Datenpanne gemeldet: 8 Sofortmaßnahmen in den ersten 72 Stunden

Stand: November 2026

Einleitung: Was in den ersten 72 Stunden entscheidet

Eine Datenpanne löst eine harte Frist aus: 72 Stunden ab dem Moment, in dem eine verantwortliche Person im Unternehmen Kenntnis vom Vorfall erlangt – nicht erst, wenn die Analyse abgeschlossen ist. Das stellt Art. 33 DSGVO unmissverständlich klar. Wer diesen Startpunkt verpasst, verspielt den Spielraum für eine geordnete Meldung und riskiert Bußgelder.

Die Priorisierung ist entscheidend: Technische Eindämmung geht vor Formalitäten. Zugänge sperren, betroffene Systeme isolieren, Logs nicht löschen und forensische Spuren sichern – das passiert in den ersten ein bis zwei Stunden. Parallel beginnt die interne Eskalation: Datenschutzbeauftragter, IT-Leitung, Geschäftsführung. Nur wer den Vorfall, die betroffenen Datenkategorien und die Zahl der betroffenen Personen schnell erfasst, kann die Risikobewertung fundiert vornehmen. Genau diese Bewertung entscheidet über den weiteren Weg: Meldung an die zuständige Landesdatenschutzbehörde (Art. 33 Abs. 1 DSGVO), bei hohem Risiko zusätzlich Information der Betroffenen (Art. 34 DSGVO).

Jede Panne ist intern zu dokumentieren – auch wenn keine externe Meldung erfolgt (Art. 33 Abs. 5 DSGVO). Fehlende Dokumentation ist eigenständiger Verstoß. Der folgende Fahrplan führt durch acht konkrete Schritte, sortiert nach Dringlichkeit und rechtlicher Verankerung. Er ersetzt keine Rechtsberatung, gibt aber die operative Struktur, die Aufsichtsbehörden bei Prüfungen erwarten. Weitere Details zur Fristberechnung und Meldepraxis finden sich in der Übersicht zur 72-Stunden-Meldefrist.

Bevor du startest: 3 Klärungsfragen

Bevor irgendeine Maßnahme greift, müssen drei Punkte feststehen. Sie bestimmen, ob Meldepflicht besteht, wie die Frist läuft und wer der richtige Ansprechpartner ist.

1. Liegt eine Verletzung personenbezogener Daten vor?

Art. 4 Nr. 12 DSGVO definiert den Begriff weit: Jeder Sicherheitsvorfall, der zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung führt. Ein verlorener USB-Stick mit Kundendaten zählt ebenso wie ein gehackter Mail-Account. Fehlt der Personenbezug – etwa bei rein technischen Metadaten –, entfällt die Meldepflicht nach Art. 33 DSGVO. Prüfe also zuerst: Betrifft es personenbezogene Daten im Sinne der Verordnung?

2. Wer ist Verantwortlicher – und gibt es Auftragsverarbeiter?

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Bei Konzernstrukturen oder SaaS-Nutzung ist das nicht immer offenkundig. Liegt eine Auftragsverarbeitung vor, muss der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Die Meldepflicht bleibt beim Verantwortlichen. Kläre die Rollenverteilung, bevor du Fristen berechnest.

3. Welche Aufsichtsbehörde ist zuständig?

Zuständig ist die Landesdatenschutzbehörde des Firmensitzes (Art. 55 DSGVO). Jedes Bundesland betreibt ein eigenes Meldeportal. Für Hamburger Unternehmen führt der Weg über das Portal der HmbBfDI, in Bayern über das BayLfD, in NRW über die LDI. Zugangsdaten und Meldeformular sollten vorab hinterlegt sein – im Ernstfall zählt jede Stunde.

Die 8 Sofortmaßnahmen in den ersten 72 Stunden

Phase 1 (0–1 h): Kenntniszeitpunkt exakt dokumentieren

Die Uhr startet mit dem Moment, in dem eine verantwortliche Person im Unternehmen von der Panne erfährt – nicht erst, wenn die IT die Ursache gefunden hat. Notiere Datum, Uhrzeit, Namen der meldenden Person und den Entdeckungsweg (E-Mail, Log-Alert, Hinweis von außen). Dieser Zeitstempel ist der einzige Anker für die 72-Stunden-Frist nach Art. 33 Abs. 1 DSGVO. Fehlt er, schätzt die Behörde oft zum Nachteil des Unternehmens. Prüfe: Liegt ein schriftlicher Vermerk vor, der von der meldenden Person gegengezeichnet wurde? Ist er im Incident-Log oder Ticket-System unveränderbar hinterlegt?

