Datenpanne beim Dienstleister: wer meldet was an wen

Der Hoster schreibt am Freitagabend: unbefugter Zugriff, Kundendaten betroffen, Einzelheiten folgen. Wer jetzt an die Aufsichtsbehörde meldet, regelt die DSGVO eindeutig, und trotzdem wird es regelmäßig verwechselt. Art. 33 Abs. 2 DSGVO verpflichtet den Auftragsverarbeiter, die Verletzung unverzüglich dem Verantwortlichen zu melden. Die Meldung an die Behörde binnen 72 Stunden schuldet nach Art. 33 Abs. 1 DSGVO der Verantwortliche, und seine Frist beginnt mit seiner Kenntnis.

Was Art. 33 DSGVO für beide Rollen verlangt

Art. 33 Abs. 1 Satz 1 DSGVO richtet sich an den Verantwortlichen: Er meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Wird die Frist überschritten, ist der Meldung eine Begründung beizufügen (Satz 2).

Art. 33 Abs. 2 DSGVO richtet sich an den Auftragsverarbeiter und ist kürzer: Wird ihm eine Verletzung bekannt, meldet er sie dem Verantwortlichen unverzüglich. Drei Dinge fehlen in diesem Absatz, und das Fehlen ist die Aussage: keine Stundenfrist, kein Behördenkontakt, keine Risikoprüfung. Der Auftragsverarbeiter meldet jede Verletzung, und er meldet sie Ihnen, nicht der Aufsicht.

Wer welche Rolle hat, folgt aus Art. 4 Nr. 7 und 8 DSGVO: Verantwortlicher ist, wer über Zwecke und Mittel entscheidet, Auftragsverarbeiter, wer im Auftrag verarbeitet. Die Abgrenzung an typischen Fällen steht in Verantwortlicher oder Auftragsverarbeiter.

Wer betroffen ist: Auftragsverarbeiter, Unterauftragnehmer, gemeinsam Verantwortliche

Auftragsverarbeiter sind im Mittelstand fast immer dieselben: Hoster, Lohnabrechnung, Newsletter-Versand, Cloud-Speicher, IT-Wartung. Für jeden gilt Art. 33 Abs. 2 DSGVO, und für jeden muss der Vertrag nach Art. 28 Abs. 3 Satz 2 Buchstabe f DSGVO die Unterstützung bei Ihren Pflichten aus den Art. 32 bis 36 regeln, also auch bei Meldung und Benachrichtigung. Die vierzehn Pflichtangaben des Vertrags stehen in Auftragsverarbeitungsvertrag: die Pflichtangaben.

Setzt Ihr Dienstleister Unterauftragsverarbeiter ein, verlängert sich die Kette: Nach Art. 28 Abs. 4 DSGVO werden dem weiteren Auftragsverarbeiter dieselben Pflichten auferlegt. Die Meldung läuft vom Rechenzentrum zum Hoster und vom Hoster zu Ihnen, jeweils unverzüglich. Ihre 72 Stunden beginnen erst am Ende dieser Kette; was unterwegs verloren geht, fehlt später bei der Aufklärung.

Anders bei gemeinsam Verantwortlichen: Nach Art. 26 Abs. 1 DSGVO legen sie in einer Vereinbarung fest, wer welche Verpflichtung erfüllt, also auch, wer nach Art. 33 meldet. Und ein Dienstleister, der die Daten für eigene Zwecke verarbeitet, ist selbst Verantwortlicher: Er meldet seine Panne selbst.

Die Zeitachse: wann die 72 Stunden wirklich beginnen

Die Frist des Art. 33 Abs. 1 DSGVO läuft ab dem Zeitpunkt, zu dem die Verletzung dem Verantwortlichen bekannt wurde. Die Leitlinien 9/2022 des Europäischen Datenschutzausschusses ordnen den Dienstleisterfall ein: Meldet der Auftragsverarbeiter dem Verantwortlichen, gilt dieser im Grundsatz als in Kenntnis, sobald die Information bei ihm ist. Der Vorfall beim Dienstleister startet Ihre Uhr nicht.

