Art. 33 DSGVO: Die 72-Stunden-Meldepflicht und ihre strafrechtlichen Folgen
Kurz und klar
Art. 33 DSGVO verlangt bei jeder Verletzung des Schutzes personenbezogener Daten eine Meldung an die zuständige Aufsichtsbehörde – unverzüglich und möglichst binnen 72 Stunden ab Kenntnis. Ausnahme: die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Frist beginnt mit der Kenntnis des Verantwortlichen von der Verletzung, nicht mit vollständiger Aufklärung. Verstöße können mit Bußgeldern bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO geahndet werden. Wichtig: Eine erfolgte Meldung nach Art. 33 DSGVO darf nach § 42 Abs. 4 BDSG in einem Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. Dieser Selbstbelastungsschutz ist ein zentraler, aber häufig unterschätzter Grund, warum die Meldung auch bei möglichem eigenen Fehlverhalten erfolgen sollte.
Inhaltsverzeichnis
2. Wann liegt eine Datenschutzverletzung vor
3. Die 72-Stunden-Frist im Detail
4. Wann besteht ausnahmsweise keine Meldepflicht
5. Meldeinhalt nach Art. 33 Abs. 3 DSGVO
6. Verhältnis zur Benachrichtigung nach Art. 34 DSGVO
7. Sanktionen bei Verletzung der Meldepflicht
8. Der Selbstbelastungsschutz nach § 42 Abs. 4 BDSG
9. Zusammenspiel mit NIS-2 und sektorspezifischen Meldepflichten
10. Praxis-Insight aus der Krisenperspektive
11. Häufige Fragen
1. Wortlaut und Grundstruktur
Der Wortlaut lautet:
Art. 33 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(2) Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.
(3) Die Meldung enthält zumindest: a) die Beschreibung der Art der Verletzung; b) Namen und Kontaktdaten des Datenschutzbeauftragten oder anderer Auskunftsstellen; c) die wahrscheinlichen Folgen; d) die zur Behebung ergriffenen oder vorgeschlagenen Maßnahmen.
(4) Soweit und sobald die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise bereitstellen.
(5) Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, von deren Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.
Adressat der Norm: Der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Auftragsverarbeiter melden intern an den Verantwortlichen, nicht selbst an die Behörde.
Zeitliche Struktur: Die 72-Stunden-Frist ist eine Soll-Vorgabe. Die eigentliche Norm ist „unverzüglich" – die 72 Stunden sind lediglich die Höchstgrenze. Bei besonders schweren Verletzungen kann eine noch schnellere Meldung geboten sein.
2. Wann liegt eine Datenschutzverletzung vor
Art. 4 Nr. 12 DSGVO definiert die Datenschutzverletzung als „eine Verletzung der Sicherheit, die – ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden."
Dies umfasst drei Kategorien:
Vertraulichkeitsverletzung (Confidentiality Breach): Unbefugte Offenlegung oder Zugriff auf personenbezogene Daten. Beispiele: Hacking-Angriff, verlorene Laptops, versehentliche E-Mail an falsche Empfänger, verlegte Aktenordner.
Integritätsverletzung (Integrity Breach): Unbeabsichtigte oder unrechtmäßige Veränderung von Daten. Beispiele: Manipulierte Datenbankeinträge, fehlerhafte Datenimporte, korrumpierte Backups.
Verfügbarkeitsverletzung (Availability Breach): Unbeabsichtigter oder unrechtmäßiger Verlust bzw. Vernichtung. Beispiele: Ransomware-Verschlüsselung, versehentliche Löschung, Server-Ausfall mit Datenverlust ohne Wiederherstellungsmöglichkeit.
Wichtig: Auch temporäre Ausfälle können Verfügbarkeitsverletzungen sein. Ein Ransomware-Angriff, bei dem Daten verschlüsselt und später wiederhergestellt werden, ist trotzdem eine Verletzung.