Phase 2 (0–2 h): Vorfall eindämmen & Spuren sichern

Technische Eindämmung hat Vorrang vor jeder Formalität. Sperre kompromittierte Zugänge sofort, isoliere betroffene Systeme vom Netz, aber schalte sie nicht aus – flüchtige Speicherinhalte gehen sonst verloren. Lösche keine Logs, keine Temporärdateien, keine E-Mail-Header. Ziehe stattdessen ein forensisches Image der betroffenen Server und Arbeitsstationen. Die Schritt-für-Schritt-Anleitung von heyData betont, dass Beweissicherung und Meldepflicht parallel laufen. Prüfe: Sind Snapshots der betroffenen Systeme erstellt? Sind Zugriffsrechte auf Log-Verzeichnisse auf „Read-only“ gesetzt? Wurde die Kettenbeweisführung (Chain of Custody) für alle Datenträger protokolliert?

Phase 3 (0–4 h): Intern eskalieren

Informiere den Datenschutzbeauftragten, die IT-Leitung, die Geschäftsführung und – falls vertraglich vereinbart – den externen Datenschutzberater oder ein IT-Forensik-Team. Bei Unternehmen ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, schreibt § 38 BDSG die Bestellung eines DSB vor; bei Kerntätigkeit nach Art. 37 Abs. 1 lit. b/c DSGVO gilt dies bereits ab der ersten Person. Der DSB koordiniert die weitere Bewertung gemäß Art. 39 DSGVO. Prüfe: Erreicht die Eskalationsmeldung alle Rollen innerhalb von vier Stunden? Liegen aktuelle Vertretungsregeln vor, falls DSB oder GF nicht erreichbar sind? Ist der externe Forensik-Dienstleister über einen Rahmenvertrag sofort abrufbar?

Phase 4 (1–6 h): Betroffene Datenkategorien & Personenzahl ermitteln

Art. 33 Abs. 3 lit. a/b DSGVO verlangt in der Meldung die Kategorien betroffener personenbezogener Daten und die ungefähre Zahl der Betroffenen. Werte Logs, Datenbankexporte und Applikationsprotokolle aus: Handelt es sich um Stammdaten, Gesundheitsdaten, Bankverbindungen, Zugangsdaten? Zähle betroffene Datensätze, nicht nur betroffene Systeme. Die Analyse von konrat.ai zeigt, dass ungenaue Angaben die Behörde zu Nachfragen zwingen und die Frist gefährden. Prüfe: Liegt eine Aufstellung vor, die jede Datenkategorie mit geschätzter Personenzahl verknüpft? Wurde geprüft, ob Besonderen Kategorien nach Art. 9 DSGVO betroffen sind (Gesundheit, Biometrie, politische Meinung)?

Phase 5 (2–12 h): Risikobewertung schriftlich durchführen

Entscheide strukturiert: „Kein Risiko“, „Risiko“ oder „Hohes Risiko“ für Rechte und Freiheiten der Betroffenen. Nur bei „kein Risiko“ entfällt die Meldung an die Behörde – im Zweifel melden. Dokumentiere die Bewertung schriftlich mit Begründung (Eintrittswahrscheinlichkeit × Schadensausmaß). Die Praxisübersicht von inrema empfiehlt ein einfaches Ampel-Schema, das auch für Laien nachvollziehbar ist. Prüfe: Liegt ein unterschriebenes Bewertungsdokument vor? Wurden konkrete Szenarien (Identitätsdiebstahl, Rufschädigung, Finanzverlust) durchgespielt? Ist die Bewertung versionsgesichert im Incident-Record abgelegt?

