Art. 33 DSGVO verlangt die Meldung einer Datenpanne innerhalb von 72 Stunden an die Aufsichtsbehörde. Wie das Verfahren abläuft, wann auch Betroffene informiert werden müssen und wie CERTISCAN den Prozess über das HinSchG-Modul unterstützt.
Eine Datenpanne kann jedes Unternehmen treffen – vom verlorenen USB-Stick bis zum Ransomware-Angriff. Art. 33 DSGVO schreibt vor, dass die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informiert werden muss. Wer die Frist versäumt, riskiert Bußgelder bis zu 10 Mio. EUR. CERTISCAN unterstützt Unternehmen mit dem integrierten HinSchG-Modul bei der internen Erstmeldung und lückenlosen Dokumentation von Datenschutzvorfällen.
Art. 4 Nr. 12 DSGVO definiert eine Verletzung des Schutzes personenbezogener Daten als eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Entscheidend ist nicht, ob ein Schaden eingetreten ist, sondern ob ein Risiko besteht.
Jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 4 Nr. 12 DSGVO: unbefugter Zugang, Verlust, Vernichtung oder Veränderung. Beispiele sind verlorene Laptops mit Kundendaten, fehlgeleitete E-Mails mit Personaldaten oder Ransomware-Angriffe.
Die Frist beginnt ab Kenntnis der Verletzung (Art. 33 Abs. 1 DSGVO). Kenntnis liegt vor, sobald ein Mitarbeiter die Panne entdeckt und der Datenschutzbeauftragte informiert ist. Wochenenden und Feiertage zählen mit. Bei verspäteter Meldung muss die Verzögerung begründet werden.
Laut dem Tätigkeitsbericht der Datenschutzkonferenz wurden 2025 allein in Deutschland über 26.000 Datenpannen gemeldet. Die Dunkelziffer liegt deutlich höher.
Die Frist beginnt ab Kenntniserlangung – nicht ab dem Zeitpunkt des Vorfalls selbst. Kenntnis liegt vor, sobald der Verantwortliche (in der Regel der Datenschutzbeauftragte) ausreichend Gewissheit hat, dass eine Verletzung stattgefunden hat.
Beispiel: Ein Mitarbeiter verliert am Freitag einen Laptop. Am Montag meldet er es seinem Vorgesetzten. Am Dienstag um 10:00 Uhr informiert der Vorgesetzte den DSB. Die 72-Stunden-Frist beginnt am Dienstag um 10:00 Uhr.
Die Meldung an die Aufsichtsbehörde muss nach Art. 33 Abs. 3 DSGVO mindestens enthalten:
Ist die Meldung nach 72 Stunden noch nicht möglich (z. B. weil das Ausmaß noch unklar ist), muss sie unverzüglich nachgeholt werden. Die Gründe für die Verzögerung müssen dokumentiert werden. Eine stufenweise Meldung ist ausdrücklich zulässig.
Nicht jede Datenpanne ist meldepflichtig. Art. 33 Abs. 1 DSGVO enthält eine Ausnahme: Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
| Faktor | Kein Risiko (keine Meldepflicht) | Risiko (Meldung an Aufsichtsbehörde) | Hohes Risiko (+ Benachrichtigung Betroffener) |
|---|---|---|---|
| Datenkategorie | Pseudonymisierte interne IDs | Name, E-Mail, Telefon | Gesundheitsdaten, Bankdaten, Passwörter |
| Verschlüsselung | Vollverschlüsselt (AES-256) | Teilweise verschlüsselt | Unverschlüsselt |
| Betroffene Anzahl | 1-2 Personen, intern | 10-100 Personen | 1.000+ Personen oder besondere Kategorien |
| Zugangswahrscheinlichkeit | Gerät remote gelöscht | Unklar, ob Zugriff erfolgte | Daten wurden nachweislich abgerufen |
| Schadensausmaß | Minimal | Identitätsdiebstahl möglich | Diskriminierung, finanzielle Verluste |
Praxistipp: Im Zweifel melden. Die Aufsichtsbehörden bewerten eine proaktive Meldung positiv, auch wenn sich nachträglich herausstellt, dass kein Risiko bestand. Das Verschweigen einer meldepflichtigen Panne hingegen wird als erschwerender Umstand gewertet.
