Datenpanne: muss ich sie binnen 72 Stunden an die AEPD melden?
Wenn Sie gerade eine Datenpanne entdeckt haben, läuft die Uhr bereits: Die 72 Stunden des Artikels 33 GDPR zählen ab Ihrer Kenntnisnahme, nicht ab dem Vorfall. Dieser Simulator führt Sie in 2 Minuten durch die drei Pflichten: immer dokumentieren, an die AEPD — die spanische Datenschutzbehörde — melden, sofern das Risiko nicht unwahrscheinlich ist, und die Betroffenen nur bei hohem Risiko benachrichtigen.
Die drei Pflichten bei einer Datenpanne, in einer Tabelle.
| Pflicht | Wann? | Frist | Rechtsgrundlage |
|---|---|---|---|
| Intern dokumentieren | Immer — jede Verletzung, gemeldet oder nicht | Sofortiges internes Verzeichnis: Fakten, Auswirkungen und Abhilfemaßnahmen | Art. 33 Abs. 5 GDPR |
| An die AEPD melden | Außer bei unwahrscheinlichem Risiko — es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich | ≤ 72 Stunden ab Kenntnisnahme (bei Verspätung mit Begründung der Verzögerung) | Art. 33 GDPR |
| Betroffene benachrichtigen | Nur bei hohem Risiko — mit 3 Ausnahmen: unverständliche Daten (Verschlüsselung), nachträgliche Maßnahmen, die das hohe Risiko beseitigen, oder unverhältnismäßiger Aufwand (Art. 34 Abs. 3) | Unverzüglich, in klarer und einfacher Sprache | Art. 34 GDPR |
Die Sanktion: Verstöße gegen die Artikel 33 und 34 können mit bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 GDPR). Verifizierter realer Fall: Die AEPD verhängte gegen Air Europa 100.000 €, weil eine Datenpanne erst 41 Tage nach Kenntnisnahme gemeldet wurde (Beschluss PS/00179/2020).
Die AEPD selbst bietet zwei kostenlose offizielle Tools an: Asesora Brecha (muss ich die AEPD informieren?) und Comunica-Brecha RGPD (muss ich die Betroffenen benachrichtigen?). Quellen: GDPR, Art. 33-34 (EUR-Lex) und AEPD-Leitfaden zur Meldung von Datenpannen (Juni 2021, Spanisch).
Zuletzt geprüft: 24. Juli 2026
Sieben Fragen, keine Daten gesendet.
Sie beantworten 7 Fragen
Was passiert ist, ob personenbezogene Daten betroffen sind, ob sie verschlüsselt waren, welche Kategorien und welches Volumen, Ihre Rolle (Verantwortlicher oder Auftragsverarbeiter) und Ihre Risikobewertung. Alles läuft in Ihrem Browser: Nichts wird gesendet oder gespeichert.
Wir wenden den Entscheidungsbaum der Art. 33 und 34 an
Dieselben Kriterien wie der Leitfaden der AEPD: immer dokumentieren, melden außer bei unwahrscheinlichem Risiko, Betroffene nur benachrichtigen, wenn ein hohes Risiko wahrscheinlich ist und keine Ausnahme des Art. 34 Abs. 3 greift.
Sie erhalten kumulative Urteile
Ein Urteil pro Pflicht, mit eindeutigem Badge, der erklärten 72-Stunden-Uhr und — falls zu melden ist — der Checkliste zum Mindestinhalt nach Art. 33 Abs. 3. Druckbar für Ihr internes Verzeichnis.
Was genau ist passiert?
Der Leitfaden der AEPD teilt Datenpannen in drei Typologien ein: Vertraulichkeit, Integrität und Verfügbarkeit. Auch Ransomware oder verlorene Unterlagen zählen (Verfügbarkeit).
Sind personenbezogene Daten betroffen?
Betrifft der Vorfall keine personenbezogenen Daten, liegt keine Verletzung des Schutzes personenbezogener Daten vor und die Artikel 33 und 34 GDPR gelten nicht (wohl aber gegebenenfalls das ENS oder das NIS-Regime).
Waren die Daten für Dritte unverständlich?
Robuste Verschlüsselung mit sicher verwahrten Schlüsseln ist die typische Ausnahme des Artikels 34 Abs. 3 lit. a: Sie macht die Benachrichtigung der Betroffenen unnötig und senkt das Risiko.
Welche ist die sensibelste betroffene Datenkategorie?
Besondere Kategorien nach Artikel 9 (Gesundheit, Weltanschauung, sexuelle Orientierung, Biometrie…), strafrechtliche Verurteilungen und schutzbedürftige Gruppen erhöhen laut AEPD-Leitfaden das Risiko.
