DSGVO Datenpanne melden: Kostenloses Vorlagenpaket (Word)

DSGVO-Vorlagenpaket zur Meldung von Datenpannen (Word, PDF & Markdown)

Dieses kostenlose Vorlagenpaket zur Meldung von Datenpannen enthält die zwei Dokumente, die Sie unter Druck vorlegen können müssen — die Meldung an die Aufsichtsbehörde nach Artikel 33 (alle vier Elemente des Abs. 3, mit Kennzeichnung für gestufte Meldungen und Begründungsfeld bei Fristüberschreitung) und das Anschreiben an die betroffenen Personen nach Artikel 34 in klarer und einfacher Sprache — plus das interne Pannenregister nach Artikel 33 Abs. 5, das jeden Vorfall dokumentiert, gemeldet oder nicht. Laden Sie es als Word (DOCX), PDF oder als maschinenlesbare Markdown-Datei herunter, aus der Ihr Incident-Tooling einen Entwurf erzeugen kann. Die herunterladbaren Dateien sind auf Deutsch verfügbar.

Wenn eine Datenpanne passiert, läuft die Uhr bereits: Die Behördenmeldung ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden fällig — und wer sie mitten im Vorfall auf einem leeren Blatt beginnt, verpasst Fristen. Die durchschnittliche Zahl täglicher Meldungen im EWR erreichte 2025 443 pro Tag, ein Plus von 22 % gegenüber dem Vorjahr, so der DLA Piper GDPR Fines and Data Breach Survey: Januar 2026. Dieses Paket baut beide Mitteilungen vor, sodass Ihr Incident-Team Fakten einträgt, statt Strukturen zu erfinden. Die rechtliche Mechanik hinter jedem Dokument erklären die vertiefenden Leitfäden: DSGVO Artikel 33: Die 72-Stunden-Meldepflicht und DSGVO Artikel 34: Benachrichtigung betroffener Personen.

Die wichtigsten Erkenntnisse

1. Zwei verschiedene Schreiben, zwei verschiedene Auslöser. Die Behördenmeldung (Artikel 33) ist fällig, wenn die Verletzung voraussichtlich ein Risiko zur Folge hat; das Anschreiben an die Betroffenen (Artikel 34) erst, wenn das Risiko hoch ist. Viele Datenpannen brauchen das erste und nie das zweite.
2. Die 72 Stunden gehören der Behörde, nicht den Betroffenen. Die Frist des Artikels 33 läuft ab Kenntnis — dem Moment, in dem Sie mit hinreichender Sicherheit von einer Verletzung ausgehen, so die EDSA-Leitlinien 9/2022 —, während das Artikel-34-Anschreiben „unverzüglich" fällig ist, sobald das hohe Risiko feststeht.
3. Unvollständig ist zulässig; verspätet ohne Begründung nicht. Artikel 33 Abs. 4 erlaubt die gestufte Meldung, und das Formular trägt eine ausdrückliche Kennzeichnung Erstmeldung/Aktualisierung. In Deutschland ist die „vorläufige Meldung" als fristwahrend anerkannt. Eine Meldung nach Ablauf der 72 Stunden erfordert eine dokumentierte Begründung der Verzögerung.
4. Das Pannenregister ist die Pflicht, die alle vergessen. Artikel 33 Abs. 5 verlangt die Dokumentation jeder Verletzung — auch der nicht meldepflichtigen samt Ihrer Begründung —, damit die Aufsichtsbehörde die Einhaltung überprüfen kann. Das Registerblatt des Pakets erfasst genau diesen Nachweis.
5. Ein Paket deckt EU, Deutschland, UK und Norwegen ab. In Deutschland melden Sie an die zuständige Landesdatenschutzbehörde Ihres Bundeslandes, die UK GDPR spiegelt beide Artikel (Meldung an die ICO), und Norwegen wendet die DSGVO über das EWR-Abkommen an (Meldung an das Datatilsynet über Altinn) — nur der Meldekanal ändert sich.