Zusätzlich zur Behördenmeldung verlangt Art. 34 DSGVO die Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.
Die Benachrichtigung muss enthalten:
Die Benachrichtigung kann unterbleiben, wenn:
Jedes Bundesland hat eine eigene Datenschutzaufsichtsbehörde (LDI). Zuständig ist die Behörde am Sitz des Verantwortlichen (Hauptniederlassung).
| Schwere der Panne | Reaktion der Behörde | Typische Dauer |
|---|---|---|
| Gering (z. B. fehlgeleitete E-Mail) | Kenntnisnahme, keine weitere Aktion | 1-2 Wochen |
| Mittel (z. B. unbefugter Zugriff auf Kundendaten) | Rückfragen, Prüfung der Maßnahmen | 2-6 Wochen |
| Schwer (z. B. Datenleck mit Gesundheitsdaten) | Vor-Ort-Prüfung möglich, Anordnungen | 1-6 Monate |
Unabhängig von der Meldepflicht an die Behörde müssen alle Datenpannen intern dokumentiert werden – auch solche, die kein Risiko darstellen. Die Dokumentation muss umfassen:
Diese Dokumentation muss der Aufsichtsbehörde auf Verlangen vorgelegt werden können. Fehlende Dokumentation ist ein eigenständiger Bußgeldtatbestand.
Das HinSchG-Modul von CERTISCAN eignet sich hervorragend als interner Meldekanal für Datenschutzvorfälle:
CERTISCAN erfüllt dabei die Anforderungen des Hinweisgeberschutzgesetzes (HinSchG), das seit Juli 2023 auch für Unternehmen ab 50 Mitarbeitern eine interne Meldestelle vorschreibt. Ein einziger Kanal für Whistleblowing und Datenschutzvorfälle spart Kosten und vereinfacht die Prozesse.
| Verstoß | Bußgeldrahmen | Beispiel aus der Praxis |
|---|---|---|
| Verspätete Meldung an Behörde | Bis 10 Mio. EUR / 2 % Umsatz | Deutsche Wohnen: 14,5 Mio. EUR (2019) |
| Keine Meldung trotz Risiko | Bis 10 Mio. EUR / 2 % Umsatz | 1&1: 9,55 Mio. EUR (2019) |
| Fehlende Dokumentation | Bis 10 Mio. EUR / 2 % Umsatz | H&M: 35,3 Mio. EUR (2020, Hamburg) |
Die beste Meldung ist die, die nie nötig wird. Technische und organisatorische Maßnahmen (TOMs) reduzieren das Risiko erheblich:
CERTISCAN setzt diese Prinzipien selbst um: Alle Daten werden in Deutschland bei Hetzner Cloud gehostet, mit AES-256 verschlüsselt und durch den WORM-Audit-Trail revisionssicher dokumentiert. Der EU Data Act Export ermöglicht jederzeit die vollständige Datenportabilität.
Die 72-Stunden-Frist lässt wenig Raum für Improvisation. Wer keinen dokumentierten Prozess hat, wird im Ernstfall die Frist reißen – und ein Bußgeld riskieren. Ein internes Meldesystem wie CERTISCAN sorgt dafür, dass Vorfälle sofort erfasst, bewertet und fristgerecht gemeldet werden können.
Nach Art. 34 DSGVO müssen betroffene Personen informiert werden, wenn die Datenpanne voraussichtlich ein hohes Risiko für deren persönliche Rechte und Freiheiten darstellt – etwa bei Offenlegung von Gesundheitsdaten, Bankdaten oder Passwörtern.
Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO. Bei vorsätzlichem Verschweigen bis zu 20 Mio. EUR oder 4 % nach Art. 83 Abs. 5 DSGVO.
Das CERTISCAN HinSchG-Modul ermöglicht Mitarbeitern, Datenschutzvorfälle intern und anonym über ein zertifiziertes Meldesystem zu melden. Der Vorfall wird automatisch dokumentiert, mit Zeitstempel versehen und an den Datenschutzbeauftragten weitergeleitet.
| Kritisch (z. B. systematischer Datenabfluss) | Bußgeldverfahren, ggf. öffentliche Warnung | 3-12 Monate |
| Keine Benachrichtigung Betroffener |
| Bis 20 Mio. EUR / 4 % Umsatz |
| British Airways: 22 Mio. GBP (2020) |