Das Wichtigste in 1 Minute
- Eine Datenpanne ist jeder Vorfall, bei dem Daten von Klienten, Bewohnern oder Beschäftigten verloren gehen, verändert werden oder in falsche Hände geraten.
- Die Leitung muss jede Panne intern festhalten. Besteht ein Risiko für die betroffenen Menschen, meldet sie den Vorfall unverzüglich, möglichst binnen 72 Stunden, an die Datenschutzaufsichtsbehörde (die staatliche Stelle, die den Datenschutz überwacht).
- Die Frist läuft ab dem Moment, in dem die Einrichtung mit hinreichender Sicherheit von der Panne weiß. Wochenenden und Feiertage verlängern sie nicht.
- Ist das Risiko hoch, etwa bei Gesundheitsdaten oder Daten von Kindern, sind zusätzlich die betroffenen Personen zu informieren.
- Kirchliche Träger melden an ihre kirchliche Datenschutzaufsicht. Der Datenschutzbeauftragte berät, entscheiden und melden muss die Leitung.
Datenpanne ist der Alltagsbegriff für eine Verletzung des Schutzes personenbezogener Daten: ein Sicherheitsvorfall, durch den solche Daten verloren gehen, verändert oder Unbefugten offengelegt werden, ob aus Versehen oder Angriff.
Was zählt als Datenpanne?
Die Datenschutz-Grundverordnung (DSGVO) kennt drei Formen: Daten geraten in falsche Hände, Daten werden verändert, Daten gehen verloren (Art. 4 Nr. 12 DSGVO). Fachleute sprechen von Vertraulichkeit, Integrität und Verfügbarkeit. Ob jemand die Daten tatsächlich missbraucht hat, spielt für den Begriff keine Rolle.
Für eine soziale Einrichtung heißt das: Ein Überleitungsbogen geht an die falsche Faxnummer. Eine E-Mail mit einem Hilfeplan landet beim falschen Empfänger. Ein Diensthandy bleibt im Bus liegen. Ein Verschlüsselungstrojaner (Schadsoftware, die Daten sperrt) legt die Pflegedokumentation lahm. Jeder dieser Vorfälle ist eine Datenpanne, ob mit oder ohne böse Absicht.
Auch der Umgang mit KI kann eine Panne auslösen. Gibt eine Fachkraft Klientendaten in ein privates KI-Konto ein, gelangen die Daten zu einem Anbieter, mit dem der Träger keinen Vertrag hat. Das kann eine unbefugte Offenlegung sein. Was dann zu tun ist, beschreibt der Beitrag zu Schatten-KI und privaten KI-Konten im Dienst.
Was bei den Aufsichtsbehörden ankommt
Nach Angaben der Landesbeauftragten für den Datenschutz Brandenburg (Tätigkeitsbericht für 2025) gingen dort 2025 insgesamt 576 Meldungen öffentlicher und privater Stellen ein. 227 davon betrafen den Fehlversand von Unterlagen, 154 Hackerangriffe und Schadsoftware, 142 unbefugte Zugriffe oder Offenlegungen und 42 Diebstahl oder Verlust. Nach Angaben des Bayerischen Landesamts für Datenschutzaufsicht (2026) gingen dort 2025 insgesamt 3.603 Meldungen ein, 23 Prozent mehr als im Vorjahr. Die Brandenburger Behörde betont, dass solche Zahlen nur Meldungen abbilden, nicht die tatsächliche Zahl der Pannen.
Wann beginnen die 72 Stunden?
Die Uhr startet nicht mit dem Fehler, sondern mit dem Wissen darüber. Der Träger meldet unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Panne bekannt wurde (Art. 33 Abs. 1 DSGVO). Dauert es länger, muss die Meldung eine Begründung für die Verzögerung enthalten.
Wann ist eine Panne „bekannt“? Der Europäische Datenschutzausschuss (EDSA), das gemeinsame Gremium der europäischen Aufsichtsbehörden, beantwortet das in seinen Leitlinien 9/2022: sobald der Träger hinreichende Gewissheit hat, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat. Ein Beispiel aus den Leitlinien: Wer den Verlust eines USB-Sticks mit unverschlüsselten Daten bemerkt, weiß in diesem Moment von der Panne. Ob jemand die Daten liest, bleibt dabei offen.
