Die Ständigen Vertreter der 27 EU-Staaten haben am 21. Oktober ihr Verhandlungsmandat zum Digital-Omnibus festgelegt, einem Sammelgesetz für die Digitalregeln der EU. Danach sollen Unternehmen eine Datenpanne der Aufsicht nur noch bei voraussichtlich hohem Risiko für die Betroffenen melden müssen und dafür 96 statt 72 Stunden Zeit bekommen. Gelten würde die neue Schwelle frühestens anderthalb Jahre nach Inkrafttreten.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenBeim Landesbeauftragten für den Datenschutz Niedersachsen gingen 2025 insgesamt 1.607 Meldungen über Datenpannen ein, nach 370 im Startjahr der DSGVO 2018.[2] Manche Aufsichtsbehörden in der EU erhalten Tausende Meldungen im Jahr, darunter viele Kleinigkeiten.[4]
Das Wichtigste in Kürze
- Melden sollen Unternehmen nur noch Pannen mit voraussichtlich hohem Risiko für die Betroffenen.
- Die Frist soll von 72 auf 96 Stunden steigen.
- Dokumentieren müssen Unternehmen weiterhin jede Panne.
- Das Europäische Parlament hat seine Position noch nicht beschlossen.
Was ändert der Ratstext an der Meldepflicht?
Heute verlangt Artikel 33 der DSGVO die Meldung jeder Panne, unverzüglich und möglichst binnen 72 Stunden. Ausgenommen sind nur Fälle, die voraussichtlich zu keinem Risiko für die Betroffenen führen.[3] Der Verantwortliche muss also belegen, warum eine Meldung unterbleibt. Im Zweifel geht deshalb auch die kleine Panne an die Aufsicht.
Der Ratstext übernimmt die Schwelle, die heute schon für die Benachrichtigung der Betroffenen nach Artikel 34 gilt: Gemeldet wird nur bei voraussichtlich hohem Risiko für deren Rechte und Freiheiten. Eine Meldung nach mehr als 96 Stunden braucht eine Begründung. Beides hatte die Kommission im November 2025 vorgeschlagen.[1]
Neu ist der Meldeweg: Statt einer zentralen EU-Meldestelle sollen die Mitgliedstaaten nationale Meldestellen aufbauen, über die auch Vorfälle nach der Cybersicherheitsrichtlinie NIS2 laufen. Bis dahin geht die Meldung direkt an die Aufsichtsbehörde. Die Cookie-Regeln aus demselben Paket hatte Dr. Web bereits vor der Abstimmung der Ständigen Vertreter ausgewertet.
Warum tragen die Datenschützer die Lockerung mit?
Der Landesbeauftragte in Niedersachsen begründet die Meldepflicht damit, „dass Datenpannen nicht im Stillen bleiben“, außerdem könne die Aufsicht Maßnahmen anordnen.[2] Trotzdem unterstützen der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte die höhere Schwelle. In ihrer Stellungnahme vom 10. Februar erwarten beide keine wesentliche Einbuße beim Schutz der Betroffenen, aber deutlich weniger Aufwand. Die 72 Stunden schließen laut Stellungnahme zudem Wochenenden und Feiertage ein, was vor allem kleinere Firmen trifft.[4]
Die Arbeit verschwindet dadurch nicht, sie wandert in die eigene Akte. Jede Panne muss der Verantwortliche nach Artikel 33 Absatz 5 weiter dokumentieren, damit die Aufsicht die Entscheidung gegen eine Meldung später prüfen kann.[3] Wann ein hohes Risiko vorliegt und wann nicht, soll der Datenschutzausschuss binnen neun Monaten nach Geltungsbeginn in zwei Listen festhalten, dazu kommt ein einheitliches Meldeformular.[1]
Was die höhere Schwelle spart, beziffern weder Rat noch Datenschützer. Für das ganze Paket schätzt die Kommission bis zu 5 Milliarden Euro weniger Verwaltungskosten bis 2029.[5] National plant der Bund zudem, die deutsche Sonderpflicht zum Datenschutzbeauftragten zu streichen.
Die Meldung fällt weg, die Risikoprüfung bleibt: Den Nachweis führt künftig die eigene Dokumentation, nicht das Formular an die Aufsicht.
Markus Seyfferth, Chefredakteur Dr. Web
Wo das Vorhaben steht
Was sollten Unternehmen jetzt tun?
Bis die Reform gilt, bleibt die alte Regel mit 72 Stunden und der niedrigen Schwelle.
- Melden Sie eine Panne lieber früh und unvollständig: Artikel 33 Absatz 4 erlaubt, fehlende Angaben schrittweise nachzureichen.[3]
- Führen Sie das interne Verzeichnis der Pannen so, dass jede Risikobewertung nachvollziehbar bleibt. Nach der Reform wäre dieses Verzeichnis der wichtigste Beleg.
- Prüfen Sie, ob NIS2 für Ihr Unternehmen gilt, auch nach den Erleichterungen für kleinere Mittelständler. Für Sicherheitsvorfälle gelten dort 24 Stunden für die Frühwarnung.[4]
- Verschlüsselte Datenträger senken das Risiko einer Panne und damit oft die Meldelast; Werkzeuge zeigt der Vergleich von Verschlüsselungssoftware.
Quellen
5 Quellen anzeigenQuellen ausblenden
- Rat der Europäischen UnionDokument 14756/26, Digital-Omnibus, Mandat für die Verhandlungen mit dem Europäischen Parlament, vom Ausschuss der Ständigen Vertreter am 21. Oktober 2026 festgelegt (22. Oktober 2026, englisch)
- Der Landesbeauftragte für den Datenschutz NiedersachsenAcht Jahre DSGVO in Niedersachsen: Datenschutz so gefragt wie nie, Beschwerden auf Rekordniveau, KI fordert Datenschutz heraus, Pressemitteilung Nr. 09/2026
- EUR-LexDatenschutz-Grundverordnung, Artikel 33 „Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“
- Europäischer Datenschutzausschuss und Europäischer DatenschutzbeauftragterGemeinsame Stellungnahme 2/2026 zum Digital-Omnibus, Abschnitt 8 „Data breaches“ (10. Februar 2026, englisch)
- Europäische KommissionSimpler EU digital rules and new digital wallets to save billions for businesses and boost innovation, Pressemitteilung IP/25/2718 (19. November 2025, englisch)
Mehr Newshunger?
- Gefahrstoff-Etiketten: EU-Parlament billigt Ende fester Schriftgrößen für Gewerbekunden
- Berufsanerkennung: EU will Zwei-Wochen-Frist und Entschädigung bei Verzug
- Entsendemeldung: EU-Parlament billigt ein Formular statt 27 Portalen
- Bevollmächtigten-Pflicht: EU-Parlament will Firmen mit weniger als 50 Beschäftigten befreien
- Bürokratiekosten: Vom 4,7-Milliarden-Ziel hat das Finanzministerium 24 Millionen geschafft
- A1-Bescheinigung: EU befreit Dienstreisen, am Bau bleibt die Pflicht ab dem ersten Tag
