Was ist in den ersten 72 Stunden nach einem Datenschutzvorfall zu tun?
Kurzantwort
Datenschutzverletzungen müssen in der Regel binnen 72 Stunden der Datenschutzbehörde gemeldet werden, außer es besteht voraussichtlich kein Risiko für die Betroffenen. Bei hohem Risiko müssen auch die Betroffenen informiert werden. Für viele Unternehmen gelten seit 1. Oktober 2026 zusätzlich die Meldepflichten nach dem NISG 2026, mit einer ersten Meldung schon binnen 24 Stunden.
Im Detail
Zuerst geht es darum, den Vorfall einzudämmen, Beweise zu sichern und alles zu dokumentieren: Was ist passiert, welche Daten sind betroffen, was wurde unternommen?
Die Frist beginnt, sobald das Unternehmen vom Vorfall weiß. Fehlende Informationen dürfen nachgereicht werden. Besser rechtzeitig unvollständig melden als zu spät.
Oft übersehen werden Pflichten gegenüber Vertragspartnern, die Meldung an die Cyber-Versicherung und eine abgestimmte Kommunikation nach außen.
Rechtsgrundlagen
- Art. 33, 34 DSGVO
- Datenschutzgesetz (DSG)
- NISG 2026
Was Sie jetzt tun sollten
- 1.Zeitpunkt der Kenntnis festhalten. Ab dann läuft die Frist.
- 2.Ein kleines Krisenteam bilden: IT, Geschäftsführung, Datenschutz, Recht.
- 3.Die Meldung vorbereiten und die Kommunikation abstimmen.
Verwandte Fragen
Diese Einordnung gibt einen allgemeinen Überblick zur österreichischen Rechtslage (Stand: Oktober 2026) und ersetzt keine Beratung im Einzelfall.