Eine kurze Prüfung ist erlaubt. Meldet eine Mitarbeiterin einen Verdacht, darf die Leitung zunächst klären, ob tatsächlich Daten betroffen sind. In dieser Zeit gilt die Panne noch nicht als bekannt. Der EDSA erwartet aber, dass die Prüfung sofort beginnt und zügig zu einem Ergebnis kommt; sonst kann die Meldung als versäumt gewertet werden.
Wochenenden, Nächte und Feiertage verlängern die Frist nicht; darauf weist die Landesbeauftragte für den Datenschutz Brandenburg in ihrer Handreichung (2025) hin. Entdeckt ein Dienstleister, der Daten im Auftrag verarbeitet, die Panne, gilt sie dem Träger grundsätzlich als bekannt, sobald der Dienstleister ihn informiert. Das Gesetz sagt nicht ausdrücklich, ab wann das Wissen einzelner Beschäftigter dem Träger zugerechnet wird. Deshalb muss der Träger dafür sorgen, dass Pannen ihm rechtzeitig bekannt werden; der EDSA sieht darin seine Pflicht.
Muss jede Datenpanne gemeldet werden?
Nein, aber die Ausnahme ist eng. Die Meldung entfällt nur, wenn die Panne voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt (Art. 33 Abs. 1 DSGVO). Jedes Risiko löst die Meldepflicht aus, auch ein geringes. Dokumentieren muss der Träger jede Panne, auch die nicht gemeldete: Fakten, Auswirkungen und Maßnahmen. Die Gründe für eine unterbliebene Meldung hält er nach Empfehlung des EDSA ebenfalls fest.
Wie die Leitung das Risiko bewertet
Die Bewertung richtet sich nach zwei Fragen: Wie schwer wäre der Schaden für die Betroffenen und wie wahrscheinlich tritt er ein? Beides zusammen ergibt das Risiko; so beschreiben es die EDSA-Leitlinien 9/2022 und das Kurzpapier Nr. 18 der Datenschutzkonferenz (DSK), des Zusammenschlusses der deutschen Aufsichtsbehörden. Mögliche Schäden sind Diskriminierung, Identitätsdiebstahl, finanzielle Verluste oder Rufschädigung.
Bei Trägern der Sozialen Arbeit und Pflege kann die Bewertung rasch zu einem hohen Risiko führen. Der EDSA nennt die Sensibilität der Daten, etwa bei Gesundheitsdaten, sowie Daten von Kindern oder anderen schutzbedürftigen Personen als Faktoren, die das Risiko erhöhen. Eine Diagnose, eine Suchtanamnese oder ein Vermerk zu einer Kindeswohlgefährdung kann schon bei einer einzelnen Person schweren Schaden anrichten. Im Zweifel soll der Träger melden; so formuliert es der EDSA.
Wann die Betroffenen selbst zu informieren sind
Die zweite Stufe ist die Benachrichtigung der betroffenen Personen. Sie ist Pflicht, wenn die Panne voraussichtlich ein hohes Risiko zur Folge hat (Art. 34 Abs. 1 DSGVO). Die Benachrichtigung erfolgt unverzüglich und in klarer, einfacher Sprache. Sie wartet nicht auf die Meldung an die Behörde; in dringenden Fällen geht sie nach Auffassung des EDSA sogar vor.
Die Benachrichtigung entfällt nur in drei Fällen (Art. 34 Abs. 3 DSGVO):
- Die Daten waren für Unbefugte unzugänglich, etwa weil sie verschlüsselt waren.
- Der Träger hat das hohe Risiko durch nachträgliche Maßnahmen beseitigt, etwa durch die Fernlöschung eines Geräts.
- Die einzelne Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden; dann ersetzt sie eine öffentliche Bekanntmachung.
Die Aufsichtsbehörde kann die Benachrichtigung anordnen, wenn der Träger sie unterlassen hat.