Wie viele Personen sind ungefähr betroffen?
Das Volumen (Zahl der Betroffenen und der Datensätze) ist eines der Risikokriterien des AEPD-Leitfadens. Wenn Sie es nicht wissen, schätzen Sie nach oben.
Handeln Sie als Verantwortlicher oder als Auftragsverarbeiter?
Der Verantwortliche entscheidet über Zwecke und Mittel; der Auftragsverarbeiter verarbeitet die Daten im Auftrag des Verantwortlichen (eine Steuerkanzlei mit den Daten der Kunden ihres Mandanten, ein SaaS-Anbieter…).
Alles zusammengenommen: Welches Risiko besteht für die Betroffenen?
Das Risikoniveau kombiniert laut AEPD-Leitfaden die Schwere der Folgen und die Wahrscheinlichkeit ihres Eintritts: Typologie der Verletzung, Kategorien, Volumen, schutzbedürftige Gruppen und Leichtigkeit der Identifizierung.
Das müssen Sie tun — Pflicht für Pflicht
Drei Pflichten und eine 72-Stunden-Uhr.
Letzte Prüfung von Artikeln, Sanktionen und Beschlüssen: 24. Juli 2026 (offizielle Quellen am Ende).
Eine Verletzung des Schutzes personenbezogener Daten — eine Datenpanne — ist jeder Sicherheitsvorfall, der Daten natürlicher Personen kompromittiert. Der Leitfaden der AEPD (Fassung Juni 2021) teilt sie in drei Typologien ein: Vertraulichkeit (jemand Unbefugtes greift auf die Daten zu: ein Hack, eine E-Mail an den falschen Empfänger), Integrität (die Daten werden verändert) und Verfügbarkeit (die Daten sind nicht mehr zugänglich: Ransomware oder verlorene Unterlagen zählen als Datenpanne, auch wenn nichts entwendet wurde). Wenn Ihr Unternehmen personenbezogene Daten verarbeitet — also praktisch immer, wie der Leitfaden des Bereichs Cybersicherheit und GDPR erklärt —, erlegt Ihnen die GDPR (Datenschutz-Grundverordnung) bei einer Datenpanne drei verschiedene Pflichten mit unterschiedlichen Schwellen auf.
Pflicht 1 · Dokumentieren. Immer (Art. 33 Abs. 5)
Jede Verletzung wird intern dokumentiert, gemeldet oder nicht: die Fakten, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen — so, dass die Aufsichtsbehörde die Einhaltung überprüfen kann. Es ist die am häufigsten vergessene und am günstigsten zu erfüllende Pflicht. Nicht zu dokumentieren ist für sich genommen ein geringfügiger Verstoß nach Artikel 74.n der LOPDGDD, des spanischen Datenschutzgesetzes.
Pflicht 2 · Meldung an die AEPD binnen 72 Stunden (Art. 33)
Die Grundregel lautet: Meldung an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden" nach Kenntnisnahme der Verletzung. Zwei Nuancen, die reale Fälle entscheiden: Die Frist läuft ab der Kenntnisnahme, nicht ab dem Eintreten der Verletzung; und die einzige Befreiung ist, dass die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Personen führt — eine Bewertung, die Sie begründen können müssen. Melden Sie nach Ablauf der 72 Stunden, muss die Meldung eine Begründung für die Verzögerung enthalten.
Und wenn Sie nach 72 Stunden nicht alle Informationen haben? Artikel 33 Abs. 4 erlaubt die schrittweise Meldung: Die Informationen werden ohne unangemessene weitere Verzögerung nach und nach bereitgestellt. Den Mindestinhalt legt Artikel 33 Abs. 3 fest: die Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Meldung wird elektronisch eingereicht, mit anerkanntem elektronischen Zertifikat, über das Datenpannen-Formular der elektronischen Verwaltung der AEPD, das ergänzende Meldungen zulässt.
Pflicht 3 · Betroffene benachrichtigen, nur bei hohem Risiko (Art. 34)
Die Benachrichtigung der betroffenen Personen ist nur verpflichtend, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat — und dann muss sie unverzüglich und in klarer, einfacher Sprache erfolgen, mit den Kontaktdaten des DSB, den wahrscheinlichen Folgen und den ergriffenen Maßnahmen. Artikel 34 Abs. 3 enthält drei Ausnahmen: (a) die Daten waren für Dritte unverständlich, etwa verschlüsselt mit sicher verwahrten Schlüsseln; (b) der Verantwortliche hat nachträgliche Maßnahmen getroffen, die sicherstellen, dass sich das hohe Risiko nicht mehr verwirklichen kann; und (c) die individuelle Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden — dann tritt an ihre Stelle eine ebenso wirksame öffentliche Bekanntmachung. Achtung: Die AEPD kann die Benachrichtigung verlangen, wenn sie die Ausnahme nicht anerkennt (Art. 34 Abs. 4).