Phase 6 (bis 48 h): Meldeformular der zuständigen Behörde vorbereiten

Zuständig ist die Landesdatenschutzbehörde des Firmensitzes (Art. 55 DSGVO). Jedes Bundesland betreibt ein eigenes Online-Portal – Hamburg etwa über das HmbBfDI-Portal, Bayern über das BayLfD, NRW über die LDI. Registriere dich vorab, hinterlege Zugangsdaten im Notfallkoffer. Das Muster von Legiscope hilft, alle Pflichtfelder (Art. 33 Abs. 3 DSGVO) vollständig zu befüllen: Beschreibung, Kategorien, Personenzahl, voraussichtliche Folgen, ergriffene Maßnahmen. Prüfe: Funktioniert der Portal-Zugang (Test-Login)? Sind alle Pflichtfelder mit den Ergebnissen aus Phase 4 und 5 vorg befüllt? Liegt ein PDF-Export der fertigen Meldung für die Akten vor?

Phase 7 (bis 72 h): Meldung an Aufsichtsbehörde absetzen

Sende die Meldung elektronisch über das Portal der zuständigen Behörde – spätestens 72 Stunden nach Kenntniszeitpunkt (Phase 1). Erfolgt die Absendung später, fordert Art. 33 Abs. 1 S. 2 DSGVO eine schriftliche Begründung der Verspätung. Die österreichische DSB stellt auf dsb.gv.at ein vergleichbares Formular bereit; für deutsche Unternehmen gilt das Landesportal. Bewahre den Versandnachweis (Screenshot, Bestätigungs-E-Mail, Protokoll-ID) auf. Prüfe: Ist die Meldung vor Ablauf der 72 Stunden abgeschickt? Liegt der Versandnachweis im Incident-Record? Falls verzögert: Ist die Begründung konkret (z. B. „Forensik-Image dauerte 14 h“) und nicht pauschal („Arbeitsaufwand“) formuliert?

Phase 8 (parallel): Bei hohem Risiko Betroffene informieren & Dokumentation ablegen

Bei „hohem Risiko“ schreibt Art. 34 DSGVO die unverzügliche Information der Betroffenen in verständlicher Sprache vor – Name des Verantwortlichen, Kontaktdaten DSB, wahrscheinliche Folgen, empfohlene Schutzmaßnahmen (Passwortwechsel, Phishing-Warnung). Die Checkliste von CMD rät zu einem standardisierten Brief- oder E-Mail-Text, der rechtlich geprüft ist. Unabhängig vom Risiko: Lege sämtliche Unterlagen (Kenntnisvermerk, Forensik-Protokoll, Eskalationsnachweis, Risikobewertung, Meldung, Betroffenenbrief) vollständig ab – Art. 33 Abs. 5 DSGVO macht die interne Dokumentation zur eigenen Pflicht. Die GDD-Praxishilfe (Januar 2025) bietet dafür eine abschließende Checkliste. Prüfe: Sind alle Dokumente versionsgesichert, zeitgestempelt und für die Aufbewahrungsfrist (mindestens drei Jahre) archiviert? Wurde bei hohem Risiko der Versand an Betroffene protokolliert (Bounce-Listen, Öffnungsraten)?

Rechtlicher Rahmen: Die fünf Anker für Ihre Entscheidung

Fünf Vorschriften bilden das Fundament jeder Meldentscheidung. § 38 BDSG knüpft die Bestellpflicht eines Datenschutzbeauftragten an 20 Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind – nicht an die Gesamtbelegschaft. Art. 37 Abs. 1 lit. b/c DSGVO kennt keine Mitarbeiterschwelle: Wer systematisch überwacht oder besondere Kategorien verarbeitet, braucht ab der ersten Person einen DSB. Art. 39 DSGVO definiert dessen Aufgaben: Überwachung der Einhaltung, Beratung zur DSFA, Zusammenarbeit mit der Aufsichtsbehörde und Anlaufstelle für Betroffene. Art. 35 DSGVO macht die Datenschutz-Folgenabschätzung zur Vorbedingung für risikobasierte Entscheidungen bei Pannen – ohne DSFA fehlt die Basis für die Einordnung nach Art. 33 DSGVO. Schließlich gilt die DSGVO seit 25. Mai 2018; das BDSG-Anpassungsgesetz zog die §-38-Schwelle 2019 nach. Wer Altverträge prüft, muss diesen Stichtag kennen. Diese Anker trennen Fachratgeber von SEO-Texten und gehören in jeden Entscheidungsprozess – auch bei der Frage, ob Betroffene nach Art. 34 DSGVO informiert werden müssen.