| Ergebnis der Risikobewertung | Aufsichtsbehörde | Betroffene Personen | Rechtsgrundlage |
|---|---|---|---|
| Voraussichtlich kein Risiko, etwa verschlüsseltes, gesperrtes Gerät mit Sicherung | Keine Meldung, nur interne Dokumentation | Keine Benachrichtigung | Art. 33 Abs. 1 und 5 DSGVO |
| Risiko, etwa Kontaktdaten an unbekannten Empfänger | Meldung binnen 72 Stunden | Keine Pflicht, Information kann sinnvoll sein | Art. 33 Abs. 1 DSGVO |
| Hohes Risiko, etwa Gesundheits- oder Suchtdaten offen zugänglich | Meldung binnen 72 Stunden | Unverzüglich benachrichtigen | Art. 34 Abs. 1 DSGVO |
| Hohes Risiko, aber Daten verschlüsselt oder Risiko nachträglich beseitigt | Meldung, soweit ein Risiko bleibt | Benachrichtigung entfällt | Art. 34 Abs. 3 lit. a und b DSGVO |
| Hohes Risiko, einzelne Benachrichtigung unverhältnismäßig aufwendig | Meldung binnen 72 Stunden | Öffentliche Bekanntmachung | Art. 34 Abs. 3 lit. c DSGVO |
| Katholischer Träger | Meldung an die kirchliche Datenschutzaufsicht bei Risiko, Begründung nach 72 Stunden | Bei hohem Risiko benachrichtigen | §§ 33, 34 KDG |
| Evangelischer Träger | Unverzügliche Meldung an die kirchliche Aufsichtsbehörde bei nicht unerheblichem Risiko | Bei hohem Risiko benachrichtigen | §§ 32, 33 DSG-EKD |
Was die Beispiele des EDSA für soziale Einrichtungen zeigen
Der EDSA hat in seinen Leitlinien 01/2021 achtzehn Fälle durchgespielt. Zwei liegen nah an der Arbeit sozialer Träger.
- Fall Nr. 12, gestohlenes Patientenbuch: Aus einer Rehabilitationseinrichtung für Drogenabhängige wird ein Buch mit Identitäts- und Gesundheitsdaten der Patienten gestohlen, unverschlossen aufbewahrt und ohne Kopie. Ergebnis: Meldung und Benachrichtigung aller Betroffenen, weil Gesundheitsdaten betroffen sind und die Behandlung gestört werden kann.
- Fall Nr. 10, gestohlene Tablets einer Kindertagesstätte: Zwei Tablets mit Namen, Geburtsdaten und Bildungsdaten der Kinder verschwinden bei einem Einbruch. Sie waren verschlüsselt, mit starkem Passwort gesperrt und gesichert; die Einrichtung veranlasste die Fernlöschung. Ergebnis: nur interne Dokumentation, weil voraussichtlich kein Risiko entsteht.
Fall 10 und Fall 12 unterscheiden sich in der Vorsorge und in der Art der Daten: Die Tablets waren verschlüsselt und gesichert, das Patientenbuch lag offen und enthielt Gesundheitsdaten. Ein Fehlversand an einen einzelnen, zur Verschwiegenheit verpflichteten Empfänger, der die Löschung bestätigt, kann bei wenigen Betroffenen und ohne sensible Daten ohne Meldung bleiben (Fall Nr. 09).
Beispiel
Angenommen, ein Pflegedienst faxt einen Überleitungsbogen mit Diagnosen und Medikation an eine falsche Nummer. Gesundheitsdaten sind betroffen, der Empfänger ist unbekannt: Das ist ein Risiko, also meldet die Leitung unverzüglich. Stellt sich später heraus, dass das Fax in einer Arztpraxis ankam, die das Blatt vernichtet und das schriftlich bestätigt, sinkt das Risiko. Die Leitung dokumentiert das und entscheidet nach Beratung durch den Datenschutzbeauftragten, ob die Benachrichtigung der Person noch nötig ist.
Die ersten 72 Stunden: Schritt für Schritt
Eindämmen und Melden laufen parallel. Die Leitung sollte den Ablauf vor der ersten Panne festlegen; der EDSA hält ein dokumentiertes Meldeverfahren für vorteilhaft.
- Eindämmen Sie den Schaden. Sperren Sie verlorene Geräte und lösen Sie die Fernlöschung aus. Bitten Sie falsche Empfänger schriftlich, die Nachricht zu löschen und nicht zu verwenden. Ändern Sie betroffene Passwörter, trennen Sie befallene Rechner vom Netz und löschen Sie keine Spuren, die Sie später brauchen.
- Informieren Sie Leitung und Datenschutzbeauftragten. Jede Fachkraft meldet den Vorfall sofort an die vorher festgelegte Stelle, auch am Wochenende. Der EDSA empfiehlt, den Datenschutzbeauftragten von Anfang an einzubeziehen. Halten Sie fest, wann die Panne zuerst bemerkt wurde und wann die Leitung hinreichende Gewissheit hatte. Rechnen Sie die 72 Stunden vorsichtshalber ab dem früheren Zeitpunkt.
