Was verlangt Art. 32 DSGVO?

Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten – etwa Pseudonymisierung und Verschlüsselung, die Fähigkeit zur Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Wann muss eine Datenpanne gemeldet werden?

Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Datenschutzbehörde (Art. 33), es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei voraussichtlich hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34).

Wer ist in Österreich zuständig?

Die österreichische Datenschutzbehörde (DSB). Ergänzend zur DSGVO gilt das österreichische Datenschutzgesetz (DSG).

Leistet solbytech Rechtsberatung zur DSGVO?

Nein. solbytech unterstützt beim technischen und organisatorischen Datenschutz. Rechtliche Fragen klären Sie mit Ihrer Rechtsberatung bzw. Ihrem Datenschutzbeauftragten.

Ist eine Datenpanne auch ein NISG-2026-Vorfall?

Möglicherweise beides. Ein erheblicher Cybersicherheitsvorfall kann zugleich eine Verletzung des Schutzes personenbezogener Daten sein. Dann sind unterschiedliche Stellen mit unterschiedlichen Fristen zu informieren – ein gemeinsamer Meldeprozess verhindert, dass etwas übersehen wird.

DSGVO-Hub

DSGVO: Datensicherheit, die Prüfungen standhält

Die Datenschutz-Grundverordnung verlangt ein dem Risiko angemessenes Schutzniveau – und schnelle Meldungen, wenn etwas passiert. Hier finden Sie die sicherheitsrelevanten Pflichten im Überblick.

Zuletzt aktualisiert: 21.10.2026

Kostenfreien Ersttermin buchen Unsere Leistungen zur DSGVO

Kurz beantwortet

Welche Sicherheitspflichten enthält die DSGVO?

Die DSGVO (Verordnung (EU) 2016/679) verpflichtet Unternehmen, personenbezogene Daten durch technische und organisatorische Maßnahmen (TOMs, Art. 32) angemessen zu schützen, Verarbeitungen zu dokumentieren (Art. 30), bei hohem Risiko eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35) und Datenpannen möglichst binnen 72 Stunden der Datenschutzbehörde zu melden (Art. 33). Verstöße können mit Geldbußen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden (Art. 83).

Fristen und Grenzen

Datenpanne72 h
Meldung an die DSB
Möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33).
Betroffenenrechte1 Monat
Antwort auf Anfragen
Grundsätzlich innerhalb eines Monats, verlängerbar (Art. 12).
Sanktionen4 %
oder bis zu 20 Mio. €
Des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83).

Die sicherheitsrelevanten Pflichten

Art. 32

Sicherheit der Verarbeitung

TOMs nach Stand der Technik – Verschlüsselung, Zugriffskontrolle, Verfügbarkeit, Wiederherstellung, regelmäßige Prüfung.

Art. 33 und 34

Datenpannen

Dokumentieren, bewerten, binnen 72 Stunden melden, bei hohem Risiko Betroffene informieren.

Art. 35

Folgenabschätzung

Bei voraussichtlich hohem Risiko – etwa bei umfangreicher Verarbeitung sensibler Daten.

Art. 30

Verarbeitungsverzeichnis

Dokumentation der Verarbeitungen inklusive allgemeiner Beschreibung der TOMs.

Art. 28

Auftragsverarbeitung

Dienstleister vertraglich binden und deren Schutzmaßnahmen prüfen.

Art. 25

Datenschutz durch Technik

Datenschutzfreundliche Voreinstellungen und Datenminimierung von Beginn an.

DSGVO, NISG 2026 und ISO 27001 zusammen denken

Die DSGVO schützt personenbezogene Daten, das NISG 2026 die Netz- und Informationssysteme kritischer Einrichtungen, ISO 27001 die Informationssicherheit insgesamt. Die technischen Maßnahmen überschneiden sich stark – wer sie einmal sauber aufsetzt und dokumentiert, erfüllt mehrere Anforderungen zugleich.

Hinweis: solbytech unterstützt beim technischen und organisatorischen Datenschutz. Rechtsberatung leisten wir nicht.

Leistung

Datenschutz & DSGVO mit solbytech

TOMs, technische Zulieferung für Verzeichnis und DSFA, Datenpannen-Management.

Fachartikel

Datenpanne: Meldung binnen 72 Stunden

Was zu tun ist, wenn personenbezogene Daten betroffen sind.

Häufige Fragen zur DSGVO

Was verlangt Art. 32 DSGVO?: Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten – etwa Pseudonymisierung und Verschlüsselung, die Fähigkeit zur Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Wann muss eine Datenpanne gemeldet werden?: Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Datenschutzbehörde (Art. 33), es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei voraussichtlich hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34).
Wer ist in Österreich zuständig?: Die österreichische Datenschutzbehörde (DSB). Ergänzend zur DSGVO gilt das österreichische Datenschutzgesetz (DSG).
Leistet solbytech Rechtsberatung zur DSGVO?: Nein. solbytech unterstützt beim technischen und organisatorischen Datenschutz. Rechtliche Fragen klären Sie mit Ihrer Rechtsberatung bzw. Ihrem Datenschutzbeauftragten.
Ist eine Datenpanne auch ein NISG-2026-Vorfall?: Möglicherweise beides. Ein erheblicher Cybersicherheitsvorfall kann zugleich eine Verletzung des Schutzes personenbezogener Daten sein. Dann sind unterschiedliche Stellen mit unterschiedlichen Fristen zu informieren – ein gemeinsamer Meldeprozess verhindert, dass etwas übersehen wird.

Stand: 30.10.2026. Diese Seite ersetzt keine Rechtsberatung.

Datensicherheit nachweisbar machen

Im kostenfreien Ersttermin klären wir, wo Ihre TOMs stehen.

Ersttermin buchen Kontakt aufnehmen