---
title: "DSGVO Datenpanne melden: Kostenloses Vorlagenpaket (Word)"
description: "Art.-33-Meldung an die Behörde + Art.-34-Anschreiben an Betroffene, einsatzbereit im 72-Stunden-Fenster. Kostenloses DOCX mit Pannenregister."
canonical: https://www.orbiqhq.com/de/vorlagen/dsgvo-datenpanne-meldung-vorlagenpaket
html: https://www.orbiqhq.com/de/vorlagen/dsgvo-datenpanne-meldung-vorlagenpaket
publisher: Orbiq GmbH
language: en
---
# DSGVO Datenpanne melden: Kostenloses Vorlagenpaket (Word)

Art.-33-Meldung an die Behörde + Art.-34-Anschreiben an Betroffene, einsatzbereit im 72-Stunden-Fenster. Kostenloses DOCX mit Pannenregister.


## DSGVO-Vorlagenpaket zur Meldung von Datenpannen (Word, PDF & Markdown)

**Dieses kostenlose Vorlagenpaket zur Meldung von Datenpannen enthält die zwei Dokumente, die Sie unter Druck vorlegen können müssen — die Meldung an die Aufsichtsbehörde nach Artikel 33 (alle vier Elemente des Abs. 3, mit Kennzeichnung für gestufte Meldungen und Begründungsfeld bei Fristüberschreitung) und das Anschreiben an die betroffenen Personen nach Artikel 34 in klarer und einfacher Sprache — plus das interne Pannenregister nach Artikel 33 Abs. 5, das jeden Vorfall dokumentiert, gemeldet oder nicht. Laden Sie es als Word (DOCX), PDF oder als maschinenlesbare Markdown-Datei herunter, aus der Ihr Incident-Tooling einen Entwurf erzeugen kann. Die herunterladbaren Dateien sind auf Deutsch verfügbar.**

Wenn eine Datenpanne passiert, läuft die Uhr bereits: Die Behördenmeldung ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden fällig — und wer sie mitten im Vorfall auf einem leeren Blatt beginnt, verpasst Fristen. Die durchschnittliche Zahl täglicher Meldungen im EWR erreichte 2025 443 pro Tag, ein Plus von 22 % gegenüber dem Vorjahr, so der [DLA Piper GDPR Fines and Data Breach Survey: Januar 2026](https://www.dlapiper.com/en/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026). Dieses Paket baut beide Mitteilungen vor, sodass Ihr Incident-Team Fakten einträgt, statt Strukturen zu erfinden. Die rechtliche Mechanik hinter jedem Dokument erklären die vertiefenden Leitfäden: [DSGVO Artikel 33: Die 72-Stunden-Meldepflicht](/de/eu-vorschriften/dsgvo-artikel-33) und [DSGVO Artikel 34: Benachrichtigung betroffener Personen](/de/eu-vorschriften/dsgvo-artikel-34).

## Die wichtigsten Erkenntnisse

1. **Zwei verschiedene Schreiben, zwei verschiedene Auslöser.** Die Behördenmeldung (Artikel 33) ist fällig, wenn die Verletzung *voraussichtlich ein Risiko* zur Folge hat; das Anschreiben an die Betroffenen (Artikel 34) erst, wenn das Risiko *hoch* ist. Viele Datenpannen brauchen das erste und nie das zweite.
2. **Die 72 Stunden gehören der Behörde, nicht den Betroffenen.** Die Frist des Artikels 33 läuft ab Kenntnis — dem Moment, in dem Sie mit hinreichender Sicherheit von einer Verletzung ausgehen, so die EDSA-Leitlinien 9/2022 —, während das Artikel-34-Anschreiben „unverzüglich" fällig ist, sobald das hohe Risiko feststeht.
3. **Unvollständig ist zulässig; verspätet ohne Begründung nicht.** Artikel 33 Abs. 4 erlaubt die gestufte Meldung, und das Formular trägt eine ausdrückliche Kennzeichnung Erstmeldung/Aktualisierung. In Deutschland ist die „vorläufige Meldung" als fristwahrend anerkannt. Eine Meldung nach Ablauf der 72 Stunden erfordert eine dokumentierte Begründung der Verzögerung.
4. **Das Pannenregister ist die Pflicht, die alle vergessen.** Artikel 33 Abs. 5 verlangt die Dokumentation *jeder* Verletzung — auch der nicht meldepflichtigen samt Ihrer Begründung —, damit die Aufsichtsbehörde die Einhaltung überprüfen kann. Das Registerblatt des Pakets erfasst genau diesen Nachweis.
5. **Ein Paket deckt EU, Deutschland, UK und Norwegen ab.** In Deutschland melden Sie an die zuständige Landesdatenschutzbehörde Ihres Bundeslandes, die UK GDPR spiegelt beide Artikel (Meldung an die ICO), und Norwegen wendet die DSGVO über das EWR-Abkommen an (Meldung an das Datatilsynet über Altinn) — nur der Meldekanal ändert sich.

