Fristen für die Meldung von Datenschutzverletzungen nach Land (Vergleich 2026)

Kurzantwort

Es gibt keine weltweit einheitliche Meldefrist für Datenschutzverletzungen. Die DSGVO der Europäischen Union setzte den Maßstab, an dem sich die meisten anderen Gesetze messen lassen müssen: Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntniserlangung einer Verletzung, und Benachrichtigung der betroffenen Personen „unverzüglich", jedoch nur, wenn die Verletzung ein hohes Risiko für ihre Rechte darstellt.

Viele Länder übernehmen die 72-Stunden-Zahl für die Meldung an die Aufsichtsbehörde (Südkorea, die Philippinen, Indonesien, Saudi-Arabiens Ausführungsverordnung, die Türkei, Kenia, Nigeria, Uruguay und mehrere VAE-Freizonen). Ebenso viele tun es nicht: Die Schweiz, Südafrika, Kanada, Neuseelands Gesetz, Chile, Deutschlands Telekommunikationssektor-Regel und die meisten lateinamerikanischen Länder des kontinentaleuropäischen Rechtskreises verwenden offene Formulierungen wie „unverzüglich", „so bald wie zumutbar" oder „so bald wie praktikabel" anstelle einer festen Stundenzahl.

Eine Handvoll Rechtsordnungen hat derzeit praktisch überhaupt kein Gesetz zur Meldung von Datenschutzverletzungen: Hongkong (freiwillig), Argentinien (keine gesetzliche Pflicht) und Indiens datenschutzspezifische Pflicht (verabschiedet, aber noch nicht in Kraft). Die folgenden Tabellen geben für jede Rechtsordnung, die wir verifizieren konnten, die beiden Fristen getrennt an und benennen es klar, wo keine feste Zahl existiert.

So lesen Sie diese Tabelle

Jede Zeile unten ist bewusst in zwei Spalten aufgeteilt: die Frist zur Meldung an die Aufsichtsbehörde und die Frist zur Benachrichtigung der betroffenen Personen. Dies sind häufig unterschiedliche Uhren mit unterschiedlichen Auslösern, und sie zu vermischen ist der häufigste Fehler in der Berichterstattung über Meldepflichten. Die DSGVO ist das klarste Beispiel: Der Auslöser für die Meldung an die Aufsichtsbehörde ist jede Verletzung mit irgendeinem Risiko, während die Benachrichtigung betroffener Personen ein hohes Risiko voraussetzt, eine deutlich höhere Schwelle, und für diesen Teil gibt es überhaupt keine feste Stundenangabe.

„Keine feste Frist" ist eine echte, korrekt recherchierte Antwort, keine Lücke in dieser Tabelle. Wo das Gesetz einer Rechtsordnung „so schnell wie möglich" oder „unverzüglich" ohne begleitende Zahl vorsieht, sagen wir das so, anstatt eine Zahl aus dem Gesetz eines anderen Landes oder aus aufsichtsbehördlichen Leitlinien zu übernehmen, die nie ins Gesetz aufgenommen wurden.

Wir kennzeichnen außerdem, wo es relevant ist, ob eine Frist im Gesetzestext selbst, in einer untergeordneten Verordnung oder nur in einer unverbindlichen Leitlinie steht, und ob eine bereits verabschiedete Frist tatsächlich schon in Kraft ist. Diese drei Unterscheidungen bestimmen, wie viel Gewicht ein Compliance-Team einer Zahl beimessen sollte, und die meisten Sekundärquellen verschmelzen sie zu einer einzigen „X Stunden"-Schlagzeile, die die Unterscheidung vollständig verwischt.

Der DSGVO-72-Stunden-Ankerpunkt, kurz erklärt

Der EU-/EWR-Basisstandard stammt aus der Datenschutz-Grundverordnung, Artikel 33 und 34 (DSGVO). Ein Verantwortlicher muss seine zuständige Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde" benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Eine Benachrichtigung der betroffenen Personen selbst ist nur erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat, und für diesen Teil gibt es keine feste Stundenangabe, nur „unverzüglich".

Diese zweistufige Struktur, niedrigere Schwelle und feste Frist für die Aufsichtsbehörde, höhere Schwelle und keine feste Frist für betroffene Personen, ist das Grundmuster, das der Rest der Welt entweder kopiert oder bewusst davon abweicht. Die vollständige Analyse des DSGVO-Textes, seiner Ausnahmen und der Durchsetzungsgeschichte finden Sie in unserem ausführlichen Beitrag zur 72-Stunden-Meldepflicht der DSGVO.

Europa

Die EU-/EWR-Staaten teilen sich einen einzigen Rechtstext (die DSGVO), sodass die eigentliche Vielfalt in Europa aus EWR-EFTA-Staaten entsteht, die die DSGVO über eine eigenständige nationale Umsetzung anwenden, aus Nicht-EU-Staaten wie der Schweiz und dem Vereinigten Königreich mit eigenen Post-DSGVO-Gesetzen, sowie aus sektorspezifischen Überlagerungen mit eigenen, kürzeren Fristen. EU-Angemessenheitsbeschlüsse bestimmen zudem, wie Daten über Verletzungen überhaupt über diese Grenzen hinweg übermittelt werden dürfen.

Asien-Pazifik

Der asiatisch-pazifische Raum lässt sich grob in drei Gruppen einteilen: Rechtsordnungen, die die DSGVO-artige 72-Stunden-Frist gegenüber der Aufsichtsbehörde übernehmen (Südkorea, die Philippinen, Indonesien, Malaysia), Rechtsordnungen mit tage- oder bewertungsbasierten Fristen (Japan, Singapur, Australien) und Rechtsordnungen ganz ohne feste Zahl (Neuseelands Gesetz, Hongkong, das geltende taiwanesische Recht).

