Freitag, 17:40 Uhr. Der Anruf eines Kunden reißt dich aus dem Feierabend: „Auf unserer Website steht plötzlich fremder Text, und im Login-Bereich komme ich nicht mehr rein." Du schaust drauf – die WordPress-Seite ist kompromittiert, ein veraltetes Plugin war das Einfallstor, und im Kundenkonto-Bereich liegen Namen, Adressen und Bestellungen. Jetzt beginnt keine reine Technik-Aufgabe, sondern ein Rennen gegen die Uhr: Denn wenn dabei personenbezogene Daten betroffen sind, läuft ab dem Moment, in dem der Vorfall bekannt wird, eine 72-Stunden-Frist. Wer eine Datenpanne melden muss und es versäumt, riskiert Bußgelder – zusätzlich zum eigentlichen Schaden.
Dieser Beitrag erklärt, wann aus einem Sicherheitsvorfall eine meldepflichtige Datenpanne wird, welche Fristen und Pflichten gelten, welche Rolle du als Agentur dabei spielst – und wie du dich und deine Kunden mit einem einfachen Notfallplan aus der Schusslinie bringst. Vorweg der nötige Hinweis: Das hier ist eine sachliche Einordnung, keine Rechtsberatung. Bei konkreten Vorfällen gehört ein Datenschutzbeauftragter oder eine Fachanwältin an den Tisch.
Warum das Thema Datenpanne melden immer dringlicher wird
Sicherheitsvorfälle sind längst keine Ausnahme mehr, sondern Alltag. Die Kanzlei DLA Piper wertet jährlich die gemeldeten Datenschutzverletzungen in Europa aus, und die jüngste Erhebung für den Zeitraum vom 28. Januar 2025 bis zum 27. Januar 2026 zeigt einen deutlichen Anstieg: durchschnittlich 443 gemeldete Datenpannen pro Tag, ein Plus von 22 Prozent gegenüber den 363 Meldungen täglich im Vorjahr. Zum ersten Mal seit Inkrafttreten der DSGVO 2018 lag der Tagesschnitt über 400. Im selben Zeitraum verhängten die europäischen Aufsichtsbehörden Bußgelder von rund 1,2 Milliarden Euro.
Für kleine Agenturen ist diese Entwicklung aus zwei Gründen relevant. Erstens steigt schlicht die Wahrscheinlichkeit, dass es einen deiner Kunden trifft – gerade bei WordPress-Seiten, wo veraltete Plugins ein häufiges Einfallstor sind. Zweitens bist du als Dienstleister mittendrin: Wer die Seite betreut, hostet oder das Backend verwaltet, wird im Ernstfall zum ersten Ansprechpartner. Was du in den ersten Stunden tust oder unterlässt, entscheidet mit darüber, ob aus einem Vorfall ein teures Versäumnis wird.
Nicht jeder Vorfall ist eine meldepflichtige Panne
Zuerst die Entwarnung: Nicht jeder Sicherheitsvorfall muss gemeldet werden. Der maßgebliche Artikel 33 der DSGVO knüpft die Meldepflicht an eine Bedingung – die „Verletzung des Schutzes personenbezogener Daten" muss voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führen. Ist ein Risiko dagegen unwahrscheinlich, entfällt die Meldung an die Aufsichtsbehörde.
Der Unterschied lässt sich an zwei Beispielen greifen. Wird ein Server gehackt und fließen dabei Kundendaten ab oder werden verschlüsselt, ist ein Risiko offensichtlich – hier ist zu melden. Fällt dagegen ein rein technischer Dienst kurz aus, ohne dass jemand auf personenbezogene Daten zugreifen konnte, liegt in der Regel keine meldepflichtige Panne vor. Die ehrliche Schwierigkeit steckt in den Graufällen dazwischen, etwa einer versehentlich an den falschen Verteiler geschickten E-Mail. Weil diese Bewertung juristisch heikel ist und im Zweifel dokumentiert werden muss, gehört sie nicht ins Bauchgefühl, sondern in die Hände von jemandem mit Datenschutz-Expertise. Wichtig zu wissen: Auch Vorfälle, die am Ende nicht gemeldet werden, müssen intern dokumentiert werden – die Behörde kann diese Dokumentation verlangen.