Was im Paket steckt

Das Kernartefakt ist das Behördenmeldeformular — das Schreiben, das Sie bei Ihrer Aufsichtsbehörde einreichen. Seine Felder bilden Artikel 33 Abs. 3 eins zu eins ab:

Feld	Was Sie eintragen	Rechtsgrundlage
Verantwortlicher & Anlaufstelle	Juristische Person, DSB oder sonstige Kontaktstelle für Rückfragen	Art. 33 Abs. 3 Buchst. b
Zeitpunkt der Kenntnis	Wann und wie Sie Kenntnis erlangten — hier startet die 72-Stunden-Uhr	Art. 33 Abs. 1; EDSA-Leitlinien 9/2022
Art der Verletzung	Was passiert ist: Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit, und wie	Art. 33 Abs. 3 Buchst. a
Betroffene Personen & Datensätze	Kategorien und ungefähre Zahl von beiden	Art. 33 Abs. 3 Buchst. a
Wahrscheinliche Folgen	Realistische Schäden: Identitätsdiebstahl, Betrug, finanzieller Verlust, Offenlegung besonderer Kategorien	Art. 33 Abs. 3 Buchst. c
Ergriffene oder vorgeschlagene Maßnahmen	Eindämmung, Behebung und Abmilderung nachteiliger Auswirkungen	Art. 33 Abs. 3 Buchst. d
Kennzeichnung gestufte Meldung	Erstmeldung / Aktualisierung / Abschluss, mit Aktualisierungsprotokoll	Art. 33 Abs. 4
Begründung bei Verspätung	Gründe, falls nach 72 Stunden eingereicht	Art. 33 Abs. 1
Abschnitt grenzüberschreitend	Federführende Aufsichtsbehörde und weitere betroffene Mitgliedstaaten	Art. 56

Um das Behördenformular herum enthält der Download:

• Das Artikel-34-Anschreiben an die Betroffenen — eine Vorlage in einfacher Sprache: was passiert ist, welche Daten betroffen sind, die wahrscheinlichen Folgen, was Sie dagegen tun, was die Empfängerin oder der Empfänger tun sollte (Passwort zurücksetzen, Konten beobachten, Betrugswarnungen), und die Anlaufstelle — die Elemente b, c und d, die Artikel 34 Abs. 2 vorschreibt, geschrieben für normale Leserinnen und Leser statt für Juristen.
• Eine Variante zur öffentlichen Bekanntmachung — für den Fall des unverhältnismäßigen Aufwands nach Artikel 34 Abs. 3 Buchst. c, in dem eine öffentliche Mitteilung die Betroffenen „ebenso wirksam" informieren muss.
• Das interne Pannenregister — das Verzeichnis nach Artikel 33 Abs. 5: Vorfalls-ID, Zeitpunkt der Kenntnis, Fakten, Risikobewertung, Entscheidungen zu Behörden- und Betroffenenbenachrichtigung mit Begründung sowie Abhilfemaßnahmen. Das ist das Dokument, das die Datenpannen verteidigt, die Sie zu Recht nicht gemeldet haben.
• Eine Entscheidungshilfe melden-oder-nicht — die zwei Schwellen („Risiko" → Behörde; „hohes Risiko" → Betroffene) und die drei Ausnahmen des Artikels 34 Abs. 3 als einseitige Referenz.

Die Markdown-Variante trägt denselben Inhalt mit maschinenlesbaren Felddefinitionen, sodass ein KI-Agent oder Ihr internes Incident-Tooling allein aus der Datei eine regelkonforme Meldung entwerfen kann.

Meldung in Deutschland: die zuständige Landesdatenschutzbehörde

Anders als in den meisten Mitgliedstaaten gibt es in Deutschland keine einzige Anlaufstelle für nicht-öffentliche Stellen: Zuständig ist die Landesdatenschutzbehörde des Bundeslandes Ihrer Niederlassung — die Aufteilung folgt aus Artikel 55 DSGVO in Verbindung mit dem BDSG. Ein Unternehmen mit Sitz in Bayern meldet an das BayLDA, eines in Niedersachsen an die LfD Niedersachsen, und so weiter. Praktisch heißt das:

1. Klären Sie die Zuständigkeit vor dem Vorfall. Die zuständige Behörde gehört in Ihren Incident-Response-Plan, nicht in eine Websuche um zwei Uhr nachts. Bei mehreren Niederlassungen in Deutschland zählt die Hauptniederlassung; bei grenzüberschreitenden Verarbeitungen greift das One-Stop-Shop-Prinzip des Artikels 56.
2. Nutzen Sie die Online-Meldeformulare. Praktisch alle Landesdatenschutzbehörden stellen strukturierte Online-Formulare für die Artikel-33-Meldung bereit. Die Felder dieses Pakets sind so geschnitten, dass sich die Inhalte direkt übertragen lassen — Sie füllen das Paket einmal aus und übernehmen die Antworten in das jeweilige Formular.
3. Die vorläufige Meldung wahrt die Frist. Die deutschen Behörden erkennen ausdrücklich an, dass eine unvollständige Erstmeldung binnen 72 Stunden die Frist wahrt und später ergänzt wird (Artikel 33 Abs. 4) — die LfD Niedersachsen erläutert das Verfahren auf ihrer Seite zur Meldung von Datenschutzverletzungen. Melden Sie also früh mit dem, was Sie wissen, statt auf das vollständige Bild zu warten.

