Vertragsrecht2026-10-16

Datenpanne im Betrieb entdeckt – was muss ich in den ersten 72 Stunden tun?

Ein Mitarbeiter hat Kundendaten an den falschen Verteiler geschickt oder ein Notebook ist weg: Was Sie als Geschäftsführer jetzt binnen 72 Stunden prüfen, melden und dokumentieren müssen – und welche Fehler Bußgeld und Schadensersatz nach sich ziehen.

Offener Serverschrank mit herausgezogener Festplatte neben Kalenderblatt mit markiertem Tag für die Meldefrist — KI-generierte Illustration – Kanzlei Czirnich

Artikel anhörenKI-Stimme · 11 Min.

Die E-Mail mit allen Kundenadressen ist an einen offenen Verteiler gegangen. Jemand hat das Firmennotebook mit der Mitarbeiterliste aus dem Auto gestohlen. Oder ein Verschlüsselungstrojaner hat sich durch Ihr Netzwerk gefressen. In diesem Moment zählt jede Stunde – nicht nur technisch, sondern rechtlich. Als Geschäftsführer oder Inhaber tragen Sie die Verantwortung dafür, jetzt die richtigen Schritte einzuleiten. Genau diese Frage – was binnen 72 Stunden zu tun ist – höre ich aus Betrieben der Region am häufigsten. Die Frist selbst ist dabei die größte Falle.

Kurz gesagt

Sie müssen eine Verletzung des Schutzes personenbezogener Daten grundsätzlich binnen 72 Stunden nach Kenntnisnahme der zuständigen Aufsichtsbehörde melden. Nur wenn ein Risiko für die Rechte und Freiheiten der Betroffenen unwahrscheinlich ist, entfällt diese Pflicht. Zusätzlich müssen Sie die betroffenen Personen direkt benachrichtigen, wenn ein voraussichtlich hohes Risiko besteht. Selbst wenn Sie am Ende zu dem Ergebnis kommen, dass keine Meldung nötig ist: Dokumentieren müssen Sie den Vorfall in jedem Fall. Diese Pflicht entfällt nie.

Womit ich Ihnen helfe

Risikobewertung binnen der ersten Stunden: ob überhaupt eine Meldepflicht besteht und an wen zu melden ist
Formulierung und fristgerechte Einreichung der Meldung an das Bayerische Landesamt für Datenschutzaufsicht (BayLDA)
Prüfung, ob zusätzlich die Betroffenen zu benachrichtigen sind, und Formulierung dieser Benachrichtigung
Aufbau der Dokumentation, die im Fall einer späteren Prüfung durch die Aufsichtsbehörde Bestand hat
Vertretung gegenüber der Aufsichtsbehörde bei Rückfragen, Anhörungen oder einem Bußgeldverfahren
Klärung der Haftung gegenüber Kunden, Geschäftspartnern und im Verhältnis zu eingesetzten Dienstleistern (Auftragsverarbeitern)

Wann überhaupt eine Meldepflicht entsteht

Nicht jede Panne ist meldepflichtig. Maßgeblich ist, ob die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Nur wenn dieses Risiko unwahrscheinlich ist, entfällt die Meldung an die Behörde. Die Beweislast dafür liegt bei Ihnen als Verantwortlichem, nicht bei der Behörde.

Ein Beispiel: Eine interne E-Mail geht versehentlich an einen falschen, aber vertrauenswürdigen Kollegen im Haus. Diesen Fall bewerten Sie regelmäßig anders als denselben Fehler mit einem externen, unbekannten Empfänger. Auch ein verschlüsseltes und ordnungsgemäß gesichertes Notebook bewerten Sie anders als eines mit offenem Zugriff auf die Kundendatenbank. Entscheidend sind unter anderem die Art der betroffenen Daten, die Zahl der Betroffenen und die Frage, ob die Daten tatsächlich in falsche Hände gelangt sind oder nur gelangen konnten. Gesundheitsdaten, Finanzdaten und Daten von Kindern wiegen dabei schwerer als einfache Kontaktdaten. Diese Einschätzung müssen Sie treffen. Begründen Sie sie im Zweifel schriftlich, auch wenn Sie sich am Ende gegen eine Meldung entscheiden.

Die 72-Stunden-Frist: Beginn, Ende, Nachmeldung

Die Frist beginnt nicht mit dem Vorfall selbst, sondern mit der Kenntnisnahme durch Ihr Unternehmen. Maßgeblich ist der Moment, in dem eine verantwortliche Person im Betrieb mit ausreichender Gewissheit weiß: Eine Datenschutzverletzung liegt vor. Ein vager Verdacht reicht dafür in der Regel noch nicht. Die begründete Einschätzung, dass tatsächlich etwas passiert ist, reicht dagegen aus. Manche verschließen die Augen oder organisieren interne Meldewege unklar. Ein Vorfall kommt dann erst Tage später ans Licht. Den Fristbeginn verschiebt das trotzdem nicht.