Weil die Frist nach Stunden bemessen ist, laufen Wochenende und Feiertage mit. Die Leitlinien verweisen dafür auf die Verordnung (EWG, Euratom) Nr. 1182/71: Art. 3 Abs. 3 bezieht Sonnabende, Sonntage und Feiertage ein, Art. 3 Abs. 4 verschiebt nur Fristen auf den nächsten Arbeitstag, die nicht nach Stunden bemessen sind. Aus einer Meldung am Freitag um 20:15 Uhr wird ein Fristende am Montag um 20:15 Uhr; nachrechnen lässt sich das in 72-Stunden-Frist bei einer Datenpanne: Rechner und Regel.

Bleibt die Meldung des Dienstleisters vage, ändert das die Reihenfolge nicht. Kenntnis setzt hinreichende Sicherheit voraus, dass personenbezogene Daten beeinträchtigt sind; eine kurze Prüfphase ist zulässig, sie muss aber sofort beginnen. Art. 33 Abs. 4 DSGVO erlaubt, Informationen schrittweise nachzureichen, nicht aber, mit der ersten Meldung auf den Abschlussbericht zu warten.

Pflicht, Vertrag und Empfehlung: was wohin gehört

Drei Ebenen, die in Verträgen und Checklisten regelmäßig durcheinandergeraten:

• Pflicht aus dem Gesetz: Der Auftragsverarbeiter meldet unverzüglich (Art. 33 Abs. 2 DSGVO) und unterstützt Sie (Art. 28 Abs. 3 Satz 2 Buchstabe f). Sie melden, benachrichtigen und dokumentieren (Art. 33 Abs. 1 und 5, Art. 34).
• Vertrag: eine Stundenzahl für die Meldung an Sie, ein Kontaktweg, der auch am Wochenende erreichbar ist, und der Mindestinhalt der Meldung entlang Art. 33 Abs. 3 DSGVO: Art der Verletzung, Betroffene und Datensätze, Folgen, Maßnahmen.
• Empfehlung: den Kontaktweg einmal im Jahr testen und jede Dienstleistermeldung mit Zeitstempel als Anlage zur Dokumentation nach Art. 33 Abs. 5 DSGVO ablegen.

Zur Stundenzahl, weil sie oft für Gesetz gehalten wird: Die DSGVO nennt für den Auftragsverarbeiter keine Frist in Stunden, nur „unverzüglich“. Was Verträge nennen, ist Vertragsinhalt. Er macht eine späte Meldung als Vertragsverstoß belegbar und kürzt die Kette: Wer vom Hoster 24 Stunden verlangt, achtet darauf, dass dessen Rechenzentrum nicht 48 zugesagt hat.

Haftung und Bußgeld folgen den Rollen. Nach Art. 82 Abs. 2 Satz 2 DSGVO haftet der Auftragsverarbeiter nur, wenn er den speziell ihm auferlegten Pflichten nicht nachgekommen ist oder gegen rechtmäßige Anweisungen verstoßen hat; die Meldung nach Art. 33 Abs. 2 ist eine solche Pflicht. Der Bußgeldrahmen des Art. 83 Abs. 4 Buchstabe a DSGVO gilt für Verantwortliche und Auftragsverarbeiter gleichermaßen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des Vorjahres, eine Obergrenze, kein Regelbetrag.

Praxisbeispiel: Angriff auf den Hoster am Freitagabend

Ein Online-Händler mit 15 Beschäftigten erhält am Freitag, dem 06.02.2026, um 20:15 Uhr eine E-Mail seines Hosters: unbefugter Zugriff auf die Shop-Datenbank, betroffen sind Name, Anschrift, E-Mail-Adresse und Bestellhistorie von rund 3.200 Kunden, keine Zahlungsdaten. Der Hoster hat den Zugriff um 18:30 Uhr entdeckt. Zeitpunkt der Kenntnis des Händlers: 20:15 Uhr. Fristende: Montag, 09.02.2026, 20:15 Uhr. Die 18:30 Uhr zählen für die Frist nicht, wohl aber für die Dokumentation.