## Was im Paket steckt

Das Kernartefakt ist das **Behördenmeldeformular** — das Schreiben, das Sie bei Ihrer Aufsichtsbehörde einreichen. Seine Felder bilden Artikel 33 Abs. 3 eins zu eins ab:

| Feld | Was Sie eintragen | Rechtsgrundlage |
|---|---|---|
| **Verantwortlicher & Anlaufstelle** | Juristische Person, DSB oder sonstige Kontaktstelle für Rückfragen | Art. 33 Abs. 3 Buchst. b |
| **Zeitpunkt der Kenntnis** | Wann und wie Sie Kenntnis erlangten — hier startet die 72-Stunden-Uhr | Art. 33 Abs. 1; EDSA-Leitlinien 9/2022 |
| **Art der Verletzung** | Was passiert ist: Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit, und wie | Art. 33 Abs. 3 Buchst. a |
| **Betroffene Personen & Datensätze** | Kategorien und ungefähre Zahl von beiden | Art. 33 Abs. 3 Buchst. a |
| **Wahrscheinliche Folgen** | Realistische Schäden: Identitätsdiebstahl, Betrug, finanzieller Verlust, Offenlegung besonderer Kategorien | Art. 33 Abs. 3 Buchst. c |
| **Ergriffene oder vorgeschlagene Maßnahmen** | Eindämmung, Behebung und Abmilderung nachteiliger Auswirkungen | Art. 33 Abs. 3 Buchst. d |
| **Kennzeichnung gestufte Meldung** | Erstmeldung / Aktualisierung / Abschluss, mit Aktualisierungsprotokoll | Art. 33 Abs. 4 |
| **Begründung bei Verspätung** | Gründe, falls nach 72 Stunden eingereicht | Art. 33 Abs. 1 |
| **Abschnitt grenzüberschreitend** | Federführende Aufsichtsbehörde und weitere betroffene Mitgliedstaaten | Art. 56 |

Um das Behördenformular herum enthält der Download:

- **Das Artikel-34-Anschreiben an die Betroffenen** — eine Vorlage in einfacher Sprache: was passiert ist, welche Daten betroffen sind, die wahrscheinlichen Folgen, was Sie dagegen tun, was die Empfängerin oder der Empfänger tun sollte (Passwort zurücksetzen, Konten beobachten, Betrugswarnungen), und die Anlaufstelle — die Elemente b, c und d, die Artikel 34 Abs. 2 vorschreibt, geschrieben für normale Leserinnen und Leser statt für Juristen.
- **Eine Variante zur öffentlichen Bekanntmachung** — für den Fall des unverhältnismäßigen Aufwands nach Artikel 34 Abs. 3 Buchst. c, in dem eine öffentliche Mitteilung die Betroffenen „ebenso wirksam" informieren muss.
- **Das interne Pannenregister** — das Verzeichnis nach Artikel 33 Abs. 5: Vorfalls-ID, Zeitpunkt der Kenntnis, Fakten, Risikobewertung, Entscheidungen zu Behörden- und Betroffenenbenachrichtigung *mit Begründung* sowie Abhilfemaßnahmen. Das ist das Dokument, das die Datenpannen verteidigt, die Sie zu Recht nicht gemeldet haben.
- **Eine Entscheidungshilfe melden-oder-nicht** — die zwei Schwellen („Risiko" → Behörde; „hohes Risiko" → Betroffene) und die drei Ausnahmen des Artikels 34 Abs. 3 als einseitige Referenz.

