Recherche-Ratgeber · Recht/DSGVO

Datenpanne melden: was Freelancer in den ersten 72 Stunden tun müssen

Recherche-Ratgeber · Stand Oktober 2026 · kein Praxistest · veröffentlicht 23.10.2026 · aktualisiert 26.10.2026 · 9 Min · CompareAI Editorial

Teil der Themenübersicht Recht & Datenschutz für Freelancer: Alle Ratgeber im Überblick

Hinweis: Dieser Beitrag ist eine Recherche auf Basis öffentlicher Anbieterangaben und Gesetzestexte (Stand Okt 2026), kein Praxistest. Preise und Limits können sich ändern, prüfe sie vor dem Kauf auf der verlinkten Quelle. Keine Rechts- oder Steuerberatung.

Eine Mail mit Kundendaten geht an den falschen Empfänger, der Laptop bleibt im Zug liegen, jemand hat sich in dein Cloud-Konto eingeloggt. Solche Vorfälle sind nach der DSGVO eine „Verletzung des Schutzes personenbezogener Daten“ – kurz Datenpanne. Für Solo-Selbstständige ist das ein Albtraum, weil niemand eine Datenschutzabteilung hat, die übernimmt. Gerade deshalb lohnt es sich, den Ablauf vorher zu kennen: Die Frist ist kurz, und die meisten Fehler entstehen durch Zögern. Dieser Ratgeber fasst die Vorgaben aus Art. 33 und 34 DSGVO sowie die Hinweise von Aufsichtsbehörden zusammen; er ersetzt keine Rechtsberatung.

Was als Datenpanne gilt

Gemeint ist jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt – egal ob absichtlich oder versehentlich. Der Leitfaden des Europäischen Datenschutzausschusses für kleine Unternehmen nennt typische Beispiele:

E-Mail mit personenbezogenen Daten an falsche Empfänger oder mit offenem Verteiler
Verlust oder Diebstahl eines unverschlüsselten Laptops, Smartphones oder USB-Sticks
Ransomware, die Daten verschlüsselt oder abzieht
Phishing, durch das Fremde Zugriff auf Postfach oder Cloud erhalten
versehentlich öffentlich geteilte Ordner oder Links

Auch ein Ausfall ohne Backup kann eine Panne sein, weil Daten verloren gehen.

Die 72-Stunden-Frist

Nach Art. 33 DSGVO meldest du eine Panne unverzüglich und möglichst binnen 72 Stunden, nachdem sie dir bekannt wurde, an die zuständige Aufsichtsbehörde – in der Regel die des Bundeslandes, in dem du deinen Sitz hast. Die Uhr läuft ab dem Zeitpunkt, an dem du mit hinreichender Sicherheit weißt, dass etwas passiert ist, nicht erst nach Abschluss aller Untersuchungen. Eine Meldung ist nur dann entbehrlich, wenn die Panne voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Kommt die Meldung später, musst du die Verzögerung begründen. Informationen, die noch fehlen, darfst du schrittweise nachreichen.

Bist du selbst Auftragsverarbeiter – etwa als Entwicklerin mit Zugriff auf die Kundendatenbank eines Auftraggebers –, meldest du die Panne nicht der Behörde, sondern unverzüglich deinem Auftraggeber. Was dazu im Vertrag stehen sollte, zeigt die AVV-Checkliste.

Risiko einschätzen

Die Datenschutzkonferenz beschreibt das Risiko im Kurzpapier Nr. 18 als Kombination aus Eintrittswahrscheinlichkeit und Schwere eines möglichen Schadens. Fragen, die helfen:

Welche Daten sind betroffen? Eine Newsletter-Adresse wiegt weniger als Bankdaten, Gesundheitsangaben oder Ausweiskopien.
Wie viele Personen?
Waren die Daten verschlüsselt, und ist der Schlüssel sicher?
Wer hat die Daten jetzt – ein vertrauenswürdiger Geschäftspartner, der sie löscht, oder ein unbekannter Angreifer?
Können Betroffene geschädigt werden, etwa durch Identitätsdiebstahl, Betrug oder Rufschaden?

Was in die Meldung gehört

Art. 33 Abs. 3 und die Online-Formulare der Landesbehörden (etwa beim LfDI Baden-Württemberg) fragen im Kern ab:

Art der Verletzung, Zeitpunkt und Zeitpunkt der Kenntnis
Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
Name und Kontaktdaten einer Ansprechperson
wahrscheinliche Folgen
ergriffene oder geplante Maßnahmen zur Behebung und Abmilderung

Die meisten Landesbehörden bieten ein Online-Formular an. Speichere dir die Seite deiner Behörde schon heute als Lesezeichen.

Wann Betroffene informiert werden müssen

Bei einem hohen Risiko verlangt Art. 34 DSGVO zusätzlich, die betroffenen Personen unverzüglich zu benachrichtigen – in klarer, einfacher Sprache, mit Hinweisen, was sie selbst tun können (Passwort ändern, Kontoauszüge prüfen). Ausnahmen gelten, wenn die Daten wirksam verschlüsselt waren, wenn du das hohe Risiko durch Nachfolgemaßnahmen beseitigt hast oder wenn eine Einzelbenachrichtigung unverhältnismäßig wäre; dann ist eine öffentliche Bekanntmachung nötig.

Dokumentieren – auch ohne Meldung

Art. 33 Abs. 5 verlangt, jede Panne zu dokumentieren: Sachverhalt, Auswirkungen, Abhilfemaßnahmen. Das gilt auch, wenn du zu dem Schluss kommst, dass keine Meldung nötig ist. Eine einfache Tabelle mit Datum, Beschreibung, Risikoabwägung und Entscheidung genügt.

Vorbeugen: die wichtigsten Maßnahmen

Geräte verschlüsseln (BitLocker, FileVault, Android/iOS-Standard) – ein verlorener, verschlüsselter Laptop ist oft kein Meldefall.
Einzigartige Passwörter mit einem Passwortmanager wie Bitwarden und Zwei-Faktor-Anmeldung, siehe Passwortmanager für Freelancer.
Regelmäßige Backups nach der Strategie aus dem Ratgeber Backup-Strategie.
Vor dem Senden Empfänger prüfen; Sammelmails nur in BCC.
Phishing erkennen lernen – siehe Rechnungsbetrug und Phishing.

Anbieterseiten

Redaktionelle Links ohne Provision.

Bitwarden öffnen Profil

FAQ

Ab wann laufen die 72 Stunden?

Ab dem Zeitpunkt, an dem du mit hinreichender Sicherheit weißt, dass eine Verletzung vorliegt. Eine vollständige Untersuchung musst du nicht abwarten; fehlende Angaben darfst du nachreichen.

Muss ich jede Panne melden?

Nein. Keine Meldung ist nötig, wenn die Verletzung voraussichtlich zu keinem Risiko für die Betroffenen führt. Dokumentieren musst du sie trotzdem.

Ist eine falsch adressierte E-Mail meldepflichtig?

Das hängt vom Inhalt und vom Empfänger ab. Eine harmlose Terminbestätigung an einen bekannten Geschäftspartner, der sie löscht, ist anders zu bewerten als Gesundheits- oder Bankdaten an Unbekannte.

Welche Behörde ist zuständig?

In der Regel die Datenschutzaufsicht des Bundeslandes, in dem dein Unternehmen seinen Sitz hat.

Was ist, wenn mein Dienstleister eine Panne hat?

Dein Auftragsverarbeiter muss dich unverzüglich informieren. Die Meldung an die Behörde bleibt deine Aufgabe als Verantwortlicher.