Der Melde-Check am selben Abend: Daten verletzt, ja, unbefugter Zugang nach Art. 4 Nr. 12 DSGVO. Risiko wahrscheinlich, ja, Anschriften und Bestellhistorie von 3.200 Personen bei einem Angreifer. Risiko hoch nach Art. 34 Abs. 1 DSGVO? Der Händler verneint es nach eigener Einschätzung, weil keine besonderen Kategorien und keine Zahlungsdaten betroffen sind, und hält die Gründe fest. Am Samstag geht die Meldung an die Aufsichtsbehörde mit dem, was vorliegt; der Bericht des Hosters kommt am Dienstag und wird nach Art. 33 Abs. 4 nachgereicht. Wann die Betroffenen doch zu informieren wären, steht in Datenpanne: wann Sie die Betroffenen selbst informieren müssen.

In BetroffenenRecht24 legt der Händler den Vorfall mit Datum und Uhrzeit der Kenntnis an. Die App rechnet die 72 Stunden ab diesem Zeitpunkt über das Wochenende hinweg, zeigt die Reststunden mit Ampel (Gelb ab 12 Stunden Rest) und erinnert 48, 24 und 12 Stunden vor Ablauf, solange die Meldung aussteht. Der Melde-Check stellt die drei Fragen von oben, der Meldeentwurf folgt Art. 33 Abs. 3 DSGVO, und im Verzeichnis der Auftragsverarbeiter steht beim Hoster, ob die Unterstützungspflicht nach Buchstabe f im Vertrag belegt ist. Die App meldet nicht an die Behörde und prüft den Vertrag nicht rechtlich; die Risikoeinschätzung bleibt Ihre Entscheidung.

Häufige Fragen

Muss der Auftragsverarbeiter die Datenpanne der Aufsichtsbehörde melden?

Nein. Nach Art. 33 Abs. 2 DSGVO meldet der Auftragsverarbeiter die Verletzung unverzüglich dem Verantwortlichen. Die Meldung an die Aufsichtsbehörde binnen 72 Stunden schuldet nach Art. 33 Abs. 1 DSGVO der Verantwortliche, der auch entscheidet, ob ein wahrscheinliches Risiko besteht.

Ab wann laufen die 72 Stunden, wenn die Panne beim Dienstleister passiert ist?

Ab dem Zeitpunkt, zu dem die Verletzung dem Verantwortlichen bekannt wurde (Art. 33 Abs. 1 DSGVO), nicht ab dem Vorfall beim Dienstleister. Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses gilt der Verantwortliche im Grundsatz als in Kenntnis, sobald ihn die Meldung des Auftragsverarbeiters erreicht. Wochenenden laufen mit.

Welche Frist hat der Auftragsverarbeiter für die Meldung an den Verantwortlichen?

Das Gesetz sagt „unverzüglich“ (Art. 33 Abs. 2 DSGVO) und nennt keine Stundenzahl. Eine konkrete Frist, etwa 24 Stunden, kann der Auftragsverarbeitungsvertrag festlegen; sie ist dann Vertragsinhalt und macht eine späte Meldung als Vertragsverstoß belegbar.

Muss ich melden, obwohl der Dienstleister noch keine Einzelheiten geliefert hat?

Ja, sobald Sie mit hinreichender Sicherheit wissen, dass personenbezogene Daten betroffen sind und ein wahrscheinliches Risiko besteht. Art. 33 Abs. 4 DSGVO erlaubt, fehlende Informationen ohne unangemessene Verzögerung nachzureichen. Auf den Abschlussbericht des Dienstleisters zu warten, verbraucht die 72 Stunden.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.