Akten im Altpapier: Meldepflicht in 72 Stunden prüfen

Liegen Altakten ungeschreddert im Container, in einem offenen Keller oder bei einem Finder, ist das eine Datenpanne. Sie müssen sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden melden, es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Bei hohem Risiko informieren Sie zusätzlich die Betroffenen (Art. 34 DSGVO). Dokumentieren müssen Sie jeden Fall, auch wenn Sie nicht melden (Art. 33 Abs. 5).

Das Schema unten führt Sie in fünf Fragen zur Entscheidung. Es ersetzt nicht die Einschätzung Ihres Datenschutzbeauftragten, zeigt aber, welche Fakten Sie für sie brauchen.

Ist falsch entsorgtes Papier überhaupt eine Datenpanne?

Verantwortung bei der Entsorgung: Unternehmen, AV-Vertrag, Fachbetrieb, Nachweis — Auch bei einer Panne im Auftrag bleibt das Unternehmen meldepflichtig.

Ja, wenn personenbezogene Daten betroffen sind und Unbefugte darauf zugreifen konnten. Die DSGVO definiert die Verletzung des Schutzes personenbezogener Daten als Sicherheitsverletzung, die zu Verlust, unbefugter Offenlegung oder unbefugtem Zugang führt (Art. 4 Nr. 12 DSGVO). Ob jemand tatsächlich gelesen hat, ist für den Begriff unerheblich; es genügt, dass Unbefugte Zugang hatten. Das gilt für Papier genauso wie für Festplatten.

Ab wann laufen die 72 Stunden?

Ab dem Zeitpunkt, zu dem Ihnen die Verletzung „bekannt“ wurde. Der Europäische Datenschutzausschuss versteht darunter den Moment, in dem Sie mit hinreichender Gewissheit wissen, dass ein Sicherheitsvorfall personenbezogene Daten betroffen hat (EDSA-Leitlinien 9/2022, Version 2.0, Rn. 31). Ein Anruf „Ihre Ordner liegen im Altpapier“ löst eine kurze Prüfung aus; sobald Sie die Ordner gesehen haben, läuft die Frist.

Wochenenden verlängern die Frist nicht. Wer später meldet, muss die Verzögerung begründen (Art. 33 Abs. 1 Satz 2). Fehlen Informationen, dürfen Sie schrittweise nachliefern (Art. 33 Abs. 4).

Wie entscheiden Sie, ob Sie melden müssen?

Sind personenbezogene Daten betroffen? Namen, Adressen, Kontonummern, Diagnosen, Personalnummern. Nein: keine Datenpanne im Sinne der DSGVO; Geschäftsgeheimnisse können trotzdem Folgen haben.
Hatten Unbefugte Zugang oder sind Unterlagen verloren? Nein, etwa weil eine Tonne nur kurz offen in einem abgeschlossenen Raum stand: Vorfall dokumentieren, Ursache abstellen.
Besteht voraussichtlich ein Risiko für die Betroffenen? Nein: nur dokumentieren, mit Begründung. Ja oder unklar: melden. Der EDSA rät, im Zweifelsfall zu melden (Rn. 119).
Besteht voraussichtlich ein hohes Risiko? Ja: zusätzlich die Betroffenen unverzüglich in klarer, einfacher Sprache benachrichtigen, außer eine Ausnahme nach Art. 34 Abs. 3 greift.
Immer: Sachverhalt, Auswirkungen und Abhilfe dokumentieren (Art. 33 Abs. 5).

Wie bewerten Sie das Risiko bei Papier?

Der EDSA nennt die Faktoren, auf die es ankommt (EDSA-Leitlinien 9/2022, Rn. 105–119). Übertragen auf Altakten:

Faktor	Frage bei Altakten	erhöht das Risiko
Art der Verletzung	Lagen die Unterlagen offen zugänglich, oder sind sie verschwunden?	öffentlicher Container, Straße, Finder unbekannt
Art und Sensibilität der Daten	Was steht darin?	Gesundheitsdaten, Ausweiskopien, Kontodaten, Personalakten
Identifizierbarkeit	Stehen Namen direkt auf dem Blatt?	Klarnamen mit Adresse oder Geburtsdatum
Schwere der Folgen	Was könnte ein Finder damit anfangen?	Identitätsbetrug, Bloßstellung, Erpressung
Empfänger	Wer hatte die Unterlagen?	unbekannte Dritte; ein bekannter, vertrauenswürdiger Empfänger kann das Risiko senken (Rn. 114)
Betroffene	Um wen geht es?	Kinder, Patienten, andere schutzbedürftige Menschen
Verantwortlicher	Wer hat die Akten geführt?	Arztpraxis, Kanzlei, Steuerberatung
Zahl der Betroffenen	Wie viele Personen stehen in den Unterlagen?	ganze Ordner statt Einzelblätter; aber auch eine einzelne Person kann schwer betroffen sein

Beispiel aus einem Tätigkeitsbericht: Eine Hamburger Kita entsorgte Ordner mit Kontodaten, Impfausweisen, Ausweiskopien und Entwicklungsberichten in einem öffentlichen Altpapiercontainer. Hier treffen fast alle Faktoren zusammen. Weitere Fälle finden Sie in unserer Übersicht Bußgelder bei unsachgemäßer Entsorgung.

