Der Europäische Datenschutzausschuss (EDSA) hat am 10. Juni 2026 eine gemeinsame Meldevorlage für Datenschutzverletzungen angenommen. Die Vorlage soll die Meldung von Datenschutzverletzungen nach Art. 33 der Datenschutz-Grundverordnung (DSGVO) erleichtern und zugleich für mehr Einheitlichkeit zwischen den europäischen Aufsichtsbehörden sorgen. Grundlage ist die Helsinki-Erklärung des EDSA, mit der die DSGVO-Compliance vereinfacht und die einheitliche Umsetzung des Datenschutzes in Europa gestärkt werden soll.
Wann erfolgt eine Meldung nach Art. 33 DSGVO?
Eine Meldung nach Art. 33 DSGVO kommt in Betracht, wenn eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO vorliegt. Das kann etwa der Fall sein, wenn personenbezogene Daten unbefugt offengelegt, verloren, verändert oder auf sonstige Weise unrechtmäßig verarbeitet werden. Entscheidend ist, ob aus der Datenschutzverletzung ein Risiko für die Rechte und Freiheiten der betroffenen Person entstehen kann, etwa durch Kontrollverlust, Diskriminierung oder materielle bzw. immaterielle Schäden.
Zuständig für die Meldung ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Die Meldung muss unverzüglich und möglichst innerhalb von 72 Stunden nach Kenntnis der Verletzung an die zuständige Aufsichtsbehörde erfolgen. In Deutschland ist dies regelmäßig die Aufsichtsbehörde des Bundeslandes, in dem das verantwortliche Unternehmen seinen Sitz hat. Eine Meldung ist nur dann nicht erforderlich, wenn nachgewiesen werden kann, dass die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Person zur Folge hat.
Die neue Vorlage im Überblick
Die Meldevorlage führt Unternehmen Schritt für Schritt durch die wichtigsten Angaben zu einer Datenschutzverletzung. Abgefragt werden zunächst Informationen zur Art der Meldung, zum Verantwortlichen, zur meldenden Person und zu zuständigen Kontaktstellen wie dem Datenschutzbeauftragten.
Im nächsten Schritt geht es um die eigentliche Datenschutzverletzung. Erfasst werden Angaben dazu, wann der Vorfall eingetreten ist, wann er festgestellt wurde und welche Art der Verletzung vorliegt. Außerdem sollen die betroffenen Personengruppen, die Zahl der betroffenen Personen sowie die betroffenen Datenkategorien und Datensätze beschrieben werden. Auch bereits bestehende Schutzmaßnahmen zum Zeitpunkt des Vorfalls werden berücksichtigt.
Ein Schwerpunkt liegt außerdem auf der Risikobewertung sowie auf den Maßnahmen, die zur Vermeidung künftiger Datenschutzverletzungen getroffen wurden. Abschließend berücksichtigt die Vorlage auch die Benachrichtigung betroffener Personen, mögliche grenzüberschreitende Bezüge und ergänzende Anlagen.
Die Meldevorlage soll nun noch ein Umsetzungsverfahren durchlaufen. Währenddessen läuft außerdem bis zum 5. August 2026 eine öffentliche Konsultation, die die Möglichkeit bieten soll, inhaltliche Kritik und Rückmeldungen an die EDSA weiterzuleiten.
Ist die Meldevorlage verpflichtend?
Die neue EDSA-Meldevorlage ist nicht verpflichtend. Entscheidend ist, dass eine Meldung nach Art. 33 DSGVO alle relevanten Eckdaten enthält, den Vorfall ausreichend dokumentiert und die bereits ergriffenen oder geplanten Maßnahmen nachvollziehbar beschreibt. Dazu gehört auch die Prüfung, ob betroffene Personen bei einem hohen Risiko nach Art. 34 DSGVO zusätzlich benachrichtigt werden müssen.
Unabhängig von der konkreten Vorlage sollten Unternehmen einen klaren internen Prozess für Datenschutzverletzungen haben. Mitarbeitende müssen Datenschutzvorfälle erkennen und schnell an die zuständige Stelle weiterleiten können. In der Praxis kann es etwa um fehlversendete E-Mails mit personenbezogenen Daten, verlorene Dienstgeräte, unberechtigte Zugriffe auf Kundendaten oder Sicherheitslücken in IT-Systemen gehen.
Solche Vorfälle sind typischer Gegenstand in der Beratungspraxis und können für Unternehmen bei einem falschen Umgang mit ihnen erhebliche Folgen haben. Neben möglichen Bußgeldern drohen Reputationsschäden, zusätzliche Auskunftspflichten, Beschwerden betroffener Personen und ein erhöhter Prüfungsdruck durch Aufsichtsbehörden. Ein etablierter interner Meldeprozess hilft daher nicht nur bei der Einhaltung der DSGVO, sondern auch dabei, Risiken frühzeitig zu begrenzen.
Unsere externen Datenschutzberater unterstützen Sie gerne bei der Risikobewertung und übernehmen bei Bedarf auch die Meldung der Datenschutzverletzung im Namen Ihres Unternehmens.
Fazit
Die neue EDSA-Meldevorlage soll zur Erleichterung bei der Meldung von Datenschutzverletzungen nach Art. 33 DSGVO dienen. Sie gibt Organisationen eine klare Struktur an die Hand und unterstützt dabei, die erforderlichen Informationen vollständig, rechtzeitig und nachvollziehbar an die zuständige Aufsichtsbehörde zu übermitteln. Besonders für kleinere Organisationen kann die Vorlage Zeit und Kosten sparen, weil vordefinierte Auswahlmöglichkeiten und Hinweise die praktische Umsetzung erleichtern.
Im Rahmen der Helsinki-Erklärung hat die EDSA auch eine weitere Vorlage zu Datenschutzfolgeabschätzungen veröffentlicht. Mehr dazu können Sie in unserem Beitrag vom 01. Mai 2026 lesen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
