72-Stunden-Meldefrist-Rechner
Nach einer Datenschutzverletzung bleiben Ihnen 72 Stunden, um die Aufsichtsbehörde zu informieren. Die Frist läuft ab dem Moment der Kenntniserlangung — nicht ab dem Vorfall selbst. Tragen Sie ein, wann Sie Kenntnis erlangt haben, und Sie sehen den exakten Fristablauf.
Ohne Anmeldung · läuft in Ihrem Browser · keine Eingabe wird übertragen
Wann waren Sie hinreichend sicher, dass personenbezogene Daten betroffen sind?
Zeitpunkt eintragen, um den Fristablauf zu sehen.
Art. 33 Abs. 1 DSGVO verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Kenntniserlangung an die zuständige Aufsichtsbehörde zu melden. Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt — diese Einschätzung müssen Sie dokumentieren können. Erfolgt die Meldung später als 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen. Unabhängig von der Meldung sind nach Art. 33 Abs. 5 DSGVO alle Verletzungen intern zu dokumentieren.
Nur zur Orientierung — keine Rechtsberatung. Ob eine Meldepflicht besteht, hängt von der Risikobewertung im Einzelfall ab; der Rechner berechnet ausschließlich die Frist. Die Bewertung, ob zusätzlich die betroffenen Personen nach Art. 34 DSGVO zu benachrichtigen sind, ersetzt er nicht.
Häufige Fragen
- Ab wann läuft die 72-Stunden-Frist?
- Ab der Kenntniserlangung, nicht ab dem Zeitpunkt des Vorfalls. Kenntnis liegt vor, sobald der Verantwortliche hinreichend sicher ist, dass ein Sicherheitsvorfall zu einer Verletzung des Schutzes personenbezogener Daten geführt hat. Eine kurze Phase der Prüfung, ob überhaupt eine Verletzung vorliegt, ist zulässig und löst die Frist noch nicht aus — sie darf aber nicht zur Verzögerungstaktik werden.
- Zählen Wochenenden und Feiertage mit?
- Ja. Die 72 Stunden sind Kalenderstunden und laufen durchgehend, auch über Samstag, Sonntag und Feiertage. Eine Kenntniserlangung am Freitagnachmittag bedeutet daher eine Frist, die am Montagnachmittag endet. Genau deshalb sollte der Meldeprozess auch außerhalb der Bürozeiten funktionieren.
- Was passiert, wenn ich die Frist verpasse?
- Die Meldung ist trotzdem abzugeben — eine verpasste Frist macht die Pflicht nicht gegenstandslos. Nach Art. 33 Abs. 1 Satz 2 DSGVO müssen Sie der verspäteten Meldung eine Begründung für die Verzögerung beifügen. Der Verstoß gegen die Meldepflicht selbst kann nach Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
- Muss ich jede Datenpanne melden?
- Nein. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt — etwa bei wirksam verschlüsselten Daten, deren Schlüssel nicht kompromittiert wurde. Diese Einschätzung müssen Sie aber begründen und dokumentieren; intern zu dokumentieren sind nach Art. 33 Abs. 5 DSGVO ausnahmslos alle Verletzungen.
- Was ist der Unterschied zu Art. 34 DSGVO?
- Art. 33 regelt die Meldung an die Aufsichtsbehörde, Art. 34 die Benachrichtigung der betroffenen Personen. Letztere greift erst bei einem voraussichtlich hohen Risiko, kennt keine 72-Stunden-Frist, sondern verlangt eine unverzügliche Benachrichtigung — kann also im Ergebnis schneller sein als die Meldung an die Behörde.
- Was gilt für Auftragsverarbeiter?
- Auftragsverarbeiter melden nicht selbst an die Aufsichtsbehörde. Sie müssen den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren — ohne eigene 72-Stunden-Frist, weil die Frist des Verantwortlichen erst mit dessen Kenntnis beginnt. In der Praxis gehören deshalb konkrete Meldefristen in den Auftragsverarbeitungsvertrag.