Was die AEPD sanktioniert: zwei reale Fälle
Verstöße gegen die Artikel 33 oder 34 fallen unter Artikel 83 Abs. 4 GDPR: Geldbußen von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Die Geldbuße ist weder automatisch noch immer maximal — sie wird nach Artikel 83 Abs. 2 bemessen, wie der GDPR-Bußgeldrechner zeigt —, aber die reale Spanne ist breit: Im Beschluss PS/00179/2020 verhängte die AEPD gegen Air Europa 100.000 € nach Artikel 33 (die Verletzung wurde erst 41 Tage nach Kenntnisnahme gemeldet), plus 500.000 € für die Sicherheitsmaßnahmen nach Artikel 32 Abs. 1. Am anderen Ende endete PS/00152/2020 mit einer Verwarnung der Fundación Síndrome 5P– wegen nicht fristgerechter Meldung binnen 72 Stunden: gleicher Artikel, ganz andere Sanktion.
Die spanischen Besonderheiten: die LOPDGDD
Das Organgesetz 3/2018 (LOPDGDD) konkretisiert das Sanktionsregime in Spanien: Schwere Verstöße (Art. 73) sind es, wenn der Auftragsverarbeiter dem Verantwortlichen Verletzungen, von denen er Kenntnis erlangt, nicht meldet (73.q), wenn die Pflicht zur Meldung an die Behörde verletzt wird (73.r) oder wenn die betroffene Person trotz behördlicher Anordnung nicht benachrichtigt wird (73.s). Geringfügige Verstöße (Art. 74) sind die unvollständige, verspätete oder mangelhafte Meldung (74.m), die fehlende Dokumentation von Datenpannen (74.n) und die unterlassene Benachrichtigung der betroffenen Person bei einer Verletzung mit hohem Risiko ohne behördliche Anordnung (74.ñ). Und Artikel 77 markiert den großen Unterschied im öffentlichen Sektor: Gegen öffentliche Verwaltungen werden keine Geldbußen verhängt — die Behörde erlässt einen Beschluss, der den Verstoß feststellt, mit Maßnahmen, möglicher Verwarnung, Disziplinarverfahren und Veröffentlichung.
Wenn Sie eine öffentliche Einrichtung sind oder Ihr System in den Anwendungsbereich des ENS (Esquema Nacional de Seguridad, des spanischen nationalen Sicherheitsrahmens) fällt, bestehen zudem zwei unabhängige Meldungen nebeneinander: die Datenschutz-Meldung an die AEPD (Art. 33 GDPR) und die Meldung des Sicherheitsvorfalls an das CCN-CERT, wenn er erhebliche Auswirkungen hat (Königliches Dekret 311/2022, Art. 33.2). Ihre ENS-Situation können Sie mit dem ENS-Selbsttest prüfen. Im regionalen öffentlichen Sektor kann die Datenschutzbehörde die regionale sein: die APDCAT in Katalonien, die AVPD im Baskenland und der Rat für Transparenz und Datenschutz in Andalusien.
Die offiziellen Tools der AEPD
Bevor Sie blind entscheiden, nutzen Sie die beiden kostenlosen Tools der AEPD selbst, erneuert am 10. Oktober 2023: Asesora Brecha, das bei der Frage der Meldung an die Behörde orientiert (Art. 33), und Comunica-Brecha RGPD, das bei der Frage der Benachrichtigung der Betroffenen orientiert (Art. 34). Beide erzeugen einen herunterladbaren Bericht mit Ihren Antworten — nützlich als Nachweis für die interne Dokumentation nach Artikel 33 Abs. 5 — und die AEPD speichert die eingegebenen Daten nicht. Dieser Simulator wendet dieselben Kriterien in einem Durchgang an; für den konkreten Fall bleiben diese Tools und der offizielle Leitfaden die Referenz.
BOE — Organgesetz 3/2018 (LOPDGDD), Art. 73, 74 und 77 (Spanisch)
BOE — Königliches Dekret 311/2022 (ENS), Art. 33 (Spanisch)
AEPD — Leitfaden zur Meldung von Datenpannen (Juni 2021, Spanisch)
AEPD — Asesora Brecha
AEPD — Comunica-Brecha RGPD
AEPD — Beschluss PS/00179/2020 (Air Europa, Spanisch)
AEPD — Beschluss PS/00152/2020 (Fundación Síndrome 5P–, Spanisch)
Die Fragen der ersten 72 Stunden.