Terminologisch ist die „Datenpanne" der Alltagsbegriff; das Gesetz spricht von der „Verletzung des Schutzes personenbezogener Daten". Beide meinen dasselbe Ereignis — und dieselbe Meldung binnen 72 Stunden.

So nutzen Sie das Paket: der 72-Stunden-Workflow

1. Starten Sie die Uhr bewusst. Protokollieren Sie den Zeitpunkt der Kenntnis, sobald eine verantwortliche Person mit hinreichender Sicherheit feststellt, dass personenbezogene Daten kompromittiert wurden — nicht erst, wenn die Forensik abgeschlossen ist. Dieser Zeitstempel ist die am genauesten geprüfte Tatsache in jedem Artikel-33-Fall.
2. Bewerten Sie das Risiko, dann wählen Sie die Dokumente. Voraussichtlich kein Risiko → nur Pannenregister. Voraussichtliches Risiko → Behördenmeldung. Voraussichtlich hohes Risiko → Behördenmeldung plus Betroffenen-Anschreiben, sofern keine Ausnahme nach Artikel 34 Abs. 3 greift (wirksame Verschlüsselung mit sicheren Schlüsseln, nachträgliche Maßnahmen, die das hohe Risiko beseitigen, oder unverhältnismäßiger Aufwand mit öffentlicher Bekanntmachung stattdessen).
3. Melden Sie binnen 72 Stunden, auch unvollständig. Nutzen Sie die Kennzeichnung für gestufte Meldungen, statt auf das vollständige Bild zu warten — der EDSA erwartet eine Erstmeldung mit dem aktuellen Kenntnisstand, und die deutschen Behörden akzeptieren die vorläufige Meldung ausdrücklich. Bei verspäteter Meldung ist das Begründungsfeld Pflicht, nicht Kür.
4. Versenden Sie das Betroffenen-Anschreiben unverzüglich. Sobald das hohe Risiko feststeht, wird Promptheit erwartet; denken Sie daran, dass die Aufsichtsbehörde die Benachrichtigung nach Artikel 34 Abs. 4 anordnen kann, wenn sie Ihre Bewertung nicht teilt.
5. Schließen Sie den Kreis im Register. Halten Sie die endgültigen Fakten, Auswirkungen und Abhilfemaßnahmen im Pannenregister fest — bei nicht gemeldeten Verletzungen einschließlich der Begründung, warum sie nicht meldepflichtig waren. Auftragsverarbeiter haben nach Artikel 33 Abs. 2 die parallele Pflicht, ihre Verantwortlichen unverzüglich zu unterrichten — das Register erfasst deshalb auch, wann Ihre Auftragsverarbeiter Sie informiert haben.

Die Rechtsgrundlage hinter jedem Dokument

• DSGVO Artikel 33 begründet die Meldepflicht gegenüber der Behörde: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Artikel 33 Abs. 3 Buchst. a–d fixiert den Mindestinhalt — das Feldset des Formulars. Artikel 33 Abs. 4 erlaubt die gestufte Meldung; Artikel 33 Abs. 5 verlangt das interne Verzeichnis.
• Artikel 34 begründet die Benachrichtigungspflicht gegenüber den Betroffenen ab der Schwelle des hohen Risikos, in klarer und einfacher Sprache, mit den Elementen aus Art. 33 Abs. 3 Buchst. b–d als Mindestinhalt und den drei Ausnahmen des Abs. 3. Artikel 34 Abs. 4 erlaubt der Behörde, die Benachrichtigung anzuordnen.
• EDSA-Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten (Version 2.0, angenommen am 28. März 2023) definieren die „Kenntnis", befürworten die gestufte Meldung bei komplexen Vorfällen und legen fest, dass ein Nicht-EU-Verantwortlicher im Anwendungsbereich der DSGVO an die Aufsichtsbehörde des Mitgliedstaats meldet, in dem sein EU-Vertreter niedergelassen ist.
• Artikel 83 Abs. 4 Buchst. a setzt die Bußgeldstufe für Verstöße gegen beide Artikel: bis zu 10 Mio. Euro oder 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die Behörden ahnden Meldedisziplin eigenständig — die polnische Aufsichtsbehörde und das norwegische Datatilsynet haben Organisationen gezielt wegen Überschreitung der 72-Stunden-Frist sanktioniert, und verspätete Meldungen tauchen regelmäßig als separat geahndeter Verstoß neben größeren Artikel-32-Sicherheitsbußgeldern auf.

