Den Vorfall melden: sofort und innerbetrieblich

Jeder Verdacht wird sofort im Betrieb gemeldet. Die 72-Stunden-Frist aus Artikel 33 läuft für den Verantwortlichen ab dessen Kenntnis — der einzelne Beschäftigte hat keine eigene Frist und keine eigene Meldepflicht gegenüber einer Behörde.

Warum das wichtig ist

Das ist der wichtigste Block des Kurses, weil hier der größte Schaden entsteht: nicht durch den Fehler, sondern durch das Zögern danach.

Die Frist beginnt mit der Kenntnis des Unternehmens. Wer innen wartet, verbraucht Zeit, die dem Unternehmen am Ende fehlt. Umgekehrt entlastet das: Sie müssen nichts beurteilen und nichts an eine Behörde melden — Sie müssen nur reden.

Gemeldet wird der Verdacht, nicht der bewiesene Schaden. Eine Verletzung liegt nach der Verordnung ab dem Ereignis vor, nicht erst ab dem Schaden.

Alles Weitere — die Ausnahme von der Meldepflicht, der Inhalt der Meldung, die Benachrichtigung der Betroffenen — ist Stoff des Kurses „Datenpanne erkennen und melden".

Was das Gesetz sagt

Art. 33 Abs. 1 S. 1 DSGVO: „Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt."
Art. 4 Nr. 12 DSGVO: „‚Verletzung des Schutzes personenbezogener Daten' eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;"

So macht man es richtig

Jeden Verdacht sofort innerbetrieblich melden — ohne zu prüfen, ob es schlimm ist.
Nichts vertuschen und nichts selbst reparieren.
Festhalten, was wann passiert ist, solange es frisch ist.
Wissen, an wen im Betrieb die Meldung geht — vor dem Ernstfall.

Was bei Missachtung droht

Eine unterlassene oder verspätete Meldung an die Aufsichtsbehörde verletzt Art. 33 und fällt nach Art. 83 Abs. 4 lit. a DSGVO in den Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Diese Pflicht trifft den Verantwortlichen, nicht den einzelnen Beschäftigten.

Im Video: Dieser Lernblock dauert 2:09 und ist Teil des Kurses Informationssicherheit im Arbeitsalltag. Das erste Kapitel können Sie kostenlos ansehen.

Stand: 25.10.2026