Die Markdown-Variante trägt denselben Inhalt mit maschinenlesbaren Felddefinitionen, sodass ein KI-Agent oder Ihr internes Incident-Tooling allein aus der [Datei](/downloads/templates/de/gdpr-breach-notification-letter-pack.md) eine regelkonforme Meldung entwerfen kann.

## Meldung in Deutschland: die zuständige Landesdatenschutzbehörde

Anders als in den meisten Mitgliedstaaten gibt es in Deutschland keine einzige Anlaufstelle für nicht-öffentliche Stellen: Zuständig ist die **Landesdatenschutzbehörde des Bundeslandes Ihrer Niederlassung** — die Aufteilung folgt aus Artikel 55 DSGVO in Verbindung mit dem BDSG. Ein Unternehmen mit Sitz in Bayern meldet an das BayLDA, eines in Niedersachsen an die LfD Niedersachsen, und so weiter. Praktisch heißt das:

1. **Klären Sie die Zuständigkeit vor dem Vorfall.** Die zuständige Behörde gehört in Ihren Incident-Response-Plan, nicht in eine Websuche um zwei Uhr nachts. Bei mehreren Niederlassungen in Deutschland zählt die Hauptniederlassung; bei grenzüberschreitenden Verarbeitungen greift das One-Stop-Shop-Prinzip des Artikels 56.
2. **Nutzen Sie die Online-Meldeformulare.** Praktisch alle Landesdatenschutzbehörden stellen strukturierte Online-Formulare für die Artikel-33-Meldung bereit. Die Felder dieses Pakets sind so geschnitten, dass sich die Inhalte direkt übertragen lassen — Sie füllen das Paket einmal aus und übernehmen die Antworten in das jeweilige Formular.
3. **Die vorläufige Meldung wahrt die Frist.** Die deutschen Behörden erkennen ausdrücklich an, dass eine unvollständige Erstmeldung binnen 72 Stunden die Frist wahrt und später ergänzt wird (Artikel 33 Abs. 4) — die [LfD Niedersachsen erläutert das Verfahren auf ihrer Seite zur Meldung von Datenschutzverletzungen](https://www.lfd.niedersachsen.de/dsgvo/meldung-von-datenschutzverletzungen-nach-artikel-33-dsgvo-164616.html). Melden Sie also früh mit dem, was Sie wissen, statt auf das vollständige Bild zu warten.

Terminologisch ist die „Datenpanne" der Alltagsbegriff; das Gesetz spricht von der „Verletzung des Schutzes personenbezogener Daten". Beide meinen dasselbe Ereignis — und dieselbe Meldung binnen 72 Stunden.

## So nutzen Sie das Paket: der 72-Stunden-Workflow

1. **Starten Sie die Uhr bewusst.** Protokollieren Sie den Zeitpunkt der Kenntnis, sobald eine verantwortliche Person mit hinreichender Sicherheit feststellt, dass personenbezogene Daten kompromittiert wurden — nicht erst, wenn die Forensik abgeschlossen ist. Dieser Zeitstempel ist die am genauesten geprüfte Tatsache in jedem Artikel-33-Fall.
2. **Bewerten Sie das Risiko, dann wählen Sie die Dokumente.** Voraussichtlich kein Risiko → nur Pannenregister. Voraussichtliches Risiko → Behördenmeldung. Voraussichtlich *hohes* Risiko → Behördenmeldung plus Betroffenen-Anschreiben, sofern keine Ausnahme nach Artikel 34 Abs. 3 greift (wirksame Verschlüsselung mit sicheren Schlüsseln, nachträgliche Maßnahmen, die das hohe Risiko beseitigen, oder unverhältnismäßiger Aufwand mit öffentlicher Bekanntmachung stattdessen).
3. **Melden Sie binnen 72 Stunden, auch unvollständig.** Nutzen Sie die Kennzeichnung für gestufte Meldungen, statt auf das vollständige Bild zu warten — der EDSA erwartet eine Erstmeldung mit dem aktuellen Kenntnisstand, und die deutschen Behörden akzeptieren die vorläufige Meldung ausdrücklich. Bei verspäteter Meldung ist das Begründungsfeld Pflicht, nicht Kür.
4. **Versenden Sie das Betroffenen-Anschreiben unverzüglich.** Sobald das hohe Risiko feststeht, wird Promptheit erwartet; denken Sie daran, dass die Aufsichtsbehörde die Benachrichtigung nach Artikel 34 Abs. 4 anordnen kann, wenn sie Ihre Bewertung nicht teilt.
5. **Schließen Sie den Kreis im Register.** Halten Sie die endgültigen Fakten, Auswirkungen und Abhilfemaßnahmen im Pannenregister fest — bei nicht gemeldeten Verletzungen einschließlich der Begründung, warum sie nicht meldepflichtig waren. Auftragsverarbeiter haben nach Artikel 33 Abs. 2 die parallele Pflicht, ihre Verantwortlichen unverzüglich zu unterrichten — das Register erfasst deshalb auch, wann *Ihre* Auftragsverarbeiter Sie informiert haben.