Wie die Meldepflicht bei Datenpannen in die Gesamtverordnung eingebettet ist — Grundsätze, Rechtsgrundlagen und die vollständige Pflichtenlandkarte 2026 — zeigt der DSGVO-Compliance-Leitfaden.

Das Paket in UK und Norwegen/EWR verwenden

Es ist keine strukturelle Anpassung nötig. Die UK GDPR behält die Artikel 33 und 34 in gleicher Form bei: Meldepflichtige Verletzungen gehen unverzüglich und binnen 72 Stunden an die ICO über deren Online-Meldeformular — rund 30 Minuten Bearbeitungszeit — oder telefonisch bei dringenden laufenden Vorfällen, mit derselben Ausnahme „voraussichtlich kein Risiko" und derselben Pflicht, eine verspätete Meldung zu begründen. Norwegen wendet die DSGVO über das personopplysningsloven kraft EWR-Abkommen an; das Datatilsynet bittet Organisationen, Meldungen über das Altinn-Portal einzureichen, mit derselben 72-Stunden-Uhr. Bei einer grenzüberschreitenden Verletzung innerhalb der EU/des EWR gilt der One-Stop-Shop: Sie melden an Ihre federführende Aufsichtsbehörde — die Behörde Ihrer Hauptniederlassung nach Artikel 56 —, und der Abschnitt „grenzüberschreitend" des Formulars erfasst genau diese Feststellung.

Aus den Schreiben einen Workflow machen

Eine Vorlage bringt die Meldung zu Papier; sie sammelt aber weder die Nachweise ein, noch verfolgt sie die Zeitleiste, noch erzählt sie Ihren Kunden kontrolliert, was passiert ist. Nachdem die Behörde informiert ist, stellen Enterprise-Kunden dieselben Fragen — und sie einzeln pro Sicherheitsfragebogen zu beantworten ist langsamer, als die Antwort einmal zu veröffentlichen. Ein Trust Center gibt der Vorfallskommunikation ein dauerhaftes, kontrolliertes Zuhause: Orbiqs Trust-Update-Workflow veröffentlicht Vorfallshinweise an abonnierte Kunden mit Audit-Trail — derselbe Kanal, der auch für Subprozessor-Änderungsmitteilungen dient. So wird das Schreiben, das Sie hier herunterladen, Teil eines wiederholbaren Prozesses, mit Rechtsteams in der Prüfschleife statt im Krisenmodus.

Quellen & Referenzen

1. Verordnung (EU) 2016/679 (DSGVO) — Artikel 33, 34, 56, 83 — Meldepflicht und Inhalt (33 Abs. 1, 33 Abs. 3), gestufte Meldung (33 Abs. 4), Dokumentationspflicht (33 Abs. 5), Auftragsverarbeiterpflicht (33 Abs. 2), Benachrichtigung Betroffener und Ausnahmen (34), federführende Behörde (56), Bußgeldstufe (83 Abs. 4 Buchst. a).
2. EDSA-Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten (v2.0, angenommen 28. März 2023) — Definition der Kenntnis, gestufte Meldung, Meldung von Nicht-EU-Verantwortlichen über den Mitgliedstaat des Vertreters.
3. LfD Niedersachsen — Meldung von Datenschutzverletzungen nach Artikel 33 DSGVO — Verfahren einer deutschen Landesdatenschutzbehörde, Online-Meldung und vorläufige Meldung.
4. EDSA — Notify a data breach (nationale Anlaufstellen) — wo in jedem Mitgliedstaat gemeldet wird.
5. ICO — Personal data breaches: a guide — Meldepflicht nach UK GDPR, 72-Stunden-Fenster, Risikoausnahme, angeordnete Benachrichtigung.
6. Datatilsynet — Meld avvik til Datatilsynet — norwegische Meldung über Altinn.
7. DLA Piper GDPR Fines and Data Breach Survey: Januar 2026 — 443 durchschnittliche tägliche Meldungen im EWR 2025 (+22 %).

Weiterführende Artikel

• DSGVO Artikel 33: Die 72-Stunden-Meldepflicht bei Datenpannen — der vollständige Leitfaden hinter der Behördenmeldung
• DSGVO Artikel 34: Benachrichtigung betroffener Personen bei einer Datenpanne — der vollständige Leitfaden hinter dem Betroffenen-Anschreiben
• DSGVO-Compliance 2026: Grundsätze, Rechte & Nachweis
• Vorlage: DSGVO-Subprozessor-Änderungsmitteilung — der verwandte Mitteilungs-Workflow
• Trust Center für Rechtsteams