- Klären Sie den Sachverhalt. Was ist passiert, wann, durch wen, mit welchen Daten, über welchen Weg? Welche Personengruppen sind betroffen und wie groß ist ihre Zahl ungefähr? Gab es Verschlüsselung, Zugriffsschutz, eine Sicherung? Schätzungen genügen für die erste Meldung.
- Bewerten Sie das Risiko. Prüfen Sie Schwere und Wahrscheinlichkeit eines Schadens für die Betroffenen. Besondere Daten, Kinder und schutzbedürftige Personen sprechen für ein hohes Risiko.
- Melden Sie der Aufsichtsbehörde. Nutzen Sie das Meldeformular der zuständigen Behörde. Fehlen noch Angaben, melden Sie vorläufig und reichen Sie nach; das Gesetz erlaubt die Meldung in Schritten. Nennen Sie bei Verspätung den Grund.
- Benachrichtigen Sie die Betroffenen bei hohem Risiko. Schreiben Sie in klarer Sprache, was passiert ist, welche Folgen möglich sind und was die Person tun kann. Nennen Sie eine Anlaufstelle mit Telefonnummer. Wählen Sie den Weg, der die Person tatsächlich erreicht.
- Dokumentieren Sie und stellen Sie die Ursache ab. Tragen Sie den Vorfall in das Verzeichnis der Datenpannen ein. Beheben Sie die Lücke, die den Vorfall möglich gemacht hat.
Was die Aufsichtsbehörde wissen will
Für Träger in privater Rechtsform sind die nach Landesrecht bestimmten Datenschutzaufsichtsbehörden zuständig (§ 40 Abs. 1 BDSG), grundsätzlich die des Landes, in dem der Träger seine Hauptverwaltung hat. Kirchliche Träger melden an ihre kirchliche Aufsicht, dazu unten mehr.
Die Meldung enthält vier Dinge (Art. 33 Abs. 3 DSGVO). Erstens die Art der Panne mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze. Zweitens eine Anlaufstelle, etwa den Datenschutzbeauftragten. Drittens die wahrscheinlichen Folgen, viertens die ergriffenen oder geplanten Maßnahmen. Namen der Betroffenen gehören nicht hinein.
Aufsichtsbehörden wie die Brandenburger Landesbeauftragte stellen Online-Formulare für verschlüsselte Meldungen bereit. Wer nicht meldet, riskiert eine Geldbuße. Die DSGVO sieht bis zu zehn Millionen Euro vor, bei Unternehmen alternativ bis zu zwei Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83 Abs. 4 DSGVO).
Wer entscheidet, wer meldet, wer berät?
Verantwortlich ist der Träger, vertreten durch Geschäftsführung oder Vorstand. Die Leitung entscheidet über die Meldung und gibt sie ab; delegieren kann sie die Ausführung, nicht die Verantwortung. Der Datenschutzbeauftragte berät bei der Risikobewertung, überwacht das Verfahren und steht als Anlaufstelle in der Meldung. Er entscheidet nicht, auch wenn er die Meldung vorbereitet. Welche Aufgaben die Funktion sonst hat, beschreibt der Beitrag zum Datenschutzbeauftragten in sozialen Einrichtungen.
Mitarbeitende sind das Frühwarnsystem. Jede Fachkraft muss wissen, wen sie bei einem Verdacht anruft. Eine eigene Risikobewertung ist nicht ihre Aufgabe. Ich empfehle einen Aushang mit zwei Telefonnummern und drei Sätzen statt einer langen Richtlinie.
Dienstleister, die Daten im Auftrag verarbeiten, etwa der Anbieter der Fachsoftware oder ein KI-Anbieter mit Vertrag, müssen eine Panne unverzüglich dem Träger melden (Art. 33 Abs. 2 DSGVO). Eine Frist in Stunden nennt das Gesetz nicht; der EDSA empfiehlt, dass der Dienstleister sofort informiert und Details nachreicht. Ich empfehle, im Vertrag zur Auftragsverarbeitung eine Frist von 24 Stunden und einen festen Meldeweg zu vereinbaren. Welche Vertragspunkte bei Cloud und KI sonst zählen, steht im Beitrag zur Schweigepflicht gegenüber externen Dienstleistern.
