Datenpanne nicht meldepflichtig? Die Dokumentation bleibt Pflicht

Ein verlorener Dienstlaptop, eine Mail an den falschen Verteiler: Nicht jeder Vorfall geht an die Aufsichtsbehörde. Art. 33 Abs. 1 DSGVO nimmt Verletzungen aus, die voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Absatz 5 kennt diese Ausnahme nicht. Wer nicht meldet, hat keine geringere Pflicht, sondern eine andere.

Zwei Absätze, zwei Pflichten

Artikel 33 DSGVO trägt zwei Pflichten, die im Alltag ineinanderlaufen. Absatz 1 regelt die Meldung an die Aufsichtsbehörde, Absatz 5 die eigene Dokumentation. Nur Absatz 1 kennt eine Ausnahme.

Der zweite Satz ist der wichtigere: An dieser Unterlage prüft eine Behörde, ob Artikel 33 eingehalten wurde. Auch die Entscheidung, nicht zu melden.

Wann die Meldung entfällt: die Risikofrage

Die Ausnahme hängt an einer Prognose, und die trifft der Verantwortliche selbst. Erwägungsgrund 85 DSGVO nennt die Bedingung: Die Meldung unterbleibt, wenn er im Einklang mit der Rechenschaftspflicht nachweisen kann, dass kein Risiko wahrscheinlich ist. Nicht melden und nichts festhalten ist kein Weg.

Das Bayerische Landesamt für Datenschutzaufsicht schreibt zu seinem Meldeformular: Meldepflichtig sind Datenschutzverletzungen nur dann, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Drei Fragen führen zur Antwort.

• Liegt eine Verletzung vor? Eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang führt (Art. 4 Nr. 12 DSGVO).
• Ist ein Risiko wahrscheinlich? Diese Frage entscheidet über die Meldung (Art. 33 Abs. 1 DSGVO).
• Ist das Risiko voraussichtlich hoch? Erst sie löst die Benachrichtigung der Betroffenen aus (Art. 34 Abs. 1 DSGVO).

Die 72 Stunden laufen kalendarisch, Feiertage und Wochenenden zählen mit (Verordnung (EWG, Euratom) Nr. 1182/71, Art. 3 Abs. 3). Wie daraus ein Fristende wird, steht in 72-Stunden-Frist bei einer Datenpanne berechnen.

Was in die Dokumentation gehört

Absatz 5 nennt drei Inhalte und einen Zweck: Fakten, Auswirkungen, Abhilfemaßnahmen, und die Überprüfbarkeit. Daraus ergibt sich eine Mindestgliederung, die auch ohne Meldung trägt.

• Die Fakten: was geschah, welche Datenkategorien betroffen sind, wie viele Personen, wie es auffiel.
• Der Zeitpunkt der Kenntnis mit Uhrzeit. Ohne ihn ist die Frist aus Absatz 1 nicht nachvollziehbar.
• Die Auswirkungen: welche Folgen für die betroffenen Personen möglich waren.
• Die Abhilfemaßnahmen: was den Vorfall beendet hat und Wiederholungen vorbeugt.
• Die Bewertung mit Begründung: warum kein Risiko wahrscheinlich ist. Ohne sie kann eine Behörde die Einhaltung nicht überprüfen, und genau das verlangt Satz 2.

Der letzte Punkt fehlt am häufigsten. „Nicht meldepflichtig“ allein belegt nichts. Wer benennt, welche Daten betroffen waren, wer zugreifen konnte und warum daraus kein Risiko folgt, belegt eine Entscheidung. Zwei Sätze genügen oft.

Pflicht, Empfehlung, Praxis

Vieles kursiert hier als Pflicht, was keine ist. Drei Ebenen:

• Pflicht: jede Verletzung dokumentieren, mit Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen (Art. 33 Abs. 5 Satz 1 DSGVO).
• Pflicht: so dokumentieren, dass die Aufsichtsbehörde die Einhaltung von Artikel 33 überprüfen kann (Satz 2).
• Pflicht: melden bei wahrscheinlichem Risiko (Art. 33 Abs. 1), Betroffene benachrichtigen bei hohem Risiko (Art. 34 Abs. 1 DSGVO).
• Keine Vorgabe im Wortlaut: Form, Ort und Frist. Absatz 5 nennt weder System noch Vorlage noch Zeitpunkt.
• Empfehlung: den Eintrag anlegen, solange der Vorfall bearbeitet wird, und auch Fehlalarme festhalten. Vorfälle ohne verletzte Daten erfasst Absatz 5 nicht, dokumentiert zeigen sie die Prüfung.