Die 72-Stunden-Frist und was in die Meldung gehört
Steht fest, dass gemeldet werden muss, zählt jede Stunde. Die Meldung an die zuständige Aufsichtsbehörde muss „unverzüglich und möglichst binnen 72 Stunden" erfolgen, nachdem die Verletzung bekannt wurde. Diese Uhr läuft nicht erst mit der vollständigen Aufklärung, sondern ab dem Bekanntwerden – deshalb ist der reflexartige Griff zur Behördenmeldung wichtiger als das Warten auf das lückenlose Bild. Wer die Frist überzieht, muss die Verzögerung begründen.
Was die Behörde wissen will, ist in Artikel 33 klar umrissen: die Art der Verletzung samt Kategorien und – soweit möglich – der ungefähren Zahl der betroffenen Personen und Datensätze; die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Auskunftsstelle; die wahrscheinlichen Folgen der Verletzung; und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensbegrenzung. Liegen noch nicht alle Informationen vor, ist eine gestufte Meldung ausdrücklich erlaubt: erst der bekannte Stand, Details folgen nach. Diese Möglichkeit nimmt viel Druck aus den ersten Stunden – man muss nicht alles wissen, um fristgerecht zu melden.
Ist das Risiko für die Betroffenen sogar hoch, kommt eine zweite Pflicht hinzu: Nach Artikel 34 müssen dann auch die betroffenen Personen selbst informiert werden – die Kundinnen und Kunden also, deren Daten abgeflossen sind. Das ist unangenehm, aber unvermeidlich, und es will kommunikativ vorbereitet sein, damit aus einem Sicherheitsvorfall kein Vertrauensdesaster wird.
Deine Rolle als Agentur: Auftragsverarbeiter mit eigener Pflicht
Jetzt kommt der Punkt, den viele Agenturen unterschätzen. Wenn du im Auftrag eines Kunden dessen Website betreust und dabei mit personenbezogenen Daten in Berührung kommst, bist du im Sinne der DSGVO in aller Regel Auftragsverarbeiter. Und Auftragsverarbeiter haben bei einer Datenpanne eine eigene, ausdrückliche Pflicht: Sie müssen den Verantwortlichen – also deinen Kunden – „unverzüglich" informieren, sobald ihnen eine Verletzung bekannt wird.
Die Meldung an die Aufsichtsbehörde selbst obliegt zwar dem Verantwortlichen, nicht dir. Aber die 72-Stunden-Uhr des Kunden beginnt praktisch mit deiner Information. Verschläfst du die Weitergabe, bringst du deinen Kunden in Verzug – und dich selbst in Haftung, denn deine Meldepflicht ergibt sich direkt aus dem Gesetz und sollte zusätzlich in einem Auftragsverarbeitungsvertrag geregelt sein. Genau deshalb ist der AVV für deine Dienstleistungen kein lästiges Formular, sondern die Grundlage, die im Ernstfall klärt, wer wen wann informiert. Ohne diese saubere Regelung entsteht im Krisenmoment genau die Verwirrung, die man am wenigsten gebrauchen kann.
Der Notfallplan: vorbereiten, bevor es brennt
Die 72-Stunden-Frist gewinnt oder verliert man nicht am Tag des Vorfalls, sondern in der Vorbereitung. Ein knapper, pro Kunde hinterlegter Notfallplan macht den Unterschied zwischen kopflosem Aktionismus und geordnetem Vorgehen. Vier Bausteine reichen für den Anfang.
