Zum Inhalt
Normalex

Werkzeug oder Leitfaden suchen

Datenschutzverletzung in der Kanzlei: die 72 Stunden und die Meldung

Der Zeitpunkt der Kenntnisnahme ergibt das Ende der 72 Stunden, belgische Zeit, und was folgt: Meldung an die Datenschutzbehörde oder nicht, Benachrichtigung der Personen oder nicht, die Dokumente.

Was die Regel sagt

Regeln geprüft am 07/10/2026

Eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme der Datenschutzbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Personen (Art. 33 Abs. 1 DSGVO). Die 72 Stunden laufen ohne Unterbrechung, Wochenenden und Feiertage eingeschlossen. Bei hohem Risiko sind die betroffenen Personen unverzüglich zu benachrichtigen (Art. 34).

Jede Verletzung wird im Verletzungsverzeichnis der Kanzlei erfasst, gemeldet oder nicht, mit Sachverhalt, Auswirkungen und ergriffenen Maßnahmen (Art. 33 Abs. 5).

Wenn die Kanzlei hinreichende Gewissheit hat, dass personenbezogene Daten betroffen sind; eine kurze Untersuchung darf vorausgehen. Von einem Auftragsverarbeiter informiert: ab diesem Zeitpunkt (EDSA 9/2022).

Was betroffen ist
Welche Daten
Was das Risiko verringert

Die Antworten deuten auf ein Niveau; die Entscheidung liegt bei Ihnen.

Ohne Datum gilt der Tag der Kenntnisnahme: der früheste, also nie zu spät.

Ihr Ergebnis erscheint hier

Das Ergebnis erscheint, sobald die nötigen Felder ausgefüllt sind.

Ein unverschlüsselter Laptop mit Mandantenakten, verloren am Freitag, 9. Oktober 2026, um 18.30 Uhr.

Quellen

Regeln geprüft am 07/10/2026

Eine Formulierungshilfe nach den angegebenen Quellen. Vom Rechtsanwalt zu prüfen und anzupassen; sie ist weder Beratung noch eine Gewähr für die Einhaltung der Regeln.

So funktioniert es

So funktioniert die Berechnung

  • Ausgangspunkt. Der Zeitpunkt, zu dem die Kanzlei hinreichende Gewissheit hat, dass personenbezogene Daten betroffen sind. Eine kurze Untersuchung darf vorausgehen, beginnt aber sofort (EDSA, Leitlinien 9/2022). Von einem Auftragsverarbeiter informiert, erlangt die Kanzlei ab diesem Zeitpunkt Kenntnis.
  • 72 Stunden ohne Unterbrechung. Eine Frist in Stunden umfasst Wochenenden und Feiertage und verschiebt sich nie auf den nächsten Werktag (Verordnung 1182/71, Art. 3 Abs. 3 und 4). Das Werkzeug zeigt die Kenntnisnahme plus 72 Stunden.
  • Strenge Lesart. Nach Art. 3 Abs. 1 der Verordnung zählt die Stunde der Kenntnisnahme nicht mit: Die Frist würde zur nächsten vollen Stunde enden. Das Werkzeug weist darauf hin, verwendet aber die frühere Uhrzeit.
  • Zeitumstellung. Die Frist zählt echte Stunden: Beginnt oder endet die Sommerzeit während der 72 Stunden, liegt das Ende auf der Uhr eine Stunde früher oder später. Beispiel: Kenntnisnahme am Freitag, 23. Oktober 2026, um 14.20 Uhr, Ende am Montag, 26. Oktober, um 13.20 Uhr.
  • Formular der Datenschutzbehörde. Teil 1 innerhalb von 72 Stunden, auch ohne Unternehmenskonto; Teil 2 innerhalb von 21 Kalendertagen, mit Erinnerungen an den Tagen 7 und 14 (Handbuch der Datenschutzbehörde, v2.0).

Das Risiko und was folgt

Das Werkzeug schlägt anhand der Antworten (was betroffen ist, welche Daten, schutzbedürftige Personen, was das Risiko verringert) ein Niveau vor, nennt die Gründe und überlässt Ihnen die Entscheidung:

  • Risiko unwahrscheinlich: keine Meldung an die Datenschutzbehörde, aber ein Eintrag im Verzeichnis mit den Gründen (Art. 33 Abs. 5);
  • Risiko: Meldung an die Datenschutzbehörde (Art. 33 Abs. 1);
  • hohes Risiko: Meldung und unverzügliche Benachrichtigung der Personen (Art. 34), es sei denn, die Daten waren unverständlich, das Risiko wurde beseitigt oder eine öffentliche Bekanntmachung ersetzt eine unverhältnismäßige Einzelbenachrichtigung (Art. 34 Abs. 3).

