Zuletzt aktualisiert: 9. Juli 2026 — Peter Fürsicht, zertifizierter DSB

Datenpanne / Breach Notification (Art. 33–34 DSGVO)

Die Datenpanne (Breach Notification) nach Artikel 33 und 34 DSGVO ist eine der kritischsten DSGVO-Pflichten. Eine Datenpanne ist jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur unbefugten Offenlegung personenbezogener Daten fuehrt.

72-Stunden-Meldefrist

Artikel 33 verpflichtet den Verantwortlichen, eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehoerde zu melden. Die Frist ist strikt – bei Ueberschreitung drohen Bussgelder. Die Meldung muss folgende Inhalte haben:

  • Art der Verletzung und Art der Daten
  • Moegliche Folgen fuer Betroffene
  • Massnahmen des Verantwortlichen (Behoben, Mitigation)
  • Kontaktperson fuer weitere Fragen

Betroffenen-Information

Artikel 34 verlangt zusaetzlich die Information der betroffenen Personen, wenn ein hohes Risiko fuer deren Rechte besteht. Diese Information muss verstaendlich und ohne ungebuehrliche Verzoegerung erfolgen.

Dokumentation

Artikel 33 Absatz 5 verlangt die Dokumentation jeder Datenpanne – auch wenn keine Meldepflicht an Betroffene besteht. Diese Dokumentation ist bei Audits der Aufsichtsbehoerde vorzulegen.

Praxis-Beispiel

Ein Muenchner Online-Shop wird von Phishing angegriffen. Ein Mitarbeiter klickt auf einen Link, die Kundendatenbank wird kopiert. Der Verantwortliche muss:

  1. Innerhalb 72 Stunden die bayrische Datenschutzbehoerde informieren
  2. Die Betroffenen informieren, da hohes Risiko (Identitaetsdiebstahl)
  3. Massnahmen ergreifen (Passwort-Reset, 2FA, TOM-Update)
  4. Die Panne in der internen Dokumentation erfassen
Was zaehlt als Datenpanne?

Jede Verletzung der Sicherheit – Hacking, verlorener Laptop, Fehlversand von Mails, Insider-Missbrauch. Auch unverschluesselte E-Mails mit sensiblen Daten.

Was passiert bei verspaeteter Meldung?

Bussgelder nach Art. 83 DSGVO – bis 10 Mio. Euro oder 2 % des Jahresumsatzes. Die 72-Stunden-Frist ist strikt.

Muss ich jede kleine Panne melden?

Nein, nur solche mit Risiko fuer Betroffene. Eine Panne ohne Datenverlust und ohne Risiko muss dokumentiert, aber nicht gemeldet werden.

Wer hilft bei der Meldung?

Der Datenschutzbeauftragte ist Meldepflichtiger-Supporter. In einer Panne muss der Verantwortliche entscheiden – der DSB beraten.