Schweigepflicht und Arbeitsrecht, kurz
Für Fachkräfte mit gesetzlicher Schweigepflicht stellt sich eine zweite Frage. Staatlich anerkannte Sozialarbeiter und Sozialpädagogen, Angehörige von Heilberufen sowie Ehe-, Familien-, Erziehungs-, Jugend- und Suchtberater in anerkannten Beratungsstellen machen sich strafbar, wenn sie ein Geheimnis unbefugt offenbaren (§ 203 StGB). Strafbar ist aber nur vorsätzliches Handeln, weil das Gesetz fahrlässiges Offenbaren hier nicht unter Strafe stellt.
Ein versehentlicher Fehlversand ist deshalb keine Straftat nach dieser Vorschrift (§ 15 StGB), bleibt aber eine Datenpanne mit allen Pflichten. Die Meldung an die Aufsichtsbehörde kommt ohne Namen aus; durch die Meldung selbst entsteht deshalb kein Konflikt mit der Schweigepflicht.
Zusätzlich schützt das Bundesdatenschutzgesetz den Meldepflichtigen. Seine Meldung oder Benachrichtigung darf in einem Straf- oder Bußgeldverfahren gegen ihn nur mit seiner Zustimmung verwendet werden (§ 42 Abs. 4 und § 43 Abs. 4 BDSG).
Die Meldepflicht trifft den Träger, nicht die einzelne Fachkraft. Ich empfehle, interne Meldungen nicht zu sanktionieren, sondern die Ursache abzustellen und das Team zu schulen: Wer einen Fehler sofort meldet, verschafft der Leitung Zeit, die Frist zu halten. Ob ein grober Verstoß arbeitsrechtliche Folgen hat, hängt vom Einzelfall ab.
Was gilt für kirchliche Träger?
Caritas, Diakonie und andere kirchliche Träger wenden anstelle der DSGVO ihre eigenen Datenschutzgesetze an (Art. 91 DSGVO). Die Pflichten sind nahezu gleich aufgebaut; Adressaten und einzelne Schwellen unterscheiden sich.
Für katholische Träger gilt das Gesetz über den Kirchlichen Datenschutz (KDG), seit dem 1. März 2026 in einer geänderten Fassung. Die Meldepflicht knüpft seitdem wie die DSGVO an ein „Risiko“ an; vorher sprach das Gesetz von einer „Gefahr“. Der Träger meldet unverzüglich an die kirchliche Datenschutzaufsicht, die der oder die Diözesandatenschutzbeauftragte leitet; nach mehr als 72 Stunden ist eine Begründung beizufügen (§ 33 KDG). Bei hohem Risiko sind die Betroffenen zu benachrichtigen, mit denselben drei Ausnahmen wie in der DSGVO.
Für evangelische Träger, die einer Landeskirche oder der EKD zugeordnet sind, gilt das EKD-Datenschutzgesetz (DSG-EKD) in der Neufassung vom Januar 2025. Hier fehlt die Zahl 72 im Gesetzestext: Die verantwortliche Stelle meldet unverzüglich, wenn die Panne voraussichtlich ein nicht unerhebliches Risiko für die Rechte natürlicher Personen hat (§ 32 DSG-EKD). Zuständig ist die kirchliche Aufsichtsbehörde. Nach seiner Pressemitteilung vom 26. Juni 2025 führt der Beauftragte für den Datenschutz der EKD die Aufsicht inzwischen EKD-weit. Nach dem Gesetz können die Landeskirchen statt der Übertragung auch eigene Aufsichtsbehörden errichten (§ 39 Abs. 3 DSG-EKD). Bei hohem Risiko sind die Betroffenen zu benachrichtigen; das Gesetz nennt nur zwei Ausnahmen, ein nachträglich beseitigtes Risiko und unverhältnismäßigen Aufwand.
Unverzüglich bedeutet im deutschen Recht ohne schuldhaftes Zögern (§ 121 BGB). Ich empfehle evangelischen Trägern deshalb, sich ebenfalls an den 72 Stunden zu orientieren und jede Verzögerung zu dokumentieren. Wie sich KDG und DSG-EKD sonst von der DSGVO unterscheiden, erklärt der Beitrag der Schwesterseite zum kirchlichen Datenschutz nach KDG und DSG-EKD.