3. Die 72-Stunden-Frist im Detail
3.1 Fristbeginn: Kenntnis, nicht vollständige Aufklärung
Die Frist beginnt mit der Kenntnis des Verantwortlichen von der Datenschutzverletzung. Kenntnis liegt vor, wenn der Verantwortliche eine hinreichende Gewissheit über den Eintritt einer Verletzung hat. Das setzt nicht die vollständige Aufklärung voraus – es reicht die begründete Annahme, dass eine meldepflichtige Verletzung eingetreten ist.
Praxisfall: Ein SIEM-Alarm zeigt einen ungewöhnlichen Datenzugriff. Die Untersuchung läuft. Nach 24 Stunden verdichtet sich der Verdacht auf ein tatsächliches Datenleck. Die Frist beginnt in diesem Moment – nicht erst nach abgeschlossener forensischer Analyse.
3.2 Fristende und „möglichst binnen 72 Stunden"
Die 72 Stunden sind Kalenderstunden, keine Werktage. Sie laufen kontinuierlich – auch über Wochenenden und Feiertage. Die Formulierung „möglichst" bedeutet: Wenn die Meldung binnen 72 Stunden nicht möglich ist, muss sie schnellstmöglich danach mit Begründung der Verzögerung erfolgen.
3.3 Die schrittweise Meldung nach Art. 33 Abs. 4
Wenn nicht alle Informationen binnen 72 Stunden verfügbar sind, kann und muss der Verantwortliche schrittweise melden. Erste Meldung mit den vorhandenen Informationen, spätere Nachträge, wenn die Aufklärung fortgeschritten ist.
Praxis-Empfehlung: Nie auf die vollständige Aufklärung warten. Die Erstmeldung sollte binnen der Frist erfolgen, mit klarer Kennzeichnung als vorläufig und mit Verweis auf Nachlieferung.
3.4 Was zählt zum „Verantwortlichen"?
Kenntnis liegt vor, wenn eine Person mit ausreichender Verantwortung im Unternehmen Kenntnis erlangt. Nicht jeder Mitarbeiter löst die Frist aus – aber die IT-Leitung, die Compliance-Verantwortung, der DPO und die Geschäftsleitung tun es regelmäßig. Interne Meldeketten müssen sicherstellen, dass Kenntnis auf der richtigen Ebene schnell festgestellt und dokumentiert wird.
4. Wann besteht ausnahmsweise keine Meldepflicht
Die Meldung entfällt, „wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt."
4.1 Risikobewertung
Erforderlich ist eine strukturierte Bewertung nach Kriterien:
Art der Verletzung: Datenexfiltration ist regelmäßig risikoreicher als bloße Datenlöschung mit intakten Backups.
Art der betroffenen Daten: Gesundheitsdaten, Finanzdaten, Sozialdaten oder Passwörter erhöhen das Risiko.
Anzahl Betroffener und Datensätze: Größere Betroffenenzahl erhöht regelmäßig das Risiko.
Identifizierbarkeit der Personen: Pseudonymisierte oder anonymisierte Daten mindern das Risiko.
Umstände der Verletzung: Zielgerichteter Angriff riskanter als versehentliche interne Weitergabe.
4.2 Die konservative Praxis
In der Praxis empfehlen Aufsichtsbehörden und Fachleute eine konservative Handhabung: Im Zweifel melden. Die nachträgliche Argumentation, warum eine Meldung unterblieb, ist deutlich schwieriger als die Argumentation, warum eine Meldung erfolgte, obwohl das Risiko möglicherweise nicht bestand.
Praxis-Faustregel: Wenn die Bewertung „kein Risiko" nicht zweifelsfrei dokumentiert werden kann, ist die Meldung der sichere Weg.