Der Verlust der Vertraulichkeit von Daten unter dem Berufsgeheimnis ist ein Schaden, den die DSGVO ausdrücklich nennt (Erwägungsgründe 75 und 85): Der Verlust einer unverschlüsselten Mandantenakte führt grundsätzlich zu einem hohen Risiko.

Die Dokumente

Der Eintrag im Verletzungsverzeichnis, der Entwurf der Meldung an die Datenschutzbehörde (die vier Angaben des Art. 33 Abs. 3) und der Entwurf der Nachricht an die Personen, in klarer Sprache, mit Empfehlungen je nach betroffenen Daten. Export als PDF und Word in der gewählten Sprache sowie eine Kalenderdatei mit dem Ende der 72 Stunden und dem letzten Tag für Teil 2.

Was das Werkzeug nicht tut

  • Es meldet nichts an die Datenschutzbehörde: Die Meldung erfolgt über deren Portal.
  • Es prüft weder Pflichten gegenüber dem Berufshaftpflichtversicherer oder dem Präsidenten der Rechtsanwaltskammer noch das NIS2-Gesetz.
  • Es sendet nichts: Sachverhalt, Folgen und Kontakte bleiben in diesem Tab; nur Daten, Uhrzeit und Optionen stehen in der Adresse der Seite.

Überprüfung

Die Regeln wurden am 7. Oktober 2026 geprüft. Das Werkzeug unterstützt den Anwalt, der für die Beurteilung und die Meldung verantwortlich bleibt.

Aktualisiert am 7. Oktober 2026

Häufige Fragen

Zählt das Wochenende zu den 72 Stunden?

Ja. Eine in Stunden bemessene Frist umfasst Samstage, Sonntage und Feiertage und verschiebt sich nicht auf den nächsten Werktag (Verordnung 1182/71, Art. 3 Abs. 3 und 4, auf die die Leitlinien 9/2022 des EDSA verweisen). Eine Kenntnisnahme am Freitag um 18.30 Uhr ergibt ein Ende am Montag um 18.30 Uhr.

Ab wann laufen die 72 Stunden?

Ab dem Zeitpunkt, zu dem die Kanzlei hinreichende Gewissheit hat, dass ein Vorfall personenbezogene Daten betroffen hat. Eine kurze Untersuchung dazu ist erlaubt, beginnt aber sofort. Entdeckt ein Auftragsverarbeiter (IT-Dienstleister, Cloud) den Vorfall, meldet er ihn der Kanzlei unverzüglich, und die 72 Stunden laufen ab dieser Meldung.

Muss gemeldet werden, wenn der verlorene Laptop verschlüsselt war?

War die Verschlüsselung stark, blieb der Schlüssel sicher und sind die Daten anderweitig verfügbar (Sicherung), führt die Verletzung grundsätzlich voraussichtlich zu keinem Risiko: keine Meldung, aber ein Eintrag im Verzeichnis mit den Gründen (Beispiele der Leitlinien 9/2022 des EDSA). Ein unverschlüsselter Laptop mit Mandantenakten erfordert dagegen eine Meldung und grundsätzlich die Benachrichtigung der Mandanten.

Was, wenn die 72 Stunden verstrichen sind?

Trotzdem melden und die Gründe für die Verzögerung angeben (Art. 33 Abs. 1 DSGVO). Die Angaben dürfen schrittweise erfolgen (Art. 33 Abs. 4): zuerst Teil 1 des Formulars, Teil 2 innerhalb von 21 Tagen.

Was gehört in das Verletzungsverzeichnis?

Der Sachverhalt, die Auswirkungen und die ergriffenen Maßnahmen, für jede Verletzung, gemeldet oder nicht (Art. 33 Abs. 5). Die OVB empfiehlt, auch die Gründe festzuhalten, aus denen eine Verletzung nicht gemeldet wurde. Der Eintrag des Werkzeugs enthält diese Angaben, Daten und Uhrzeiten, das festgestellte Risikoniveau und die Entscheidung.

Wann sind die betroffenen Mandanten zu benachrichtigen?

Wenn die Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat, unverzüglich und in klarer Sprache: Art der Verletzung, Anlaufstelle, wahrscheinliche Folgen und ergriffene Maßnahmen (Art. 34). Das ist nicht nötig, wenn die Daten unverständlich waren, das Risiko später beseitigt wurde oder der Aufwand unverhältnismäßig wäre; eine öffentliche Bekanntmachung ersetzt sie dann.

Eine Formulierungshilfe nach den angegebenen Quellen. Vom Rechtsanwalt zu prüfen und anzupassen; sie ist weder Beratung noch eine Gewähr für die Einhaltung der Regeln.