Zum Bußgeldrahmen, weil dazu die falsche Zahl kursiert: Artikel 33 fällt unter Art. 83 Abs. 4 Buchstabe a DSGVO, also bis zu 10 Millionen Euro oder, im Fall eines Unternehmens, bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Die viel zitierten 20 Millionen und 4 Prozent stehen in Art. 83 Abs. 5 DSGVO. Beides sind Obergrenzen.

Beide Pflichten fallen unter denselben Rahmen: Eine fehlende Dokumentation ist ein eigener Verstoß, auch wenn die Meldung zu Recht unterblieb.

Bleibt die Frage aus der Praxis: im Zweifel lieber melden? Wer meldet, liefert die vier Angaben aus Art. 33 Abs. 3 DSGVO; wer nicht meldet, belegt seine Bewertung. Entschieden wird an der Risikoprognose, nicht am Aufwand.

Praxisbeispiel: der verlorene Dienstlaptop

Ein Steuerbüro mit 14 Beschäftigten: Am Dienstag, dem 03.02.2026, bleibt um 18:20 Uhr ein Dienstlaptop im Zug liegen, um 19:05 Uhr fällt es auf. Darauf liegen Mandantenunterlagen, die Festplatte ist verschlüsselt, alle Daten stehen auch auf dem Kanzleiserver.

Die Bewertung: Eine Verletzung liegt vor, denn Art. 4 Nr. 12 DSGVO nennt den Verlust ausdrücklich. Ein Risiko hält der Verantwortliche nicht für wahrscheinlich, weil die Daten für Unbefugte unzugänglich sind und der Bestand auf dem Server bleibt. Ergebnis: keine Meldung, aber ein vollständiger Eintrag.

Hier werden zwei Dinge oft vermischt. Art. 34 Abs. 3 Buchstabe a DSGVO nennt die Verschlüsselung ausdrücklich: Die Benachrichtigung der Betroffenen entfällt, wenn Vorkehrungen die Daten für alle Unbefugten unzugänglich machen. Für die Meldung steht das nicht im Text. Art. 33 Abs. 1 DSGVO kennt nur die Risikofrage: Verschlüsselung ist dort ein starkes Argument, keine gesetzliche Ausnahme.

BetroffenenRecht24 hält den Zeitpunkt der Kenntnis fest und rechnet daraus die 72 Stunden; ab zwölf Reststunden wird die Ampel gelb. Der Melde-Check stellt die drei Fragen und endet in einem von vier Ergebnissen. Solange eine Frage offen ist, steht dort kein Ergebnis: Eine fehlende Antwort ist kein Nein. Lautet es „nicht meldepflichtig“, führt der Nachweis-Export Zeitpunkt der Kenntnis, Meldefrist und die Zeitstempel für Meldung und Betroffenen-Information; die Antworten des Melde-Checks und Ihre Beschreibung stehen im Vorfall selbst. Die Prognose trifft die Software nicht; sie hält fest, wer sie wann getroffen hat.

Geht die Prognose anders aus, ändert sich der Ablauf: Pflichtangaben und Behördenweg stehen in Datenpanne: die 72-Stunden-Meldefrist nach Art. 33 DSGVO.

Häufige Fragen

Muss ich eine Datenpanne dokumentieren, wenn ich sie nicht melde?

Ja. Art. 33 Abs. 5 DSGVO verlangt die Dokumentation jeder Verletzung, unabhängig von der Meldung. Festzuhalten sind die Fakten, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen, und zwar so, dass die Aufsichtsbehörde die Einhaltung des Artikels überprüfen kann.

Wann ist eine Datenpanne nicht meldepflichtig?

Eine Datenpanne ist nicht meldepflichtig, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO). Nach Erwägungsgrund 85 DSGVO muss der Verantwortliche das im Einklang mit der Rechenschaftspflicht nachweisen können.

Was gehört in die Dokumentation einer nicht gemeldeten Datenpanne?

In die Dokumentation gehören die Fakten, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen (Art. 33 Abs. 5 Satz 1 DSGVO), dazu die Uhrzeit der Kenntnis und die Begründung, warum kein Risiko wahrscheinlich ist. Ohne diese Begründung lässt sich die Einhaltung nicht überprüfen.

Gibt es eine Frist für die Dokumentation?

Für die Dokumentation nennt Art. 33 DSGVO keine Frist; die 72 Stunden aus Absatz 1 gelten allein der Meldung an die Aufsichtsbehörde. Praktisch gehört der Eintrag an den Anfang der Bearbeitung: Die Uhrzeit der Kenntnis lässt sich später nur aus dem Gedächtnis rekonstruieren.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.