Ab wann läuft die 72-Stunden-Frist?

Ab Kenntniserlangung der verantwortlichen Stelle. Kenntnis hat in der Regel die Geschäftsleitung oder der Datenschutzbeauftragte. Nicht: der erste Beschäftigte, der einen Verdacht meldet. Aber sobald der Vorfall belastbar ist, beginnt der Fristlauf.

Zählen Wochenenden und Feiertage?

Ja. Die 72-Stunden-Frist nach Art. 33 DSGVO läuft kalendarisch. Aufsichtsbehörden nehmen Meldungen über Online-Portale rund um die Uhr entgegen.

Was passiert, wenn ich die Frist verpasse?

Verspätete Meldungen müssen mit Begründung der Verzögerung eingereicht werden (Art. 33 Abs. 1 Satz 2 DSGVO). Eine Versäumung kann selbst ein eigenständiges Bußgeld nach sich ziehen, zusätzlich zum Schaden des Vorfalls.

Was ist, wenn die Risikobewertung noch unklar ist?

Im Zweifel melden. Eine Folgemeldung mit Korrekturen ist zulässig, eine unterlassene Meldung nicht. Erst recht, wenn personenbezogene Daten potenziell betroffen sind.

72-Stunden-Fristrechner DSGVO: Restzeit berechnen

Zeitpunkt der Kenntniserlangung

Datum und Uhrzeit, zu dem die Geschäftsleitung oder der Datenschutzbeauftragte Kenntnis hatte.

Im grünen Bereich

71 h 59 min

bis zum Ablauf der 72-Stunden-Frist

Meldefrist endet: Montag, 10. August 2026 um 18:13

Bereits verstrichen: 0 Stunden seit Kenntniserlangung

Meldepfad in 3 Schritten

Zuständige Aufsicht ermitteln: Die zuständige Landesdatenschutzbehörde am Sitz des Verantwortlichen. Bei grenzüberschreitender Datenverarbeitung ggf. die federführende Aufsichtsbehörde nach Art. 56 DSGVO.
Online-Meldeportal nutzen: Fast alle Landesbehörden bieten ein Online-Formular. Die wichtigsten Pflichtangaben: Art der Verletzung, betroffene Datenkategorien, Anzahl Betroffener, Maßnahmen.
Folgemeldung einplanen: Wenn nicht alle Informationen verfügbar sind, schrittweise nachmelden (Art. 33 Abs. 4 DSGVO). Aufsichtsbehörden erwarten Updates, nicht Schweigen.

Wann zusätzlich Art. 34 DSGVO greift

Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten der Betroffenen ist zusätzlich eine unverzügliche Benachrichtigung der Betroffenen erforderlich. Die Bewertung erfolgt durch den Datenschutzbeauftragten gemeinsam mit dem Anwalt. Mehr dazu: Datenpanne Art. 34 DSGVO.

Häufige Fragen

Ab wann läuft die 72-Stunden-Frist?: Ab Kenntniserlangung der verantwortlichen Stelle. Kenntnis hat in der Regel die Geschäftsleitung oder der Datenschutzbeauftragte. Nicht: der erste Beschäftigte, der einen Verdacht meldet. Aber sobald der Vorfall belastbar ist, beginnt der Fristlauf.
Zählen Wochenenden und Feiertage?: Ja. Die 72-Stunden-Frist nach Art. 33 DSGVO läuft kalendarisch. Aufsichtsbehörden nehmen Meldungen über Online-Portale rund um die Uhr entgegen.
Was passiert, wenn ich die Frist verpasse?: Verspätete Meldungen müssen mit Begründung der Verzögerung eingereicht werden (Art. 33 Abs. 1 Satz 2 DSGVO). Eine Versäumung kann selbst ein eigenständiges Bußgeld nach sich ziehen, zusätzlich zum Schaden des Vorfalls.
Was ist, wenn die Risikobewertung noch unklar ist?: Im Zweifel melden. Eine Folgemeldung mit Korrekturen ist zulässig, eine unterlassene Meldung nicht. Erst recht, wenn personenbezogene Daten potenziell betroffen sind.

Weiterführend

Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.