96 statt 72 Stunden? Warum Sie bei Datenpannen trotzdem nach heutigem Recht handeln müssen

Freitagnachmittag, 16 Uhr. In einem Steuerbüro mit zwölf Mitarbeitern stellt eine Kollegin fest, dass sie eine Excel-Liste mit Lohndaten an den falschen Empfänger geschickt hat. Der Chef erinnert sich an eine Schlagzeile: Die EU wolle die Meldefrist für Datenpannen doch auf 96 Stunden verlängern. Also erst einmal Wochenende und am Dienstag in Ruhe schauen?

Nein. Und genau da liegt der Denkfehler.

Was die EU-Kommission vorgeschlagen hat

Am 19. November 2025 hat die EU-Kommission den sogenannten Digital Omnibus vorgelegt. Ein Teil davon betrifft die DSGVO. Für Datenpannen sieht der Vorschlag zwei Änderungen vor: Gemeldet werden müsste an die Aufsichtsbehörde nur noch, wenn die Panne voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Und die Frist dafür würde von 72 auf 96 Stunden verlängert. Dazu kommt die Idee einer zentralen EU-Meldestelle, über die Meldungen nach DSGVO, NIS2 und anderen Regelwerken gebündelt laufen sollen.

Das klingt nach Entlastung, gerade für kleine Betriebe. Ich halte die Richtung auch für nachvollziehbar: Heute landen bei den Behörden viele Meldungen über Bagatellen, die niemandem helfen.

Wo das Verfahren steht

Nur: Beschlossen ist davon nichts. Der KI-Teil des Omnibus ist inzwischen verabschiedet, der Datenteil mit den DSGVO-Änderungen steckt noch im Gesetzgebungsverfahren. Im Europäischen Parlament haben die zuständigen Ausschüsse im Juni 2026 einen Berichtsentwurf vorgelegt, bis Mitte Juli wurden mehr als 1.750 Änderungsanträge eingereicht. Im Rat konnten sich die Mitgliedstaaten nach meinem Kenntnisstand bislang nicht auf ein gemeinsames Verhandlungsmandat einigen, die abschließenden Verhandlungen zwischen Parlament, Rat und Kommission haben noch nicht begonnen. Die europäischen Datenschutzaufsichten haben sich im Februar 2026 in einer gemeinsamen Stellungnahme zu dem Paket geäußert und dabei auch Kritik geübt.

Realistisch ist eine Einigung frühestens Ende 2026, eher 2027. Danach braucht es die Veröffentlichung und in der Regel eine Übergangszeit. Und ob die 96 Stunden am Ende so im Gesetz stehen, weiß heute niemand.

Was heute gilt

Bis eine Änderung tatsächlich in Kraft ist, gilt Art. 33 DSGVO unverändert. Übersetzt heißt das: Eine Datenpanne melden Sie der zuständigen Aufsichtsbehörde unverzüglich, möglichst innerhalb von 72 Stunden, nachdem Sie davon erfahren haben. Eine Ausnahme gibt es nur, wenn die Panne voraussichtlich zu keinem Risiko für die Betroffenen führt. Das müssen Sie begründet entscheiden können, nicht nach Bauchgefühl.

Wichtig: Die 72 Stunden sind Kalenderstunden. Wochenende und Feiertage zählen mit. Für unser Steuerbüro läuft die Frist also am Montagnachmittag ab, nicht am Dienstag. Unabhängig von der Frist gilt außerdem: Jede Panne wird intern dokumentiert, auch die, die Sie nicht melden müssen. Und bei hohem Risiko sind zusätzlich die betroffenen Personen zu informieren.

Was ein Betrieb jetzt konkret vorbereitet

Die gute Nachricht: Die Vorbereitung ist dieselbe, egal ob am Ende 72 oder 96 Stunden gelten. Wer sie einmal sauber erledigt, ist für beide Fälle gerüstet.

Erstens ein kurzer Notfallplan auf einer Seite. Wer im Betrieb nimmt eine Panne entgegen? Wer entscheidet über die Meldung? Wer vertritt, wenn die Geschäftsführung im Urlaub ist? Mit Telefonnummern, nicht nur mit Namen.

Zweitens ein Pannenregister. Eine einfache Tabelle reicht: Zeitpunkt der Kenntnis, was passiert ist, welche Daten und wie viele Personen betroffen sind, Risikoeinschätzung mit Begründung, ergriffene Maßnahmen, gemeldet ja oder nein. Das Register ist zugleich Ihr Nachweis gegenüber der Aufsicht.

Drittens die Mitarbeiter. Die meisten Pannen fallen nicht der IT auf, sondern der Kollegin am Empfang oder dem Monteur, dessen Diensthandy weg ist. Sie müssen wissen: sofort melden, ohne Angst vor Ärger. Wer Fehler aus Sorge verschweigt, verbrennt die Frist.

Viertens den Meldeweg kennen. Die Datenschutzaufsicht in Baden-Württemberg nimmt Meldungen über ein Online-Formular entgegen. Schauen Sie es sich einmal in Ruhe an, bevor Sie es unter Zeitdruck brauchen.

Fünftens die Dienstleister. Ihr IT-Betreuer, Ihr Cloud-Anbieter, Ihr Lohnbüro: Im Vertrag zur Auftragsverarbeitung sollte stehen, dass sie Ihnen Pannen unverzüglich melden. Prüfen Sie, ob das wirklich drinsteht.

Fazit

Der Digital Omnibus kann die Meldepflicht für Datenpannen spürbar entschärfen. Aber er ist ein Vorschlag, kein Gesetz. Wer sich heute auf 96 Stunden verlässt, reißt die geltende 72-Stunden-Frist. Die Vorbereitung, die ich beschrieben habe, ist kein großes Projekt und lohnt sich unabhängig davon, wie Brüssel am Ende entscheidet. Wenn Sie Ihren Notfallplan oder Ihr Pannenregister einmal gemeinsam durchgehen möchten: Das Erstgespräch ist kostenlos und unverbindlich.

Stand: Oktober 2026.