4.3 Dokumentation der Nicht-Meldung
Auch Nicht-Meldungen müssen intern dokumentiert werden. Art. 33 Abs. 5 DSGVO verpflichtet den Verantwortlichen, alle Datenschutzverletzungen zu dokumentieren – einschließlich Ausmaß, Auswirkung, ergriffener Maßnahmen und der Risikobewertung, die zur Nicht-Meldung geführt hat. Bei einer späteren Prüfung durch die Aufsichtsbehörde ist diese Dokumentation der zentrale Verteidigungspunkt.
5. Meldeinhalt nach Art. 33 Abs. 3 DSGVO
Die Meldung muss vier Kernelemente enthalten:
Art der Verletzung: Beschreibung der konkreten Verletzung, wenn möglich mit Angabe der betroffenen Kategorien und ungefährer Zahl der Personen sowie der betroffenen Datensätze.
Kontaktdaten: Namen und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Auskunftsstelle.
Wahrscheinliche Folgen: Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung für die betroffenen Personen.
Ergriffene oder vorgeschlagene Maßnahmen: Zur Behebung der Verletzung und zur Milderung möglicher nachteiliger Auswirkungen.
5.1 Meldeformulare der Aufsichtsbehörden
Die deutschen Datenschutzaufsichtsbehörden bieten strukturierte Meldeformulare an. Diese sind der einfachste Weg zur Meldung und erfüllen alle formalen Anforderungen. Bei den 16 Landesaufsichtsbehörden und dem Bundesbeauftragten sind die Formulare unterschiedlich, aber inhaltlich ähnlich.
5.2 Präzision vor Vollständigkeit
Für die Erstmeldung gilt: lieber präzise unvollständig als vollständig ungenau. Angaben, die später korrigiert werden müssen, schaden mehr als klar als vorläufig markierte Angaben mit Nachlieferung.
6. Verhältnis zur Benachrichtigung nach Art. 34 DSGVO
Neben der Meldung an die Aufsichtsbehörde regelt Art. 34 DSGVO die Benachrichtigung der Betroffenen selbst.
6.1 Anwendungsbereich Art. 34
Die Benachrichtigung der Betroffenen ist erforderlich, wenn die Datenschutzverletzung „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat." Die Schwelle ist damit höher als bei Art. 33 – nicht jede meldepflichtige Verletzung erfordert auch die Betroffenenbenachrichtigung.
6.2 Ausnahmen von der Benachrichtigungspflicht
Art. 34 Abs. 3 nennt drei Ausnahmen:
Der Verantwortliche hat geeignete Schutzmaßnahmen (insbesondere Verschlüsselung) getroffen, die die Daten für Dritte unzugänglich machen.
Der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko voraussichtlich nicht mehr besteht.
Die Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden – dann öffentliche Bekanntmachung.
6.3 Praktische Kombination
In der Praxis werden Art. 33 und Art. 34 gemeinsam bewertet. Der typische Prozess: (1) Verletzung eintritt und wird erkannt; (2) Risikobewertung binnen 24 Stunden; (3) Meldung an Aufsichtsbehörde nach Art. 33 innerhalb der 72-Stunden-Frist; (4) parallel Prüfung Art. 34-Anwendbarkeit; (5) falls einschlägig, Benachrichtigung der Betroffenen, häufig mit Klartext-Information zu Handlungsoptionen (Passwortänderung, Kontrolle Kontoauszüge, etc.).
7. Sanktionen bei Verletzung der Meldepflicht
Verstöße gegen Art. 33 DSGVO fallen unter Art. 83 Abs. 4 DSGVO. Der Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
7.1 Typische Verstöße
Nicht-Meldung trotz meldepflichtiger Verletzung
Verspätete Meldung ohne dokumentierte Begründung
Unvollständige oder irreführende Meldung
Fehlende Dokumentation nach Art. 33 Abs. 5
7.2 Enforcement-Praxis 2024–2026
Die deutschen Aufsichtsbehörden verfolgen Verletzungen der Meldepflicht zunehmend systematisch. Häufig werden sie im Rahmen einer breiteren DSGVO-Compliance-Prüfung entdeckt, nachdem eine andere Verletzung ans Licht kommt. Nach dem CJEU-Urteil Deutsche Wohnen (Dezember 2023) sind Bußgelder direkt gegen die verantwortliche juristische Person möglich, ohne dass eine Verletzung einer natürlichen Person nachgewiesen werden muss.