Erstens eine Kontaktkette: Wer wird in welcher Reihenfolge informiert – der Kunde, dessen Datenschutzbeauftragter, gegebenenfalls der Hoster? Namen und Telefonnummern gehören an eine Stelle, die auch am Freitagabend erreichbar ist. Zweitens eine Sofortmaßnahmen-Liste: betroffenes System vom Netz nehmen, Zugänge sperren, Passwörter zurücksetzen, Beweise sichern statt vorschnell zu löschen. Drittens eine Meldevorlage, die die vier Pflichtangaben aus Artikel 33 bereits als Gerüst enthält, damit im Ernstfall nur noch ausgefüllt wird. Und viertens ein sauberes Backup-Konzept, das eine schnelle Wiederherstellung erlaubt – ohne Backup wird aus dem Vorfall schnell ein Totalschaden.
Der wirksamste Schutz aber liegt davor: Viele Pannen entstehen gar nicht erst, wenn Systeme aktuell gehalten werden. Regelmäßige Updates, überwachte Plugins und geprüfte Zugänge verhindern einen Großteil der typischen Einfallstore – der Grund, warum ein verlässlicher WordPress-Wartungsvertrag nicht nur ein Umsatz-, sondern ein Sicherheitsargument ist. Und weil größere Kunden zunehmend Sicherheitsnachweise von ihren Dienstleistern verlangen, zahlt ein dokumentierter Notfallplan direkt auf die Anforderungen ein, die über die Lieferkette nach NIS2 auf Agenturen zukommen.
Aus der Pflicht ein Vertrauensangebot machen
Für Agenturen steckt in diesem unangenehmen Thema ein starkes Argument. Ein Kunde, dem du unaufgefordert einen Notfallplan, einen sauberen AVV und ein funktionierendes Backup-Konzept lieferst, erlebt dich nicht als Kostenstelle, sondern als jemanden, der ihn vor einem realen Risiko schützt. Das ist die Sorte Leistung, die einen Wartungsvertrag rechtfertigt und die Bindung festigt – gerade weil sie erst im Ernstfall ihren vollen Wert zeigt.
Der Anruf am Freitagabend wird trotzdem irgendwann kommen. Aber es ist ein Unterschied, ob er dich unvorbereitet trifft oder ob du eine Kontaktkette, eine Sofortmaßnahmen-Liste und eine Meldevorlage aus der Schublade ziehst. Die 72 Stunden sind knapp – aber sie sind zu schaffen, wenn die Arbeit lange vor dem Ernstfall erledigt ist. Und noch einmal, weil es wichtig ist: Bei einem konkreten Vorfall ersetzt dieser Überblick keine juristische Beratung, sondern hilft dir nur, die richtigen Fragen früh genug zu stellen.
- Datenschutzverletzungen nehmen zu: DLA Piper zählt für 2025 durchschnittlich 443 gemeldete Datenpannen pro Tag in Europa – ein Plus von 22 % gegenüber 363 im Vorjahr, bei rund 1,2 Mrd. Euro Bußgeldern.
- Meldepflichtig ist eine Panne nur, wenn sie voraussichtlich zu einem Risiko für die Rechte der Betroffenen führt; auch nicht gemeldete Vorfälle müssen aber intern dokumentiert werden.
- Die Meldung an die Aufsichtsbehörde muss binnen 72 Stunden ab Bekanntwerden erfolgen (Art. 33 DSGVO); eine gestufte Meldung ist erlaubt, bei hohem Risiko sind zusätzlich die Betroffenen zu informieren (Art. 34).
- Als Auftragsverarbeiter hat die Agentur eine eigene Pflicht: Sie muss den Kunden unverzüglich informieren – ein sauberer AVV regelt, wer wen wann meldet.
- Ein vorbereiteter Notfallplan (Kontaktkette, Sofortmaßnahmen, Meldevorlage, Backup) macht die knappe Frist beherrschbar und ist ein starkes Vertrauens- und Vertragsargument.