Die erste halbe Stunde und die 72-Stunden-Frist

Die Frist von 72 Stunden beginnt mit der Kenntnis des Verantwortlichen — also des Unternehmens, nicht des einzelnen Beschäftigten. In der ersten halben Stunde zählt deshalb nur eines: melden, nicht aufräumen.

Warum das wichtig ist

Der Wortlaut sagt „nachdem ihm die Verletzung bekannt wurde". Das Wort „ihm" meint den Verantwortlichen. Daraus folgt beides: Sie haben keine eigene Frist gegenüber der Behörde — und jede Stunde, die Sie zögern, fehlt dem Unternehmen später.

Die drei häufigsten Fehler in der ersten halben Stunde sind alle gut gemeint: die Mail zurückziehen wollen, Spuren beseitigen, selbst ermitteln. Alle drei zerstören den Beleg und kosten Zeit.

Und ein vierter: Die Frist ist keine Ausrede für Langsamkeit. Der Wortlaut sagt „unverzüglich und möglichst binnen 72 Stunden" — unverzüglich steht zuerst.

Was das Gesetz sagt

Art. 33 Abs. 1 S. 1 DSGVO

„Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung … voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt."

Art. 33 Abs. 1 S. 2 DSGVO

„Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen."

So macht man es richtig

1. Sofort melden — an die Stelle, die Ihr Betrieb benannt hat, nicht am nächsten Morgen.
2. Nichts löschen, nichts zurückziehen, nichts aufräumen. Der Vorgang ist der Beleg.
3. Drei Angaben genügen: wann, was passiert ist, welche Daten und wie viele Personen betroffen sein könnten.
4. Nicht selbst ermitteln und niemanden selbst informieren.

Stand: 11.10.2026