Vorhaben besprechen

TOOLBOX · DOWNLOAD

72 Stundenfür dieMeldung.

Ein falsch adressiertes E-Mail, ein gestohlenes Notebook oder ein Angriff auf den Server: Wenn personenbezogene Daten betroffen sind, beginnt mit der Kenntnis eine Frist von 72 Stunden. Diese Checkliste führt Sie durch die Schritte nach Art. 33 und 34 DSGVO: feststellen, ob eine Verletzung vorliegt, das Risiko für die betroffenen Personen bewerten, an die Österreichische Datenschutzbehörde melden, die Betroffenen benachrichtigen und jede Verletzung dokumentieren. Sie stützt sich auf die Leitlinien 9/2022 und 01/2021 des Europäischen Datenschutzausschusses und die Hinweise der Datenschutzbehörde.

PDF herunterladen (8 Seiten)Was drinsteht

Kostenloses PDF · Checkliste

Datenpanne nach DSGVO: Checkliste für die ersten 72 Stunden

Thema
NIS2 & Compliance
Format
PDF, A4
Umfang
8 Seiten
Größe
109 KB
Stand
25.10.2026
Quellen
8
Nutzung
Weitergabe in unveränderter Form erlaubt
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Feststellen, Risiko bewerten, an die Datenschutzbehörde melden, Betroffene benachrichtigen und dokumentieren, nach Art. 33 und 34 DSGVO und den EDSA-Leitlinien.

  • Verantwortliche nach der DSGVO: Geschäftsführung kleiner und mittlerer Unternehmen
  • Datenschutzbeauftragte und Datenschutzkoordination
  • IT-Leitung, die Sicherheitsvorfälle erkennt und bearbeitet
  • Auftragsverarbeiter, die Verletzungen an ihre Auftraggeber melden müssen

8 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Was eine Datenpanne ist

    Begriff, die drei Arten und wann die Frist zu laufen beginnt

  • 02

    Die ersten 72 Stunden im Überblick

    Vom ersten Hinweis bis zur Meldung und Benachrichtigung

  • 03

    Risiko bewerten

    Kriterien des EDSA und die drei möglichen Ergebnisse

  • 04

    Beispiele aus den Leitlinien des EDSA

    Wie der EDSA typische Fälle beurteilt

  • 05

    Meldung an die Datenschutzbehörde

    Inhalt, Meldeweg in Österreich und schrittweise Meldung

  • 06

    Betroffene benachrichtigen

    Wann, mit welchem Inhalt und welche Ausnahmen gelten

  • 07

    Jede Datenpanne dokumentieren

    Register der Verletzungen, auch wenn nicht gemeldet wird

  • 08

    Zusammenspiel mit NIS2, Polizei und Reform

    Weitere Meldewege und was sich ändern könnte

AUSZUG

Risiko bewerten

Zu bewerten sind Eintrittswahrscheinlichkeit und Schwere möglicher Folgen für die betroffenen Personen, nicht für das Unternehmen. Anders als bei einer Datenschutz-Folgenabschätzung geht es um ein Ereignis, das bereits eingetreten ist. Der EDSA empfiehlt, diese Kriterien zu berücksichtigen (Leitlinien 9/2022, Abschnitt IV):

  • Art der Verletzung: Offenlegung von Gesundheitsdaten wirkt anders als ihr Verlust.
  • Art, Sensibilität und Umfang der Daten: Gesundheits-, Ausweis- und Finanzdaten, Kombinationen von Daten, auch scheinbar harmlose Daten mit verräterischem Inhalt.
  • Wie leicht sich Personen identifizieren lassen; angemessen verschlüsselte Daten sind für Unbefugte ohne Schlüssel unverständlich.
  • Schwere und Dauer der Folgen: Identitätsdiebstahl, Betrug, körperlicher Schaden, psychische Belastung, Rufschaden; ob die Daten bei vertrauenswürdigen oder unbekannten Empfängern sind.
  • Besondere Merkmale der Betroffenen, etwa Kinder oder andere schutzbedürftige Personen, und des Verantwortlichen, etwa eine medizinische Einrichtung.
  • Zahl der betroffenen Personen.
Ergebnis der Bewertung und Folgen
ErgebnisWas zu tun istFundstelle
Voraussichtlich kein RisikoNur intern dokumentieren; Risiko neu bewerten, wenn sich die Lage ändert.Art. 33 Abs. 1 und 5 DSGVO
RisikoZusätzlich an die Datenschutzbehörde melden, unverzüglich und möglichst binnen 72 Stunden.Art. 33 Abs. 1 DSGVO
Voraussichtlich hohes RisikoZusätzlich die betroffenen Personen unverzüglich benachrichtigen, außer eine Ausnahme greift.Art. 34 Abs. 1 und 3 DSGVO

Im Zweifel rät der EDSA, vorsichtig zu sein und zu melden (Leitlinien 9/2022, Rn. 119).

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. Verordnung (EU) 2016/679 (DSGVO), deutsche Fassung auf EUR-Lex (öffnet in neuem Tab)Art. 4 Z 12, Art. 33, 34 und 83 Abs. 4, gelesen am 25.10.2026
  2. EDSA: Leitlinien 9/2022 zur Meldung von Datenschutzverletzungen, Version 2.0 (28.03.2023) (öffnet in neuem Tab)Arten, Kenntnis, Inhalt, Risiko, Dokumentation; Rn. 34, 69, 87, 119; gelesen am 25.10.2026
  3. EDSA: Leitlinien 01/2021, Beispiele zur Meldung, Version 2.0 (14.12.2021) (öffnet in neuem Tab)Fälle 1, 3, 4, 9, 10 und 11, gelesen am 25.10.2026
  4. EDSA: Guidelines at a glance, Data breaches (öffnet in neuem Tab)Register aller Verletzungen, Anzeige bei Cyberkriminalität, gelesen am 25.10.2026
  5. Österreichische Datenschutzbehörde: Meldung Data Breach (öffnet in neuem Tab)Meldewege, Ablauf des Verfahrens, schrittweise Meldung, gelesen am 25.10.2026
  6. NISG 2026, BGBl. I Nr. 94/2025, geltende Fassung im RIS (öffnet in neuem Tab)§ 21 Zusammenarbeit mit der Datenschutzbehörde, § 34 Berichtspflichten, gelesen am 25.10.2026
  7. Kommission: Digital-Omnibus-Vorschlag COM(2025) 837 (öffnet in neuem Tab)Art. 3 Nr. 8, Änderung von Art. 33 DSGVO, gelesen am 25.10.2026
  8. EU-Parlament, Legislative Observatory: 2025/0360(COD) (öffnet in neuem Tab)Verfahrensstand am 25.10.2026

Diese Checkliste ist eine Empfehlung von TOMORIS und ersetzt keine Rechtsberatung. Maßgeblich sind die DSGVO und das NISG 2026 in der jeweils geltenden Fassung sowie die Entscheidung im Einzelfall. Die Leitlinien des EDSA sind eine Orientierungshilfe, auf die auch die Datenschutzbehörde verweist; Meldewege und Formulare der Datenschutzbehörde können sich ändern.

TOOLBOX

Passend
dazu.

NIS2 & COMPLIANCE

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich NIS2 & Compliance.

Alle Downloads zu NIS2 & Compliance

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads