Datenpannen müssen nach Art. 33 DSGVO innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden — in Hamburg an die HmbBfDI. Wer die Frist verpasst, riskiert Bußgelder 5.000-30.000 €. Bei hohem Risiko zusätzlich Information der Betroffenen nach Art. 34. Dieser Guide liefert die Schritt-für-Schritt-Datenpannen-Meldung an HmbBfDI 2026 mit Pflicht-Inhalten. Für strukturierten Workflow lohnt der Blick auf Hugo DSB mit Datenpannen-Workflow.
72-h-Frist
Ab Kenntnis des Vorfalls — strikt einzuhalten.
Meldeweg
Online-Formular auf datenschutz-hamburg.de oder E-Mail.
Bußgeld
5-30 k € bei verpasster Frist oder unvollständiger Meldung.
Betroffenen-Info
Zusätzlich bei hohem Risiko (Art. 34 DSGVO).
Der 72-Stunden-Workflow für Datenpannen-Meldung
- Stunde 0-2: Vorfall erkennen, Forensik starten — Externe Spezialisten + IT-Team koordinieren
- Stunde 2-12: Eindämmung + erste Bewertung — Netzwerk trennen falls nötig, Schaden eingrenzen
- Stunde 12-24: DSB informieren, Risiko-Bewertung — Externer DSB übernimmt Behörden-Kommunikation
- Stunde 24-48: Meldung-Entwurf vorbereiten — Alle Pflicht-Inhalte zusammentragen
- Stunde 48-72: Meldung absenden — Online-Formular HmbBfDI oder E-Mail
- Bei hohem Risiko: parallel Betroffenen-Info nach Art. 34 DSGVO
Pflicht-Inhalte der Datenpannen-Meldung
- Beschreibung des Vorfalls mit Zeitpunkt und Erkennungs-Weg
- Kategorien betroffener Personen (Mitarbeitende, Kunden, etc.)
- Anzahl betroffener Personen (geschätzt)
- Kategorien betroffener Daten (Name, Adresse, Gesundheits-Daten, etc.)
- Voraussichtliche Folgen für Betroffene
- Ergriffene Maßnahmen zur Eindämmung und Behebung
- Kontaktdaten des DSB als Ansprechpartner
Wichtig: Wenn nicht alle Informationen binnen 72 h vorliegen, „initial-Meldung“ machen mit dem was bekannt ist + Ergänzungs-Meldung sobald weitere Details. NIE Frist verpassen, weil noch nicht alles geklärt ist.
„72-Stunden-Frist ist unverhandelbar. Wir übernehmen für Hamburger Mandanten die HmbBfDI-Meldung professionell — strukturierte Initial-Meldung in 24 h, Ergänzung mit Forensik-Ergebnissen in 5-10 Tagen. Wer alleine meldet, schreibt oft zu viel oder zu wenig — beides ist Bußgeld-Risiko.“
— Nils Oehmichen, Geschäftsführer der frag.hugo Informationssicherheit GmbH
FAQ — Datenpannen-Meldung HmbBfDI
Wann startet die 72-h-Frist?
Ab Kenntnis des Vorfalls durch das Unternehmen. Bei späterer Entdeckung (z.B. nach Wochen) startet die Frist ab Entdeckung.
Muss ich jede Datenpanne melden?
Nur bei „voraussichtlich nicht nur unerheblichem Risiko“. Bei klar unkritischen Vorfällen ohne Risiko (z.B. interne Fehlleitung einer harmlosen Mail) Meldung optional, Dokumentation Pflicht.
Wo finde ich das Meldeformular?
Online auf datenschutz-hamburg.de unter „Datenpannen-Meldung“. Alternativ per E-Mail an mailbox@datenschutz.hamburg.de mit den Pflicht-Inhalten.
Muss ich Betroffene immer informieren?
Nur bei „hohem Risiko“. Ausnahmen: Daten unkenntlich gemacht, hoher Aufwand unverhältnismäßig (dann öffentliche Bekanntmachung).
Was kostet professionelle Meldungs-Begleitung?
Externer DSB im Festpreis-Tarif inklusive. Bei Pay-per-Call-Modellen 200-200 €/h plus Recovery-Kosten.
Was passiert nach der Meldung?
HmbBfDI prüft, kann zusätzliche Fragen stellen, eröffnet bei schweren Fällen Anhörungs-Verfahren mit Bußgeld-Möglichkeit. Frühe Maßnahmen-Plan-Dokumentation reduziert Bußgeld.
Fazit: Datenpannen-Meldung 2026 ist 72-Stunden-Disziplin
72-h-Frist strikt einhalten, Pflicht-Inhalte vollständig, externer DSB übernimmt Behörden-Kommunikation. Lohnt der Blick auf Hugo DSB mit Datenpannen-Workflow.