Datenleck-Meldung an die DSB: 72 Stunden, drei Pflichtfelder – und ein häufig vergessener Schritt

Die österreichische Datenschutzbehörde (DSB) hat ihre Aufsichtspraxis 2026 deutlich verschärft. Wer ein Datenleck später als 72 Stunden meldet, muss belegen, warum die Verzögerung gerechtfertigt war – Faustregel "wir haben noch geprüft" funktioniert nicht mehr.

Die drei Pflichtfelder

1. Art des Vorfalls und betroffene Datenkategorien (mind. Schätzwerte). 2. Mögliche Konsequenzen für Betroffene. 3. Ergriffene und geplante Maßnahmen zur Eindämmung.

Der häufig vergessene Schritt

Bei hohem Risiko für Betroffene gilt zusätzlich: direkte Information der Betroffenen (Art. 34 DSGVO). Viele Unternehmen melden korrekt an die DSB, vergessen aber die Direkt-Information – das ist der Punkt, an dem 2026 die meisten Verfahren eröffnet werden.

Drittland-Übertragungen

Bei Vorfällen mit Datenflüssen in die USA oder andere Drittländer prüfen Sie vorab, welche Dienste betroffen sind. Unser [DSGVO-Check](/tools/dsgvo-check) liefert in zwei Minuten eine Karte aller eingebundenen Drittland-Dienste.

Praxis-Tipps

• Halten Sie ein Meldungs-Template vor – inklusive Variablen für Vorfalls-ID, Zeitachse, Forensik-Ergebnis.
• Trennen Sie technische Forensik von der rechtlichen Bewertung – nur so kommen Sie auf 72 Stunden.
• Bei Ransomware mit Datenexfiltration ist die DSGVO-Meldung immer zu prüfen, auch wenn unklar ist, was abgeflossen ist.

Schnittstelle Ransomware

Wenn das Datenleck Teil eines Ransomware-Vorfalls ist, koordinieren wir Forensik, DSGVO-Meldung und NIS2-Meldung aus einer Hand: [Ransomware-Hilfe](/ransomware-hilfe). Ergänzend prüfen Sie täglich, ob gestohlene Daten im Darknet auftauchen – via [Darknet Monitoring](/darknet-monitoring).