{
    "slug": "dsgvo-meldepflicht-art-33",
    "titre": "DSGVO Art. 33 – Meldepflicht bei Verletzung des Schutzes personenbezogener Daten",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen…",
    "resume_court": "Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde **unverzüglich und möglichst binnen 72 Stunden**, nachdem ihm die Verletzung bekannt wurde, melden. Eine Meldung entfällt nur, wenn die Verletzung **voraussichtlich nicht zu einem Risiko** für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später als 72 Stunden, ist sie mit einer Begründung der Verzögerung zu versehen (Art. 33 Abs. 1 Satz 2). Auftragsverarbeiter melden eine Verletzung dem Verantwortlichen unverzüglich, sobald sie ihnen bekannt wird (Art. 33 Abs. 2).",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Verordnung (EU) 2016/679, Artikel 33",
            "autorite": "A"
        },
        {
            "point": "Adressat der Meldung",
            "valeur": "zuständige Aufsichtsbehörde (Art. 55 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Meldepflichtiger",
            "valeur": "Verantwortlicher i. S. v. Art. 4 Nr. 7 DSGVO",
            "autorite": "A"
        },
        {
            "point": "Frist",
            "valeur": "unverzüglich, möglichst binnen 72 Stunden nach Kenntnisnahme",
            "autorite": "A"
        },
        {
            "point": "Verspätete Meldung (Art. 33 Abs. 1 S. 2)",
            "valeur": "nur mit Begründung der Verzögerung zulässig",
            "autorite": "A"
        },
        {
            "point": "Ausnahme von der Meldepflicht",
            "valeur": "voraussichtlich kein Risiko für Rechte und Freiheiten natürlicher Personen",
            "autorite": "A"
        },
        {
            "point": "Auftragsverarbeiter (Art. 33 Abs. 2)",
            "valeur": "meldet dem Verantwortlichen unverzüglich nach Kenntnisnahme",
            "autorite": "A"
        },
        {
            "point": "Pflichtinhalte der Meldung (Art. 33 Abs. 3)",
            "valeur": "Art der Verletzung, Kategorien/Zahl der Betroffenen und Datensätze, DSB-Kontakt, Folgen, Maßnahmen",
            "autorite": "A"
        },
        {
            "point": "Schrittweise Meldung (Erwägungsgrund 85)",
            "valeur": "zulässig, wenn nicht alle Informationen binnen 72 h vorliegen",
            "autorite": "A"
        },
        {
            "point": "Dokumentationspflicht (Art. 33 Abs. 5)",
            "valeur": "jede Verletzung mit Sachverhalt, Auswirkungen und Abhilfemaßnahmen intern dokumentieren",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß (Art. 83 Abs. 4 lit. a)",
            "valeur": "bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes",
            "autorite": "A"
        },
        {
            "point": "Zusätzlich Art. 34 DSGVO",
            "valeur": "Benachrichtigung der betroffenen Personen, wenn voraussichtlich hohes Risiko",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, Volltext (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Informationen zu Meldungen von Datenschutzverstößen (Infoblatt)",
            "url": "https://www.bfdi.bund.de/infoblatt_datenschutzverstoesse",
            "autorite": "A"
        },
        {
            "titre": "Landesbeauftragte für Datenschutz und Informationsfreiheit NRW – Meldepflicht für Verantwortliche (Art. 33 DSGVO)",
            "url": "https://www.ldi.nrw.de/kontakt/meldepflicht-fuer-verantwortliche-verletzungen-des-schutzes-personenbezogener-daten",
            "autorite": "A"
        },
        {
            "titre": "Bayerisches Landesamt für Datenschutzaufsicht – Datenpanne melden",
            "url": "https://www.lda.bayern.de/de/datenpanne.html",
            "autorite": "A"
        },
        {
            "titre": "Bayerisches Landesamt für Datenschutzaufsicht – Flyer „Art. 33 und 34 DS-GVO\u0022 (PDF)",
            "url": "https://www.lda.bayern.de/media/veroeffentlichungen/Flyer_Datenschutzverletzung.pdf",
            "autorite": "A"
        },
        {
            "titre": "Europäischer Datenschutzausschuss (EDPB) – Leitlinien 9/2022 zur Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß DSGVO (PDF)",
            "url": "https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202209_personal_data_breach_notification_v2.0_de_0.pdf",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 33 – Meldepflicht bei Verletzung des Schutzes personenbezogener Daten?",
            "reponse": "Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, melden. Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q107357247"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-10-23",
    "derniere_verification": "2026-10-23",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-meldepflicht-art-33"
}