Müssen alle Datenpannen an die AEPD gemeldet werden?+
Nein. Artikel 33 Abs. 1 GDPR verpflichtet zur Meldung, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. In jedem Fall verpflichtend ist die interne Dokumentation der Verletzung (Artikel 33 Abs. 5) — unabhängig davon, ob gemeldet wird oder nicht: Die AEPD kann dieses Verzeichnis anfordern, um die Einhaltung zu überprüfen.
Ab wann laufen die 72 Stunden?+
Ab dem Zeitpunkt, zu dem der Verantwortliche Kenntnis von der Verletzung erlangt, nicht ab ihrem Eintreten. Erfolgt die Meldung nach Ablauf von 72 Stunden, ist sie trotzdem einzureichen — zusammen mit einer Begründung für die Verzögerung (Artikel 33 Abs. 1). Verspätete Meldung ist sanktionierbar: Die AEPD verhängte gegen Air Europa 100.000 Euro, weil eine Verletzung erst 41 Tage nach Kenntnisnahme gemeldet wurde (PS/00179/2020).
Und wenn ich nach 72 Stunden noch nicht alle Informationen habe?+
Die GDPR sieht das vor: Die Meldung kann schrittweise erfolgen (Artikel 33 Abs. 4), indem die Informationen ohne unangemessene weitere Verzögerung nach und nach bereitgestellt werden. Das Meldeformular der AEPD erlaubt eine Erstmeldung und spätere ergänzende Meldungen. Warten Sie nicht, bis alles vorliegt: Melden Sie fristgerecht, was Sie wissen, und ergänzen Sie später.
Wann muss ich die Betroffenen benachrichtigen?+
Nur wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat (Artikel 34 Abs. 1) — unverzüglich und in klarer, einfacher Sprache. Es gibt drei Ausnahmen (Artikel 34 Abs. 3): Die Daten waren für Dritte unverständlich — zum Beispiel verschlüsselt, mit sicher verwahrten Schlüsseln —, Sie haben nachträgliche Maßnahmen getroffen, die sicherstellen, dass sich das hohe Risiko nicht mehr verwirklichen kann, oder die individuelle Benachrichtigung wäre mit unverhältnismäßigem Aufwand verbunden — dann tritt an ihre Stelle eine ebenso wirksame öffentliche Bekanntmachung.
Was passiert, wenn ich eine Datenpanne nicht melde?+
Verstöße gegen die Artikel 33 und 34 können mit bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist (Artikel 83 Abs. 4 GDPR). Die Geldbuße ist weder automatisch noch immer maximal: Sie wird nach Artikel 83 Abs. 2 bemessen. Das Spektrum reicht von Verwarnungen (Fundación Síndrome 5P–, PS/00152/2020) bis zu Geldbußen von 100.000 Euro für eine 41 Tage verspätete Meldung (Air Europa, PS/00179/2020).
Meldet der Auftragsverarbeiter an die AEPD?+
Nein, außer im Auftrag des Verantwortlichen. Artikel 33 Abs. 2 GDPR verpflichtet den Auftragsverarbeiter, Verletzungen, von denen er Kenntnis erlangt, unverzüglich dem Verantwortlichen zu melden; die Meldung an die AEPD reicht der Verantwortliche ein. Für den Auftragsverarbeiter ist die unterlassene Information des Verantwortlichen ein schwerer Verstoß nach Artikel 73.q der LOPDGDD, des spanischen Datenschutzgesetzes.
Zählt Ransomware ohne Datendiebstahl als Datenpanne?+
Ja. Der Leitfaden der AEPD teilt Datenpannen in drei Typologien ein — Vertraulichkeit, Integrität und Verfügbarkeit — und ordnet Ransomware und den Verlust von Unterlagen den Verfügbarkeitsverletzungen zu. Dass keine Daten abgeflossen sind, entbindet nicht von der Risikobewertung: Sofern nicht unwahrscheinlich ist, dass die Rechte der Betroffenen beeinträchtigt werden, ist binnen 72 Stunden an die AEPD zu melden. Und dokumentieren — immer (Artikel 33 Abs. 5).
Verlieren Sie keine Stunden mit Entscheidungen im Blindflug.
Buchen Sie eine kostenlose 30-Minuten-Session. Wir gehen Ihren Fall durch: was zu melden ist und an wen, wie Sie es dokumentieren — und wenn die 72-Stunden-Uhr drängt, priorisieren wir das Dringende.
Kostenlose Session buchen →