Was in den nächsten Wochen zu tun ist
Die Leitung kann vier Dinge in den nächsten Wochen erledigen, ohne ein Projekt daraus zu machen.
- Meldeweg festlegen. Eine Stelle, zwei Telefonnummern, eine E-Mail-Adresse, erreichbar auch am Wochenende.
- Verzeichnis der Datenpannen anlegen. Eine Tabelle genügt: Datum, Vorfall, betroffene Daten und Personen, Risikobewertung, Entscheidung, Begründung, Maßnahmen.
- Geräte und Versandwege absichern. Verschlüsselung und PIN auf allen mobilen Geräten, Fernlöschung eingerichtet, Vier-Augen-Prinzip bei Fax und Serienmails, Verteiler nur im Blindkopie-Feld.
- Verträge und Team prüfen. In jedem Vertrag zur Auftragsverarbeitung steht eine Meldefrist für den Dienstleister. Das Team kennt den Meldeweg und weiß, dass eine schnelle Meldung erwünscht ist.
Die Europäische Kommission hat im November 2025 vorgeschlagen, nur noch Pannen mit hohem Risiko meldepflichtig zu machen und die Frist auf 96 Stunden zu verlängern (Vorschlag COM(2025) 837). Beschlossen ist das bis zum 7. Oktober 2026 nicht. Es gelten 72 Stunden und die Risikoschwelle wie oben beschrieben.
Beim Einrichten des Meldewegs und bei der Risikobewertung kann ein externer Datenschutzbeauftragter beraten. Wie die Zusammenarbeit mit mir aussieht, steht auf der Seite zum externen Datenschutzbeauftragten.
Häufige Fragen
Muss ich eine E-Mail an den falschen Empfänger als Datenpanne melden?
Dokumentieren müssen Sie den Vorfall immer. Melden müssen Sie ihn, sobald ein Risiko für die betroffene Person besteht, also je nach Inhalt, Empfänger und Zahl der Betroffenen. Enthält die E-Mail Gesundheits-, Sucht- oder Jugendhilfedaten und ist der Empfänger unbekannt, ist die Meldung der sichere Weg.
Zählen Wochenende und Feiertage bei den 72 Stunden mit?
Ja. Die Frist läuft in Stunden ab dem Zeitpunkt der hinreichenden Gewissheit und auch am Wochenende weiter. Darauf weist die Brandenburger Aufsichtsbehörde in ihrer Handreichung ausdrücklich hin.
Was passiert, wenn die Einrichtung die 72 Stunden verpasst hat?
Melden Sie trotzdem, sofort und mit einer Begründung für die Verzögerung. Eine verspätete Meldung ist besser als keine; die Aufsichtsbehörde berücksichtigt bei einem Bußgeld, ob und wie der Träger den Vorfall selbst mitgeteilt hat. Die DSGVO sieht dafür Geldbußen bis zu zehn Millionen Euro vor; KDG und DSG-EKD nennen eigene, niedrigere Höchstbeträge.
Diensthandy verloren: Ist das eine Datenpanne?
Ja, sobald personenbezogene Daten darauf gespeichert oder darüber erreichbar sind. Ob Sie melden müssen, hängt vom Schutz des Geräts ab: Verschlüsselung, Sperre und Fernlöschung können das Risiko so weit senken, dass die interne Dokumentation genügt. Ohne diesen Schutz ist der Verlust zu melden.
Wer meldet die Datenpanne, der Datenschutzbeauftragte oder die Leitung?
Die Leitung. Sie ist für den Träger verantwortlich, entscheidet über die Meldung und gibt sie ab. Der Datenschutzbeauftragte berät bei der Risikobewertung, bereitet die Meldung vor und steht darin als Anlaufstelle.
Gilt die 72-Stunden-Frist auch nach KDG und DSG-EKD?
Im KDG ja: Katholische Träger melden unverzüglich an die kirchliche Datenschutzaufsicht und begründen jede Meldung nach mehr als 72 Stunden. Das DSG-EKD nennt keine Stundenzahl, sondern verlangt eine unverzügliche Meldung bei einem nicht unerheblichen Risiko. Ich empfehle evangelischen Trägern, sich trotzdem an den 72 Stunden zu orientieren.
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 12, Art. 33, 34, 83 und 91, konsolidierte Fassung. EUR-Lex, konsolidierter Text, abgerufen am 7. Oktober 2026.
