Meldepflicht bei Datenschutzverletzungen: den 72-Stunden-Prozess aufsetzen
Aktualisiert am 05.05.2026
Die 72-Stunden-Frist beginnt mit der Kenntnisnahme eines Vorfalls – nicht erst nach dessen vollständiger Aufklärung. Ein funktionierender interner Prozess ist deshalb entscheidend, um die Frist zuverlässig einzuhalten.
Meldewege intern definieren
Legen Sie fest, wie und an wen ein vermuteter Vorfall sofort gemeldet wird – unabhängig davon, wer ihn entdeckt.
Erstbewertung standardisieren
Definieren Sie ein einfaches Raster, mit dem eine erste Risikoeinschätzung schnell erfolgen kann, ohne die Aufklärung vollständig abzuwarten.
Verantwortlichkeiten klären
Bestimmen Sie, wer die Entscheidung über die Meldepflicht trifft und wer die Meldung an die Aufsichtsbehörde formuliert und einreicht.
Meldevorlage vorbereiten
Halten Sie eine Vorlage mit den Pflichtangaben nach Art. 33 DSGVO bereit, damit im Ernstfall keine Zeit mit der Struktur verloren geht.
Betroffenenbenachrichtigung vorbereiten
Klären Sie im Voraus, unter welchen Voraussetzungen zusätzlich die betroffenen Personen selbst informiert werden müssen.
Prozess regelmäßig testen
Üben Sie den Ablauf anhand fiktiver Szenarien, um Schwachstellen im Meldeweg frühzeitig zu erkennen.
Weiterführende Informationen
Häufige Fragen
Wann beginnt die 72-Stunden-Frist genau?
Mit der Kenntnisnahme des Vorfalls durch das Unternehmen – nicht erst nach dessen vollständiger Aufklärung.
Muss die Meldung sofort vollständig sein?
Nein, eine gestaffelte Meldung mit Ergänzung fehlender Informationen ist zulässig, wenn eine vollständige Aufklärung innerhalb von 72 Stunden nicht möglich ist.
Was, wenn die Frist unverschuldet nicht eingehalten werden kann?
Eine Fristüberschreitung sollte gegenüber der Aufsichtsbehörde nachvollziehbar begründet werden – ein dokumentierter interner Prozess erleichtert diese Begründung erheblich.
Unterstützung bei der Umsetzung gewünscht?
Wir übernehmen die Umsetzung für Sie – oder begleiten Ihr Team dabei, Schritt für Schritt.