben braucht die Meldung nach Art. 33 Abs. 3.
• Folgen + Risikoabschätzung — beide Schwellen getrennt bewerten: Risiko (Art. 33 Abs. 1 DSGVO) und hohes Risiko (Art. 34 Abs. 1 DSGVO). Empfehlenswert: besondere Kategorien nach Art. 9 Abs. 1 DSGVO gesondert ausweisen.
• Maßnahmen — Eindämmung, Behebung und Schadensminderung, jeweils mit Zeitstempel und Verantwortlichem; empfehlenswert bei herangezogener Ausnahme zusätzlich die Begründung nach Art. 34 Abs. 3 DSGVO (Abschnitt 5).
• Begründung, falls keine Meldung erfolgt ist — das ist der Kern des Registers: Die Entscheidung gegen eine Meldung muss nachvollziehbar sein und gehört zum Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

In der Praxis wird der Pannen-Fall an Ihrem Verarbeitungsverzeichnis gemessen — Widersprüche fallen dort auf; die Prüfreihenfolge der Aufsicht steht in der FAQ unter "Was prüft die Aufsicht nach einer gemeldeten Panne?".

Praxis-Rhythmus (Empfehlung, keine gesetzliche Frist): Werten Sie das Register mindestens jährlich aus und nach jedem meldepflichtigen Vorfall zusätzlich — Häufungen an einer Stelle sind der beste Hinweis darauf, welche technische oder organisatorische Maßnahme als Nächstes fällig ist.

7. 8 Praxisfälle

Die acht Fälle sind typisierte Praxisbeispiele: Sie zeigen, wie sich die beiden Schwellen aus Abschnitt 2 auf die Reaktion auswirken — vom dokumentierten Verzicht auf eine Meldung bis zur Benachrichtigung nach Art. 34 DSGVO, und auch der reine Datenverlust ohne Abfluss wird auf ein Risiko geprüft. Die Spalte "Ausschlaggebend" nennt jeweils das Merkmal, an dem die Einordnung hängt; über Ausgang und Höhe eines Bußgelds treffen die Beispiele keine Aussage — den gesetzlichen Rahmen nennt Abschnitt 9.

8. Wenn parallel NIS2 greift: zwei Meldewege

Fällt Ihr Unternehmen unter das NIS2-Regime, kann derselbe Vorfall zwei Meldeketten gleichzeitig auslösen: die 72-Stunden-Meldung an die Datenschutz-Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO und die gestufte Meldung eines erheblichen Sicherheitsvorfalls an die Cybersicherheits-Meldestelle.

Wer betroffen ist (Deutschland): Als besonders wichtige Einrichtung gelten Betreiber kritischer Anlagen sowie — unabhängig von den Größenschwellen — qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Anbieter von Telekommunikationsdiensten; hinzu kommen sonstige Einrichtungen einer in Anlage 1 BSIG bestimmten Art mit mindestens 250 Mitarbeitern oder über 50 Mio. EUR Jahresumsatz und zugleich über 43 Mio. EUR Jahresbilanzsumme. Wichtige Einrichtungen sind Vertrauensdiensteanbieter und bestimmte kleinere Anbieter von Telekommunikationsdiensten — diese unabhängig von den Größenschwellen — sowie, wer eine Art nach Anlage 1 oder Anlage 2 BSIG betreibt und mindestens 50 Mitarbeiter beschäftigt oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist, soweit die Einrichtung nicht bereits besonders wichtige Einrichtung ist (§ 28 Abs. 1 und 2 BSIG). Österreich: Die entsprechenden Einstufungen stehen in § 24 und § 25 NISG 2026 (BGBl. I Nr. 94/2025); die AT-Pflichten sind ab dem 01.10.2026 anwendbar.

Auslöser der NIS2-Meldung ist ein erheblicher Sicherheitsvorfall. In Deutschland ist das ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG; eine Rechtsverordnung nach § 56 Abs. 5 BSIG kann die Begriffsbestimmung konkretisieren). In Österreich gilt ein Cybersicherheitsvorfall als erheblich, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste der Einrichtung oder schwerwiegende finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1 NISG 2026, anwendbar ab 01.10.2026). Diese Schwelle ist eine andere als die des Art. 33 Abs. 1 DSGVO — ein Vorfall kann die eine erfüllen und die andere nicht.

Alle Fristen der folgenden Tabelle sind gesetzliche Fristen.

Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung bzw. ein Fortschrittsbericht an die Stelle des Abschlusses; in Deutschland ist die Abschlussmeldung nach abschließender Bearbeitung vorzulegen (§ 32 Abs. 1 BSIG), in Österreich der Abschlussbericht binnen eines Monats nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5 NISG 2026, anwendbar ab 01.10.2026). Eine Zwischenmeldung verlangt § 32 Abs. 1 Nr. 3 BSIG nur auf Ersuchen. Praxisempfehlung: Führen Sie eine gemeinsame Vorfall-Akte für beide Meldewege, aber getrennte Bewertungsfelder — die Schwellen, die Adressaten und die Fristen unterscheiden sich, die Sachverhaltsaufnahme nicht.

9. Sanktionsrahmen bei Verstößen gegen Art. 33 und 34

Verstöße gegen die Melde- und Benachrichtigungspflichten fallen in den Bußgeldrahmen des Art. 83 Abs. 4 DSGVO — bis zu 10.000.000 EUR oder bei einem Unternehmen bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist; der Katalog dieses Absatzes erfasst unter anderem die Art. 25 bis 39 DSGVO, zu denen Art. 33 und Art. 34 gehören.

Der höhere Rahmen des Art. 83 Abs. 5 DSGVO — bis zu 20.000.000 EUR oder bis zu 4 % des weltweiten Jahresumsatzes — gilt für andere Verstoßtypen: Verstöße gegen die Grundsätze der Verarbeitung und die Einwilligungsbedingungen (Art. 5, 6, 7, 9 DSGVO) sowie gegen die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO). Beides kann denselben Vorfall betreffen, wenn die Panne auf einem Verarbeitungsmangel beruht — die Zuordnung folgt dem Verstoßtyp, nicht dem Ereignis.

Zeile 1 nennt den für Verstöße gegen Art. 33 und Art. 34 DSGVO einschlägigen Rahmen, Zeile 2 grenzt den höheren Rahmen für andere Verstoßtypen davon ab, die Zeilen 3 und 4 nennen die nationalen Zusatznormen; die beiden letzten Zeilen betreffen nicht Art. 33/34 DSGVO, sondern die parallelen NIS2-Pflichten aus Abschnitt 8.

Zur österreichischen Verwarnungspraxis siehe Abschnitt 4.