72-Stunden-Frist bei einer Datenpanne: Rechner und Regel

Freitag, 17:40 Uhr: Eine Sammelmail mit 240 Kundenadressen ist offen im An-Feld hinausgegangen. Ab diesem Moment läuft die Frist aus Art. 33 Abs. 1 DSGVO, und sie läuft in Stunden, nicht in Arbeitstagen. Wer erst am Montagmorgen zu rechnen anfängt, hat rund 62 der 72 Stunden verbraucht. Hier steht, ab wann die Uhr läuft und wie das Fristende entsteht.

Was Art. 33 DSGVO verlangt

Adressat ist der Verantwortliche. Art. 33 Abs. 1 Satz 1 DSGVO im Wortlaut: Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet er sie unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Drei Stellen tragen die Rechnung. „Unverzüglich“: Die 72 Stunden sind eine Obergrenze, kein Termin. „Bekannt wurde“: Nicht der Vorfall startet die Uhr, sondern die Kenntnis. „Es sei denn“: eine Ausnahme mit Voraussetzungen.

Eine Verletzung ist nach Art. 4 Nr. 12 DSGVO eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt. Also mehr als ein Hackerangriff: auch der verlorene USB-Stick oder die Mail an den falschen Verteiler.

Wann die Uhr zu laufen beginnt

Startpunkt ist die Kenntnis des Verantwortlichen. Die Leitlinien 9/2022 des Europäischen Datenschutzausschusses (englische Fassung, Randnummer 31) formulieren es so: Kenntnis liegt vor, sobald der Verantwortliche mit hinreichender Sicherheit davon ausgehen kann, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat.

Nach einem ersten Hinweis darf deshalb eine kurze Prüfphase liegen, in der der Verantwortliche noch nicht als in Kenntnis gilt (Randnummer 34). Beginnen muss sie sofort: Eine Woche interner Klärung verschiebt den Fristbeginn nicht, sie verbraucht ihn.

Zweiter Fall: Dienstleister. Wird einem Auftragsverarbeiter eine Verletzung bekannt, meldet er sie dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO); dieser gilt nach denselben Leitlinien im Grundsatz als in Kenntnis, sobald die Information bei ihm ist. Halten Sie Datum und Uhrzeit fest: Bei einer Stundenfrist ist ein Datum allein wertlos.

So wird die 72-Stunden-Frist gerechnet

Wochenenden und Feiertage laufen mit. Für die Berechnung verweisen die Leitlinien 9/2022 auf die Verordnung (EWG, Euratom) Nr. 1182/71. Nach deren Art. 3 Abs. 3 umfassen Fristen Feiertage, Sonntage und Sonnabende; die Verschiebung auf den nächsten Arbeitstag in Art. 3 Abs. 4 gilt ausdrücklich nur für Fristen, die nicht nach Stunden bemessen sind.

Die angefangene Stunde. Nach Art. 3 Abs. 1 zählt die Stunde, in die das Ereignis fällt, nicht mit. BetroffenenRecht24 addiert schlicht 72 Stunden auf den erfassten Zeitpunkt und liegt damit eher etwas früher. Wer den früheren Termin hält, ist in jeder Auslegung pünktlich.

Die letzten beiden Zeilen sind der Grund, warum diese Frist nicht ins Kopfrechnen gehört. Für Betroffenenanfragen gilt eine andere Uhr, dort zählen Monate ab Eingang: Frist bei einer Betroffenenanfrage berechnen.

Pflicht, Ausnahme und Empfehlung sauber getrennt

Drei Ebenen gehen bei diesem Thema regelmäßig durcheinander:

• Pflicht: Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis bei wahrscheinlichem Risiko (Art. 33 Abs. 1 DSGVO), mit mindestens den vier Angaben aus Art. 33 Abs. 3 DSGVO.
• Pflicht: Benachrichtigung der Betroffenen bei voraussichtlich hohem Risiko, unverzüglich und in klarer und einfacher Sprache (Art. 34 Abs. 1 und 2 DSGVO).
• Pflicht: Dokumentation jeder Verletzung, auch ohne Meldung (Art. 33 Abs. 5 DSGVO).
• Ausnahme, keine Wahl: Die Meldung entfällt ohne wahrscheinliches Risiko (Art. 33 Abs. 1 DSGVO), die Benachrichtigung unter den Bedingungen des Art. 34 Abs. 3 DSGVO.
• Empfehlung: eine Vorwarnzeit. Keine Norm nennt eine Zahl; BetroffenenRecht24 nimmt zwölf Reststunden als Richtwert für Gelb.