7.3 Zusätzliche Konsequenzen
Neben dem Bußgeld drohen:
Reputationsschaden durch behördliche Bekanntmachung
Regressansprüche der Geschäftsleitung nach § 43 GmbHG / § 93 AktG bei erwiesenem Verstoß
Zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO
Bei parallelen strafrechtlichen Sachverhalten (§ 42 BDSG) mögliche strafrechtliche Konsequenzen für einzelne Verantwortliche
8. Der Selbstbelastungsschutz nach § 42 Abs. 4 BDSG
Ein zentraler, häufig übersehener Punkt: Wenn die Datenschutzverletzung möglicherweise auf eigenes strafbares Verhalten des Verantwortlichen zurückgeht, greift der Selbstbelastungsschutz.
8.1 Der Schutz im Wortlaut
§ 42 Abs. 4 BDSG stellt klar: Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 DSGVO darf in einem Strafverfahren gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden.
8.2 Warum diese Norm existiert
Ohne den Schutz würde die 72-Stunden-Meldung als faktischer Selbstbelastungszwang wirken – der Meldepflichtige müsste eine strafrechtlich relevante Tatsache offenlegen und würde damit die eigene Verurteilung fördern. Das wäre mit dem verfassungsrechtlichen nemo-tenetur-Grundsatz nicht vereinbar. § 42 Abs. 4 BDSG löst diese Spannung.
8.3 Was der Schutz konkret leistet
Die Meldung selbst ist im Strafverfahren gegen den Meldenden unverwertbar – ohne dessen Zustimmung.
Angehörige des Meldenden im Sinne des § 52 Abs. 1 StPO sind gleichermaßen geschützt.
Die Aufsichtsbehörde darf die Meldung an die Staatsanwaltschaft weitergeben – aber die Staatsanwaltschaft darf sie in einem Verfahren gegen den Melder nicht ohne Zustimmung verwerten.
8.4 Grenzen des Schutzes
Mittelbar erlangte Beweise (Sekundärbeweise) sind nicht automatisch geschützt. Wenn die Ermittlungsbehörde aufgrund der Meldung eine Durchsuchung durchführt und dabei Beweise findet, sind diese in aller Regel verwertbar.
Verfahren gegen Dritte (nicht den Meldepflichtigen) sind nicht geschützt.
Verwaltungs- und Bußgeldverfahren fallen nicht unter den strafrechtlichen Schutz – hier ist die Meldung verwertbar.
8.5 Praktische Bedeutung
Für den Verantwortlichen bedeutet das: Auch bei möglicher eigener Betroffenheit spricht in aller Regel viel für die fristgerechte Meldung. Sie öffnet keinen weiteren strafrechtlichen Angriff, und sie vermeidet den zusätzlichen Vorwurf der Verletzung der Meldepflicht.
Für die Verteidigung: Die Verwertbarkeit von Beweisen aus DSGVO-Meldungen ist häufig streitig. Vor allem bei Fernwirkungen (Sekundärbeweisen) gibt es Verteidigungsansätze, die bei sorgfältiger Argumentation greifen können.
9. Zusammenspiel mit NIS-2 und sektorspezifischen Meldepflichten
Die 72-Stunden-Meldung nach Art. 33 DSGVO ist selten die einzige Meldepflicht. Bei Cybervorfällen laufen parallele Meldungen:
9.1 NIS-2 (§ 32 BSIG neuer Fassung)
Bei besonders wichtigen und wichtigen Einrichtungen im Sinne der NIS-2-Umsetzung greifen zusätzliche Fristen:
24 Stunden: Frühwarnung an das BSI mit ersten verfügbaren Informationen
72 Stunden: Vorfallsmeldung mit vertiefter Bewertung
1 Monat: Abschlussbericht
Die Meldung nach Art. 33 DSGVO und die NIS-2-Meldung müssen aufeinander abgestimmt sein – inhaltliche Widersprüche zwischen den Meldungen können zusätzliche Probleme schaffen.