## Die Rechtsgrundlage hinter jedem Dokument

- **[DSGVO Artikel 33](https://eur-lex.europa.eu/eli/reg/2016/679/oj)** begründet die Meldepflicht gegenüber der Behörde: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Artikel 33 Abs. 3 Buchst. a–d fixiert den Mindestinhalt — das Feldset des Formulars. Artikel 33 Abs. 4 erlaubt die gestufte Meldung; Artikel 33 Abs. 5 verlangt das interne Verzeichnis.
- **Artikel 34** begründet die Benachrichtigungspflicht gegenüber den Betroffenen ab der Schwelle des *hohen Risikos*, in klarer und einfacher Sprache, mit den Elementen aus Art. 33 Abs. 3 Buchst. b–d als Mindestinhalt und den drei Ausnahmen des Abs. 3. Artikel 34 Abs. 4 erlaubt der Behörde, die Benachrichtigung anzuordnen.
- **[EDSA-Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten](https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf)** (Version 2.0, angenommen am 28. März 2023) definieren die „Kenntnis", befürworten die gestufte Meldung bei komplexen Vorfällen und legen fest, dass ein Nicht-EU-Verantwortlicher im Anwendungsbereich der DSGVO an die Aufsichtsbehörde des Mitgliedstaats meldet, in dem sein EU-Vertreter niedergelassen ist.
- **Artikel 83 Abs. 4 Buchst. a** setzt die Bußgeldstufe für Verstöße gegen beide Artikel: bis zu 10 Mio. Euro oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die Behörden ahnden Meldedisziplin eigenständig — die polnische Aufsichtsbehörde und das norwegische Datatilsynet haben Organisationen gezielt wegen Überschreitung der 72-Stunden-Frist sanktioniert, und verspätete Meldungen tauchen regelmäßig als separat geahndeter Verstoß neben größeren Artikel-32-Sicherheitsbußgeldern auf.

Wie die Meldepflicht bei Datenpannen in die Gesamtverordnung eingebettet ist — Grundsätze, Rechtsgrundlagen und die vollständige Pflichtenlandkarte 2026 — zeigt der [DSGVO-Compliance-Leitfaden](/de/eu-vorschriften/dsgvo-compliance).

## Das Paket in UK und Norwegen/EWR verwenden

Es ist keine strukturelle Anpassung nötig. Die **UK GDPR** behält die Artikel 33 und 34 in gleicher Form bei: Meldepflichtige Verletzungen gehen unverzüglich und binnen 72 Stunden an die **ICO** über deren Online-Meldeformular — rund 30 Minuten Bearbeitungszeit — oder telefonisch bei dringenden laufenden Vorfällen, mit derselben Ausnahme „voraussichtlich kein Risiko" und derselben Pflicht, eine verspätete Meldung zu begründen. **Norwegen** wendet die DSGVO über das **personopplysningsloven** kraft EWR-Abkommen an; das **Datatilsynet** bittet Organisationen, Meldungen über das **Altinn**-Portal einzureichen, mit derselben 72-Stunden-Uhr. Bei einer grenzüberschreitenden Verletzung innerhalb der EU/des EWR gilt der One-Stop-Shop: Sie melden an Ihre federführende Aufsichtsbehörde — die Behörde Ihrer Hauptniederlassung nach Artikel 56 —, und der Abschnitt „grenzüberschreitend" des Formulars erfasst genau diese Feststellung.