Zum Bußgeldrahmen, weil hier oft die falsche Zahl kursiert: Art. 33 und Art. 34 gehören zu den Pflichten aus den Artikeln 25 bis 39 DSGVO und fallen damit unter Art. 83 Abs. 4 Buchstabe a DSGVO. Der Rahmen lautet dort bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Die viel zitierten 20 Millionen und 4 Prozent stehen in Art. 83 Abs. 5 DSGVO. Beides sind Obergrenzen, keine Regelbeträge.

Praxisbeispiel: die Mail an den falschen Verteiler

Ein Handwerksbetrieb mit 28 Beschäftigten verschickt am Freitag, dem 06.02.2026, um 17:40 Uhr eine Terminankündigung an 240 Kunden, die Adressliste offen im An-Feld statt im BCC. Um 17:52 Uhr fällt es auf; der Sachverhalt ist eindeutig, Kenntnis liegt sofort vor.

Erfasster Zeitpunkt bleibt der Versand um 17:40 Uhr, das Fristende damit Montag, 09.02.2026, 17:40 Uhr. Am Sonntagmittag zeigt der Rechner knapp 30 Reststunden und Grün, am Montag um 05:40 Uhr wechselt die Ampel auf Gelb. Das Wochenende hält die Frist an keiner Stelle an.

Der Melde-Check stellt drei Fragen. Daten verletzt (Art. 4 Nr. 12 DSGVO)? Ja, unbefugte Offenlegung. Risiko wahrscheinlich (Art. 33 Abs. 1)? Ja, 240 fremde Personen sehen Namen und Adressen. Risiko hoch (Art. 34 Abs. 1)? Nein, keine besonderen Kategorien. Ergebnis: meldepflichtig binnen 72 Stunden, ohne Benachrichtigung der Betroffenen.

Nachrechnen können Sie ohne Konto: Auf der Startseite von BetroffenenRecht24 wählen Sie das Szenario „Datenpanne bemerkt“ und sehen Meldefrist, Reststunden und Ampel. In der App läuft derselbe Countdown je Vorfall, dazu Melde-Check, Meldeentwurf nach Art. 33 Abs. 3 DSGVO, Entwurf nach Art. 34 DSGVO und die Zeitstempel für beides.

Was die Software nicht tut: Sie meldet nicht für Sie. Die Übermittlung läuft über das Verfahren der zuständigen Aufsichtsbehörde.

Häufige Fragen

Wann beginnt die 72-Stunden-Frist bei einer Datenpanne?

Mit der Kenntnis des Verantwortlichen, nicht mit dem Vorfall (Art. 33 Abs. 1 DSGVO). Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses liegt Kenntnis vor, sobald er mit hinreichender Sicherheit annehmen kann, dass ein Sicherheitsvorfall personenbezogene Daten beeinträchtigt hat.

Zählt das Wochenende bei der 72-Stunden-Frist mit?

Ja. Die Leitlinien 9/2022 verweisen für die Berechnung auf die Verordnung (EWG, Euratom) Nr. 1182/71. Nach deren Art. 3 Abs. 3 umfassen Fristen Feiertage, Sonntage und Sonnabende; die Verschiebung auf den nächsten Arbeitstag gilt nur für Fristen, die nicht nach Stunden bemessen sind (Art. 3 Abs. 4).

Muss ich jede Datenpanne der Aufsichtsbehörde melden?

Nein. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Dokumentieren müssen Sie Vorfall und Bewertung trotzdem (Art. 33 Abs. 5 DSGVO).

Wie hoch ist das Bußgeld bei einer verspäteten Meldung?

Für Verstöße gegen Art. 33 DSGVO gilt der Rahmen des Art. 83 Abs. 4 Buchstabe a DSGVO: bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Die oft genannten 20 Millionen und 4 Prozent stehen in Art. 83 Abs. 5 DSGVO.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.