9.2 Sektorspezifische Pflichten
Finanzsektor: Meldepflichten nach § 44 KWG, MaRisk und BaFin-Rundschreiben; bei DORA nun EU-weit vereinheitlicht.
Gesundheitssektor: § 75c SGB V mit spezifischen Meldeanforderungen.
KRITIS-Bereiche: Sektorspezifische Regelungen nach BSIG.
Elektronische Kommunikation: § 168 TKG-E mit Meldung an BNetzA und BSI.
9.3 Koordination
In der Praxis sollte die Kommunikation mit allen Aufsichtsbehörden koordiniert erfolgen. Ein einheitlicher Sachverhaltsdarstellung, angepasst an die jeweiligen formalen Anforderungen, ist deutlich besser als parallele, inkonsistente Meldungen. Bei größeren Vorfällen ist eine externe Rechtsberatung mit Erfahrung in multi-regulatorischen Vorfallsmeldungen wertvoll.
10. Praxis-Insight aus der Krisenperspektive
Aus meiner Doppelrolle als Rechtsanwalt und Gründer eines Compliance-Automatisierungs-Unternehmens sehe ich Vorfälle regelmäßig aus operativer und rechtlicher Perspektive. Drei Beobachtungen:
Erstens: Die 72-Stunden-Frist erzwingt Struktur, die nicht improvisiert werden kann. Wer erst nach dem Vorfall über Meldeprozesse nachdenkt, hat verloren. Unternehmen brauchen einen dokumentierten, geübten Meldeprozess mit klaren Rollen: Wer entscheidet über das Vorliegen einer Verletzung? Wer bewertet das Risiko? Wer verfasst die Meldung? Wer gibt sie frei? Wer kommuniziert mit Betroffenen? Diese Fragen müssen vorher geklärt sein, nicht im Krisenmodus.
Zweitens: Der Selbstbelastungsschutz wird strategisch unterschätzt. Ich sehe regelmäßig Fälle, in denen Verantwortliche die Meldung unterlassen oder verzögern, weil sie strafrechtliche Konsequenzen fürchten. Diese Sorge ist häufig unbegründet – § 42 Abs. 4 BDSG schützt die Meldung selbst. Die Nicht-Meldung schafft dagegen einen zusätzlichen Bußgeldtatbestand und häufig gleich einen Vorwurf gegen die Geschäftsleitung wegen Aufsichtspflichtverletzung. Die Meldung ist in fast allen Fällen der bessere strategische Zug.
Drittens: Die Kommunikation mit Betroffenen ist der reputationsentscheidende Teil. Die Meldung an die Behörde ist Pflichtprogramm. Die Benachrichtigung der Betroffenen nach Art. 34 – falls erforderlich – prägt aber die Reputation. Klare Sprache, konkrete Handlungsempfehlungen, ehrliche Einordnung des Vorfalls: das unterscheidet Unternehmen, die einen Vorfall bewältigen, von Unternehmen, die dauerhaft Vertrauensschaden davontragen.
11. Häufige Fragen
Ab wann läuft die 72-Stunden-Frist?
Ab dem Zeitpunkt der Kenntnis des Verantwortlichen von der Datenschutzverletzung. Kenntnis bedeutet begründete Annahme, dass eine meldepflichtige Verletzung eingetreten ist – nicht vollständige Aufklärung. Wenn Kenntnis am Donnerstagabend eintritt, muss die Meldung spätestens Sonntagabend erfolgen.
Muss jede Datenpanne gemeldet werden?
Nein. Wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, entfällt die Meldung. Diese Bewertung muss aber dokumentiert werden (Art. 33 Abs. 5 DSGVO). Im Zweifel ist die Meldung der sichere Weg.