Was muss in der Meldung stehen?

Mindestens vier Angaben (Art. 33 Abs. 3):

Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der Betroffenen und der Datensätze
Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle
wahrscheinliche Folgen
ergriffene oder vorgeschlagene Maßnahmen, etwa Rückholung der Ordner und Beauftragung eines Vernichtungsdienstes

Zuständig ist die Datenschutzaufsicht des Landes, in dem Ihr Unternehmen sitzt. Die meisten Behörden bieten ein Online-Formular an.

Kann eine Meldung gegen Sie verwendet werden?

Nur eingeschränkt. Eine Meldung nach Art. 33 oder eine Benachrichtigung nach Art. 34 darf in einem Bußgeldverfahren gegen den Meldenden nur mit dessen Zustimmung verwendet werden (§ 43 Abs. 4 BDSG); für Strafverfahren gilt dasselbe (§ 42 Abs. 4 BDSG). Die Behörde kann denselben Sachverhalt aber auf anderem Weg ermitteln, etwa über eine Beschwerde.

Nicht zu melden ist dagegen selbst ein Verstoß. Die hessische Aufsicht hat einer Arztpraxis ausdrücklich einen Verstoß gegen Art. 33 Abs. 1 DSGVO vorgehalten, weil sie fehlgeleitete Arztbriefe nicht gemeldet hatte, und ein Bußgeldverfahren eingeleitet (HBDI, 52. Tätigkeitsbericht, Kap. 12.4, S. 192 f.). Verstöße gegen Art. 33 und 34 fallen unter den Bußgeldrahmen von Art. 83 Abs. 4 DSGVO.

Was gilt, wenn die Panne beim Dienstleister passiert?

Verliert Ihr Vernichtungsdienstleister einen Behälter oder steht die Ladefläche offen, muss er Sie unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Die Meldung an die Behörde bleibt Ihre Pflicht; die 72 Stunden laufen ab dem Zeitpunkt, zu dem Sie davon erfahren. Regeln Sie im Vertrag deshalb eine Meldefrist in Stunden und einen festen Ansprechpartner. Welche weiteren Pflichten Sie bei der Vernichtung tragen, fasst die Seite DSGVO und Aktenvernichtung zusammen.

Ändert sich die Meldepflicht bald?

Möglicherweise. Die EU-Kommission hat am 19.11.2025 mit dem sogenannten Digital Omnibus (Verfahren 2025/0360(COD)) auch Änderungen an der Meldepflicht vorgeschlagen. Verabschiedet ist nichts; bis dahin gelten Art. 33 und 34 in der heutigen Fassung (Europäisches Parlament, Legislative Train, abgerufen am 18.09.2026).

Die sicherste Vorsorge bleibt, Altakten gar nicht erst in Umlauf zu bringen: gesammelt, verschlossen und mit Nachweis vernichtet. Angebote für die Aktenvernichtung können Sie bei mehreren Anbietern gleichzeitig anfragen.

Häufige Fragen

Muss ich es melden, wenn Akten im Altpapier gelandet sind?

In der Regel ja, binnen 72 Stunden an die Aufsichtsbehörde, außer die Panne führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Im Zweifel rät der Europäische Datenschutzausschuss zur Meldung.

Wann muss ich die Betroffenen informieren?

Wenn die Panne voraussichtlich ein hohes Risiko für sie hat, etwa bei Gesundheitsdaten, Ausweiskopien oder Kontodaten in einem öffentlichen Container (Art. 34 DSGVO).

Muss ich auch dokumentieren, wenn ich nicht melde?

Ja. Art. 33 Abs. 5 DSGVO verlangt, jede Verletzung mit Sachverhalt, Auswirkungen und Abhilfemaßnahmen zu dokumentieren, unabhängig von der Meldung.

Zählen die 72 Stunden auch am Wochenende?

Ja. Die Frist läuft ab Kenntnis in Stunden, nicht in Werktagen. Eine verspätete Meldung muss begründet werden.

Kann die Behörde meine Meldung für ein Bußgeld nutzen?

Nur mit Ihrer Zustimmung (§ 43 Abs. 4 BDSG). Den Sachverhalt kann sie aber auf anderem Weg ermitteln, und eine unterlassene Meldung ist selbst bußgeldbewehrt.

Quellen

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.