Setzt ein Mitarbeiter oder ein externer Dienstleister Sie als Verantwortlichen über den Vorfall in Kenntnis, läuft die Frist ab diesem Zeitpunkt. Nicht erst die persönliche Information der Geschäftsführung zählt. Setzen Sie selbst einen Auftragsverarbeiter ein, etwa einen IT-Dienstleister für Ihre Kundendaten, muss dieser Sie bei einer Verletzung unverzüglich informieren. Die 72-Stunden-Frist gegenüber der Behörde trifft davon unabhängig weiterhin grundsätzlich Sie als Verantwortlichen.

Innerhalb der 72 Stunden müssen Sie nicht bereits alle Details klären. Lassen sich noch nicht alle erforderlichen Informationen beschaffen, dürfen Sie diese schrittweise nachreichen. Eine unangemessene weitere Verzögerung darf dadurch aber nicht entstehen. Überschreiten Sie die 72-Stunden-Frist insgesamt, fügen Sie der Meldung eine Begründung für die Verspätung bei. Eine Meldung ohne diese Begründung wirkt auf die Behörde deutlich schlechter als eine fristgerechte, aber noch unvollständige Meldung mit angekündigter Nachlieferung.

Wann Sie zusätzlich die Betroffenen informieren müssen

Die Meldung an die Behörde ist die eine Pflicht. Die Benachrichtigung der betroffenen Personen selbst, also zum Beispiel Ihrer Kunden oder Mitarbeiter, ist eine zweite, strengere Pflicht mit höherer Schwelle. Sie greift, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat. Dann informieren Sie unverzüglich und in klarer, einfacher Sprache. Sagen Sie, was passiert ist und welche Maßnahmen Sie ergriffen haben.

Diese Benachrichtigung entfällt ausnahmsweise in drei Fällen. Erstens: Sie hatten die Daten durch technische Maßnahmen geschützt, etwa durch wirksame Verschlüsselung, sodass Unbefugte nichts damit anfangen können. Zweitens: Sie haben das hohe Risiko durch nachträgliche Maßnahmen bereits aller Wahrscheinlichkeit nach beseitigt. Drittens: Die individuelle Benachrichtigung würde einen unverhältnismäßigen Aufwand bedeuten. In diesem dritten Fall tritt an ihre Stelle eine öffentliche Mitteilung, die ähnlich wirksam informiert. Die Aufsichtsbehörde kann Sie umgekehrt auch zu einer Benachrichtigung verpflichten. Das gilt, wenn Sie selbst keine Benachrichtigung für nötig halten, die Behörde die Lage aber anders bewertet.

Dokumentation, Bußgeld und Haftung

Unabhängig davon, ob Sie am Ende melden oder nicht, müssen Sie jede Datenschutzverletzung dokumentieren – mit den zugrunde liegenden Fakten, ihren Auswirkungen und den ergriffenen Abhilfemaßnahmen. Diese Dokumentation ist Ihr Nachweis gegenüber der Aufsichtsbehörde. Sie belegt: Ihre Entscheidung – melden oder nicht melden, Betroffene informieren oder nicht – beruhte auf einer nachvollziehbaren Risikobewertung, nicht auf Zufall oder Nachlässigkeit.

Bleibt die Meldung ganz aus, obwohl sie erforderlich gewesen wäre, kann das ein Bußgeldverfahren auslösen. Das Gleiche gilt, wenn Sie sie verspätet ohne nachvollziehbare Begründung nachreichen. Der Rahmen und die Bemessungskriterien richten sich dabei nach den einschlägigen Vorschriften der Datenschutz-Grundverordnung. Daneben steht die zivilrechtliche Seite: Betroffene können Schadensersatz verlangen, wenn ihnen durch den Verstoß ein materieller oder immaterieller Schaden entstanden ist. Nach aktueller Rechtslage kann dabei bereits der bloße, spürbare Verlust der Kontrolle über die eigenen Daten als immaterieller Schaden ausreichen. Einen konkreten Missbrauch der Daten müssen Betroffene dafür nicht nachweisen. Das erhöht das wirtschaftliche Risiko einer schlecht gehandhabten Datenpanne für Sie als Unternehmen deutlich.

Ein typischer Fall aus der Praxis

Die Buchhaltung eines mittelständischen Handwerksbetriebs verschickt eine Excel-Tabelle mit Namen, Adressen und Bankverbindungen von rund 200 Kunden an einen falsch ausgewählten Sammelverteiler. Dieser Verteiler enthält auch betriebsfremde Dritte. Der Fehler fällt noch am selben Nachmittag auf. Die Geschäftsführung ruft sofort bei mir an: Muss ich das melden, und wenn ja, wie formuliere ich das, ohne mich selbst zu belasten? Ich bewerte die Daten – Bankverbindungen sind sensibel genug, um ein Risiko zu begründen – und berechne die Frist ab dem Moment der Entdeckung. Ich formuliere die Meldung an das BayLDA samt der noch fehlenden Detailinformationen als angekündigte Nachmeldung. Parallel kläre ich, ob und wie ich die betroffenen Kunden informieren muss. Die gesamte Dokumentation baue ich so auf, dass sie Bestand hat. Auch Monate später belegt sie noch, warum ich welche Entscheidung getroffen habe.