Was passiert, wenn die 72-Stunden-Frist nicht eingehalten werden kann?
Die Meldung ist trotzdem erforderlich, mit einer Begründung der Verzögerung (Art. 33 Abs. 1 Satz 2 DSGVO). Aufsichtsbehörden akzeptieren Begründungen wie „Sachverhalt noch nicht abschließend geklärt" nur mit sehr begrenzter Toleranz. Die Erstmeldung mit vorläufigen Informationen ist immer besser als Verzögerung.
Wer meldet – der Verantwortliche oder der DPO?
Rechtlich der Verantwortliche (Geschäftsleitung, ggf. delegiert an einen dokumentierten Verantwortlichen). Der DPO berät und unterstützt, ist aber typischerweise nicht selbst Meldepflichtiger. Bei Konzernstrukturen ist die zuständige Verantwortlichen-Einheit häufig zu klären.
Muss ich Meldungen der Aufsichtsbehörde später öffentlich machen?
Nicht automatisch. Die Meldung an die Aufsichtsbehörde ist grundsätzlich vertraulich. Anders die Benachrichtigung der Betroffenen nach Art. 34 – diese ist naturgemäß nach außen sichtbar. Bei börsennotierten Unternehmen kann zusätzlich Ad-hoc-Publizität nach Art. 17 MAR ausgelöst sein.
Was passiert, wenn ich versehentlich zu viel melde?
Vorläufige oder überschießende Meldungen können später korrigiert werden. Aufsichtsbehörden akzeptieren dies als transparente Fehlerbewältigung. Zu viel zu melden schadet deutlich weniger als zu wenig oder zu spät zu melden.
Können Meldungen später gegen mich verwendet werden?
Nach § 42 Abs. 4 BDSG darf die Meldung im Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. In Bußgeldverfahren nach Art. 83 DSGVO ist sie verwertbar. Diese Trennung sollte in der Meldeformulierung mitgedacht werden.
Wie hoch sind die Bußgelder bei verspäteter Meldung?
Rahmen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. In der Praxis staffeln Aufsichtsbehörden nach Schwere: geringe Verzögerung bei sonstiger Kooperation im mittleren fünfstelligen Bereich, systematische Nicht-Meldung im sechs- bis siebenstelligen Bereich. Bei parallelen anderen DSGVO-Verstößen können Summen deutlich höher ausfallen.
Fazit
Die 72-Stunden-Meldung nach Art. 33 DSGVO ist eine der praktisch bedeutsamsten Pflichten des Datenschutzrechts. Sie verlangt Struktur, Geschwindigkeit und juristische Sicherheit in einer Krisensituation. Wer die Prozesse vorher geübt hat, meistert die Meldung als Routine. Wer improvisiert, riskiert nicht nur den Verletzungsvorwurf selbst, sondern auch den zusätzlichen Vorwurf der Meldepflichtverletzung – und die persönliche Haftung der Geschäftsleitung.
Der Selbstbelastungsschutz nach § 42 Abs. 4 BDSG ist ein zentraler, in der Praxis unterschätzter Anker. Er ermöglicht die Meldung auch in Situationen möglichen eigenen Fehlverhaltens, ohne dass daraus automatisch strafrechtliche Nachteile entstehen. Diese Struktur zu verstehen und zu nutzen unterscheidet gut beratene Verantwortliche von schlecht beratenen.
Für Unternehmer, DPOs und Compliance-Verantwortliche gilt: Die Meldung ist in aller Regel der bessere strategische Zug. Bei Zweifelsfragen zur Meldepflicht, zur Risikobewertung oder zum Selbstbelastungsschutz sollte frühzeitig rechtlicher Rat eingeholt werden – die 72 Stunden vergehen schnell.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf Wirtschaftsstrafrecht, IT- und Cyber-Strafrecht, Datenschutzstrafrecht und Compliance in Krisensituationen. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.