- EUR-Lex: Dokumentseite zur Verordnung (EU) 2016/679 mit Berichtigungen und anhängigen Änderungsvorschlägen (keine in Kraft getretene Änderung). EUR-Lex, Dokumentseite 32016R0679, abgerufen am 7. Oktober 2026.
- Europäischer Datenschutzausschuss (EDSA): Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO, Version 2.0, angenommen am 28. März 2023, Rn. 31 bis 35, 40, 44 bis 45, 50 bis 52, 56 bis 59, 107 bis 119, 121 bis 128, 133 sowie Anhang B. EDSA, Leitlinien 9/2022 (PDF), abgerufen am 7. Oktober 2026.
- Europäischer Datenschutzausschuss (EDSA): Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0, angenommen am 14. Dezember 2021, Fälle Nr. 09, 10, 11, 12, 13, 14, 15 und 16 sowie Abschnitte 5.4 und 6.5. EDSA, Leitlinien 01/2021 (PDF), abgerufen am 7. Oktober 2026.
- Datenschutzkonferenz (DSK): Kurzpapier Nr. 18, Risiko für die Rechte und Freiheiten natürlicher Personen, Stand 26. April 2018. DSK, Kurzpapier Nr. 18 (PDF), abgerufen am 7. Oktober 2026.
- Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg: Meldung von Datenschutzverletzungen in Brandenburg, Hinweise zu den Anforderungen der Datenschutz-Grundverordnung, Stand August 2025. LDA Brandenburg, Handreichung (PDF), abgerufen am 7. Oktober 2026.
- Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg: Tätigkeitsbericht Datenschutz 2025, Teil A, Kapitel 4 „Meldungen von Datenschutzverletzungen“, S. 137 bis 139. LDA Brandenburg, Tätigkeitsbericht 2025 (PDF), abgerufen am 7. Oktober 2026.
- Bayerisches Landesamt für Datenschutzaufsicht (BayLDA): 15. Tätigkeitsbericht für das Jahr 2025, Abschnitt 2.3 „Datenschutzverletzungen“, vorgelegt im März 2026. BayLDA, 15. Tätigkeitsbericht (PDF), abgerufen am 7. Oktober 2026.
- Bundesministerium der Justiz: Bundesdatenschutzgesetz (BDSG), § 40 Abs. 1. § 40 BDSG bei gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
- Bundesministerium der Justiz: Bundesdatenschutzgesetz (BDSG), § 42 Abs. 4 und § 43 Abs. 4. § 42 BDSG bei gesetze-im-internet.de, § 43 BDSG bei gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
- Bundesministerium der Justiz: Strafgesetzbuch (StGB), § 203 Abs. 1 und § 15. § 203 StGB bei gesetze-im-internet.de, § 15 StGB bei gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
- Bundesministerium der Justiz: Bürgerliches Gesetzbuch (BGB), § 121 Abs. 1 (Legaldefinition „unverzüglich“). § 121 BGB bei gesetze-im-internet.de, abgerufen am 7. Oktober 2026.
- Diözese Rottenburg-Stuttgart: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 24. November 2025, Lesefassung, §§ 33, 34 und 43, sowie KDG-Änderungsgesetz mit Inkrafttreten am 1. März 2026, Kirchliches Amtsblatt Rottenburg-Stuttgart 2026, Nr. 4 vom 26. Februar 2026. Kirchliches Amtsblatt Rottenburg-Stuttgart 2026, Nr. 4 (PDF), abgerufen am 7. Oktober 2026.
- Evangelische Kirche in Deutschland: Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD), Bekanntgabe der Neufassung vom 15. Januar 2025 (ABl. EKD 2025 S. 1), §§ 32, 33 und 39. DSG-EKD in der Rechtssammlung der EKD, abgerufen am 7. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Pressemitteilung vom 26. Juni 2025 zum 5. Tätigkeitsbericht. Pressemitteilung, abgerufen am 15. Oktober 2026.
- Europäische Kommission: Vorschlag für eine Verordnung zur Änderung der Verordnungen (EU) 2016/679 und anderer Rechtsakte (Digital-Omnibus-Verordnung), COM(2025) 837 final vom 19. November 2025, Artikel 3 Nummer 8 (Änderung von Art. 33 DSGVO). EUR-Lex, COM(2025) 837, abgerufen am 7. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