Meldung an die Aufsichtsbehörde: Formulare, Portale & Zuständigkeit

Zuständig für die Meldung ist die Landesdatenschutzbehörde des Firmensitzes gemäß Art. 55 DSGVO. Jedes Bundesland betreibt ein eigenes Online-Meldeportal; der Zugang sollte vorab geprüft und im Notfallplan hinterlegt sein. In Nordrhein-Westfalen übernimmt die LDI die Entgegennahme, in Niedersachsen das LfD und in Hamburg der HmbBfDI. Die Meldung erfolgt ausschließlich elektronisch. Wird die 72-Stunden-Frist überschritten, verlangt Art. 33 Abs. 1 S. 2 DSGVO eine schriftliche Begründung. Als Arbeitshilfe dient die GDD-Praxishilfe vom Januar 2025 mit einem aktuellen Musterformular für die Art.-33/34-Meldung.

Betroffeneninformation bei hohem Risiko: Art. 34 DSGVO praktisch umsetzen

Stellt die Risikobewertung ein hohes Risiko für Rechte und Freiheiten natürlicher Personen fest, greift die Informationspflicht nach Art. 34 DSGVO. Die Mitteilung muss unverzüglich erfolgen und in klarer, verständlicher Sprache gehalten sein. Gesetzlich vorgeschriebene Inhalte: Art der Verletzung, voraussichtliche Folgen sowie bereits ergriffene oder empfohlene Schutzmaßnahmen.

Zwei Ausnahmen entbinden von der direkten Benachrichtigung: Erstens, wenn technische und organisatorische Maßnahmen – etwa eine wirksame Verschlüsselung – das Risiko praktisch ausschließen. Zweitens, wenn der Aufwand unverhältnismäßig wäre; dann tritt eine öffentliche Bekanntmachung an die Stelle der Einzelinformation. Die Entscheidung dokumentieren Sie auf Basis der Risikobewertung aus Maßnahme 5.

Praxisnahe Leitfäden zur Formulierung und zum Ablauf liefern CMD Datenschutz sowie Cyberschutzheld. Wichtig: Auch bei Ausnahmen bleibt die interne Dokumentationspflicht nach Art. 33 Abs. 5 DSGVO bestehen.

Interne Dokumentation & Rechenschaftspflicht: Was Art. 33 Abs. 5 verlangt

Jeder Vorfall muss intern aufgezeichnet werden – unabhängig davon, ob eine Meldung an die Behörde folgt. Art. 33 Abs. 5 DSGVO macht die Dokumentation zur Pflicht. Fehlt sie, liegt ein eigenständiger Verstoß vor. Der Eintrag muss Sachverhalt, betroffene Datenkategorien, mögliche Folgen und getroffene Gegenmaßnahmen enthalten. Diese Aufzeichnung dient als Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und als Basis für spätere Behördenprüfungen. Die GDD-Checkliste und die ULD-Hinweise geben eine verlässliche Struktur vor. Auch eine Risikobewertung, die zur Nicht-Meldung führt, gehört schriftlich fixiert. Praxishilfen empfehlen, Zeitstempel, verantwortliche Personen und Kommunikationsverläufe lückenlos zu protokollieren. Wer dokumentiert, schützt sich vor Vorwürfen der Intransparenz.

Häufige Fehler vermeiden: Fristbeginn, Log-Löschung, Nicht-Melden

Drei Fallstricke entscheiden oft über Bußgeld oder Verwarnung. Erstens: Die 72-Stunden-Frist läuft ab Kenntnisnahme durch eine verantwortliche Person – nicht erst nach Abschluss der Aufklärung. Art. 33 Abs. 1 DSGVO stellt auf den Moment ab, in dem das Unternehmen tatsächlich von der Panne erfährt. Wer den Startpunkt verschiebt, versäumt die Frist systematisch.

Zweitens: Im Panikmodus gelöschte oder überschriebene Logs vernichten Beweismittel und verletzen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Forensik braucht unveränderte Spuren; Sperren und Isolieren haben Vorrang vor jedem Aufräumen.

Drittes Risiko: Pannen werden nicht gemeldet, weil das Risiko fälschlich als „gering“ eingestuft wird. Aufsichtsbehörden signalisieren: Lieber einmal zu viel melden. Die schriftliche Dokumentation der Risikobewertung schützt auch bei Entscheidung gegen eine Meldung – Art. 33 Abs. 5 DSGVO verlangt sie ohnehin. Eine Praxisübersicht zur Fristberechnung zeigt typische Stolpersteine.