## Aus den Schreiben einen Workflow machen

Eine Vorlage bringt die Meldung zu Papier; sie sammelt aber weder die Nachweise ein, noch verfolgt sie die Zeitleiste, noch erzählt sie Ihren Kunden kontrolliert, was passiert ist. Nachdem die Behörde informiert ist, stellen Enterprise-Kunden dieselben Fragen — und sie einzeln pro Sicherheitsfragebogen zu beantworten ist langsamer, als die Antwort einmal zu veröffentlichen. Ein [Trust Center](/de/trust-center/was-ist-ein-trust-center) gibt der Vorfallskommunikation ein dauerhaftes, kontrolliertes Zuhause: [Orbiqs Trust-Update-Workflow](/de/plattform/trust-updates) veröffentlicht Vorfallshinweise an abonnierte Kunden mit Audit-Trail — derselbe Kanal, der auch für [Subprozessor-Änderungsmitteilungen](/de/vorlagen/dsgvo-subprozessor-aenderungsmitteilung-vorlage) dient. So wird das Schreiben, das Sie hier herunterladen, Teil eines wiederholbaren Prozesses, mit [Rechtsteams](/de/trust-center/trust-center-fuer-rechtsteams) in der Prüfschleife statt im Krisenmodus.

## Quellen & Referenzen

1. [Verordnung (EU) 2016/679 (DSGVO) — Artikel 33, 34, 56, 83](https://eur-lex.europa.eu/eli/reg/2016/679/oj) — Meldepflicht und Inhalt (33 Abs. 1, 33 Abs. 3), gestufte Meldung (33 Abs. 4), Dokumentationspflicht (33 Abs. 5), Auftragsverarbeiterpflicht (33 Abs. 2), Benachrichtigung Betroffener und Ausnahmen (34), federführende Behörde (56), Bußgeldstufe (83 Abs. 4 Buchst. a).
2. [EDSA-Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten (v2.0, angenommen 28. März 2023)](https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202209_personal_data_breach_notification_v2.0_en.pdf) — Definition der Kenntnis, gestufte Meldung, Meldung von Nicht-EU-Verantwortlichen über den Mitgliedstaat des Vertreters.
3. [LfD Niedersachsen — Meldung von Datenschutzverletzungen nach Artikel 33 DSGVO](https://www.lfd.niedersachsen.de/dsgvo/meldung-von-datenschutzverletzungen-nach-artikel-33-dsgvo-164616.html) — Verfahren einer deutschen Landesdatenschutzbehörde, Online-Meldung und vorläufige Meldung.
4. [EDSA — Notify a data breach (nationale Anlaufstellen)](https://www.edpb.europa.eu/contact/notify-a-data-breach_en) — wo in jedem Mitgliedstaat gemeldet wird.
5. [ICO — Personal data breaches: a guide](https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/) — Meldepflicht nach UK GDPR, 72-Stunden-Fenster, Risikoausnahme, angeordnete Benachrichtigung.
6. [Datatilsynet — Meld avvik til Datatilsynet](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/avvik/meld-avvik-til-datatilsynet/) — norwegische Meldung über Altinn.
7. [DLA Piper GDPR Fines and Data Breach Survey: Januar 2026](https://www.dlapiper.com/en/insights/publications/2026/01/dla-piper-gdpr-fines-and-data-breach-survey-january-2026) — 443 durchschnittliche tägliche Meldungen im EWR 2025 (+22 %).

## Weiterführende Artikel

- [DSGVO Artikel 33: Die 72-Stunden-Meldepflicht bei Datenpannen](/de/eu-vorschriften/dsgvo-artikel-33) — der vollständige Leitfaden hinter der Behördenmeldung
- [DSGVO Artikel 34: Benachrichtigung betroffener Personen bei einer Datenpanne](/de/eu-vorschriften/dsgvo-artikel-34) — der vollständige Leitfaden hinter dem Betroffenen-Anschreiben
- [DSGVO-Compliance 2026: Grundsätze, Rechte & Nachweis](/de/eu-vorschriften/dsgvo-compliance)
- [Vorlage: DSGVO-Subprozessor-Änderungsmitteilung](/de/vorlagen/dsgvo-subprozessor-aenderungsmitteilung-vorlage) — der verwandte Mitteilungs-Workflow
- [Trust Center für Rechtsteams](/de/trust-center/trust-center-fuer-rechtsteams)