Häufige Fehler

Manche zählen die Frist erst ab der Entscheidung „das ist wohl meldepflichtig“, nicht ab dem tatsächlichen Zeitpunkt der Kenntnisnahme. Damit ist man oft schon zu spät.
Manche dokumentieren gar nichts, weil sie sich – zu Recht oder zu Unrecht – gegen eine Meldung entscheiden. Die Dokumentationspflicht besteht aber unabhängig davon.
Manche verschleppen die Meldung aus Angst vor Selbstbelastung, bis alle Details geklärt sind, statt fristgerecht mit angekündigter Nachlieferung zu melden.
Auftragsverarbeiter melden Vorfälle zu spät oder gar nicht an den Verantwortlichen, weil die vertragliche Meldepflicht nicht klar genug geregelt war.
Manche informieren Betroffene pauschal gar nicht, aus Sorge vor Reputationsschaden. Bei hohem Risiko besteht aber eine Rechtspflicht dazu, und das Verschweigen vergrößert das Haftungsrisiko eher.

Häufige Fragen

Muss ich wirklich jede kleine Panne melden?

Nein. Meldepflichtig ist nur, was voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Eine interne Fehlzustellung ohne Zugriff Unbefugter kann im Ergebnis anders zu bewerten sein als derselbe Fehler mit externen Empfängern. Dokumentieren Sie die Einschätzung trotzdem, auch wenn sie am Ende „keine Meldung nötig“ lautet.

An wen melde ich eine Datenpanne in Bayern?

Zuständig für nicht-öffentliche Stellen wie Unternehmen ist in Bayern das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Die Meldung erfolgt über die von der Behörde dafür vorgesehenen Wege.

Was, wenn ich die 72-Stunden-Frist nicht einhalten kann?

Melden Sie trotzdem so früh wie möglich mit den Informationen, die Sie bereits haben, und reichen Sie den Rest schrittweise nach. Bei einer Überschreitung der Frist fügen Sie der Meldung eine Begründung für die Verzögerung bei. Eine nachvollziehbar begründete verspätete Meldung steht deutlich besser als eine unbegründete.

Kann mein IT-Dienstleister für die Panne haftbar sein?

Wenn der Dienstleister als Auftragsverarbeiter für Sie Daten verarbeitet hat, trifft ihn eine Pflicht: Er muss Sie unverzüglich über eine bei ihm aufgetretene Verletzung informieren. Die Meldepflicht gegenüber der Aufsichtsbehörde trifft davon unabhängig grundsätzlich Sie als Verantwortlichen. Ob und in welchem Umfang der Dienstleister Ihnen gegenüber haftet, richtet sich nach Ihrem Vertrag mit ihm.

Reicht es, wenn ich die Panne nur intern dokumentiere?

Nur wenn nach sorgfältiger Prüfung tatsächlich kein Risiko besteht, entfällt die Meldung an die Behörde. Die Dokumentationspflicht bleibt davon unberührt und besteht in jedem Fall. Fehlt diese Dokumentation später bei einer Prüfung, wirkt das gegen Sie, selbst wenn die Entscheidung gegen eine Meldung inhaltlich richtig war.

Ihr nächster Schritt

Wenn Sie gerade eine Datenpanne im Betrieb entdeckt haben, zählt jetzt jede Stunde für die Risikobewertung und die Fristberechnung. Warten Sie damit nicht, bis alle Details geklärt sind. Rufen Sie mich an, bevor Sie intern entscheiden, „das wird schon nicht so schlimm sein“. Ich bewerte mit Ihnen gemeinsam das Risiko, formuliere die Meldung an die Aufsichtsbehörde fristgerecht und baue die Dokumentation so auf, dass sie auch bei einer späteren Prüfung trägt. Datenschutzfragen in Unternehmen sind regelmäßig eng mit vertraglichen Pflichten gegenüber Kunden und Dienstleistern verzahnt. Mehr dazu im Bereich Vertragsrecht.

Dieser Beitrag gibt allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. Stand: 2026-10-16.

Dieser Beitrag stammt von Christian Czirnich, Rechtsanwalt seit 1994, Kirchseeon (Landkreis Ebersberg). Er berät im Vertragsrecht und in der Firmenberatung Verbraucher, Händler sowie kleine und mittlere Unternehmen aus dem Landkreis Ebersberg, dem Münchner Osten und dem Raum Rosenheim, auf Wunsch per Video.

Christian Czirnich, Rechtsanwalt, Kirchseeon bei München

Schreiben Sie mir, was passiert ist und wann Sie es entdeckt haben – ich prüfe es.

Ich lese jede Nachricht selbst und antworte in der Regel am nächsten Werktag. Was Sie mir schreiben, unterliegt der anwaltlichen Verschwiegenheit, vom ersten Wort an und auch dann, wenn kein Mandat zustande kommt. Die erste Einschätzung kostet nichts.