Naher Osten und Afrika

In dieser Region klafft die größte Lücke zwischen dem, was Compliance-Blogs berichten, und dem, was das zugrunde liegende Rechtsinstrument tatsächlich vorsieht. Mehrere „72-Stunden"-Angaben stehen hier nur in Leitlinien oder einer untergesetzlichen Verordnung, nicht im eigentlichen Gesetz, und mindestens zwei Rechtsordnungen (Südafrika, Marokko) legen bewusst überhaupt keine numerische Frist fest.

Amerika

Die Datenschutzgesetze Lateinamerikas, geprägt vom kontinentaleuropäischen Rechtskreis, verwenden im eigentlichen Gesetz meist offene Formulierungen, während feste numerische Fristen in Ausführungsverordnungen, Dekreten oder Beschlüssen auftauchen, also eine Ebene unterhalb des Gesetzes selbst. Zwei strukturelle Ausreißer, Argentinien (keine gesetzliche Pflicht) und Chile (eine echte Verwechslung zweier Gesetze), sind die meistzitierten Fehler der Region.

Häufige Missverständnisse

„Chile hat 72 Stunden." Falsch. Chiles Datenschutzgesetz, 21.719, legt überhaupt keine feste Stundenzahl für die Meldung von Datenschutzverletzungen fest, nur „auf schnellstmögliche Weise, ohne unangemessene Verzögerung". Die 72-Stunden-Angabe, die überall mit Chile in Verbindung gebracht wird, gehört tatsächlich zu einem anderen Gesetz, dem Rahmengesetz für Cybersicherheit (21.663), das Cyberangriffe gegen wesentliche Dienste betrifft, gemeldet an eine andere Behörde, das CSIRT Nacional, nicht allgemeine Verletzungen personenbezogener Daten. Diese beiden Gesetze gleichzusetzen ist der am häufigsten wiederholte Fehler zu Chile.

„Deutschlands Telekommunikationsregel beträgt 24 Stunden." Halb richtig, und die falsche Hälfte betrifft die Quellenangabe, nicht die Zahl. § 169 des Telekommunikationsgesetzes (TKG) verwendet nur „unverzüglich", ohne jede numerische Angabe im Gesetzestext, sodass ein Anbieter, der nur das TKG liest, dort keine 24 Stunden finden wird. Doch die 24 Stunden sind real und verbindlich: Die Verordnung (EU) Nr. 611/2013, Art. 2 Abs. 2, gilt unmittelbar in jedem Mitgliedstaat, einschließlich Deutschland, für Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste und verlangt eine Meldung an die zuständige nationale Behörde „spätestens 24 Stunden nach Feststellung der Verletzung des Schutzes personenbezogener Daten, soweit möglich". Ein deutscher Telekommunikationsanbieter unterliegt tatsächlich einer verbindlichen 24-Stunden-Frist, sie steht nur nicht im TKG.

„Ecuador hat 72 Stunden gegenüber der Behörde, 3 Tage gegenüber betroffenen Personen" oder „3 Tage gegenüber der Behörde." Beide gängigen Formulierungen sind entweder falsch herum oder vermischen die beiden Fristen. Ecuadors LOPDP legt 5 Werktage gegenüber der Superintendencia und ARCOTEL fest (Art. 43) sowie eine kürzere 3-Werktage-Frist gegenüber der betroffenen Person (Art. 46), also genau die umgekehrte Reihenfolge Behörde-dann-Person, die die meisten Meldepflicht-Gesetze verwenden.

„Alle verwenden 72 Stunden." Falsch. Ein erheblicher Teil der Rechtsordnungen in dieser Übersicht legt für mindestens eine der beiden Fristen überhaupt keine feste Stundenzahl fest: Südafrika, die Schweiz, Kanada, Neuseelands eigenes Gesetz (die dort zitierten 72 Stunden stammen aus einer Leitlinie des Privacy Commissioner, nicht aus dem Gesetz), Marokko, Ghana, das DIFC, Israel und Chiles Datenschutzgesetz verwenden alle offene Standards wie „so schnell wie vernünftigerweise möglich" oder „unverzüglich" anstelle einer festen Zahl.

„Leitlinie ist kein Gesetz." Die föderale 72-Stunden-Angabe der VAE ist eine operative Leitlinie des Data Office; die Ausführungsverordnungen, die eine Zahl kodifizieren würden, wurden nie förmlich erlassen. Neuseelands 72 Stunden stammen aus dem eigenen Leitfaden des Privacy Commissioner, der ausdrücklich als „nur eine Orientierungshilfe" bezeichnet wird. Québecs 72 Stunden sind eine Abkürzung von CAI/Branchenpraxis für ein Gesetz, das eigentlich nur „umgehend" vorschreibt.

„Verabschiedet ist nicht dasselbe wie in Kraft." Taiwans 72-Stunden-Meldepflicht gegenüber der Behörde existiert nur in einer Novelle vom Dezember 2025, die auf Ausführungsvorschriften und einen Inkrafttretenserlass wartet; das derzeit geltende taiwanesische Recht kennt überhaupt keine Frist zur Meldung an eine Behörde. Indiens DPDP-Meldepflicht ist verabschiedet, tritt aber voraussichtlich erst um den 13. Mai 2027 in Kraft. Ägyptens Ausführungsverordnungen traten am 1. November 2025 in Kraft, sehen jedoch eine einjährige Übergangsfrist bis zum 31. Oktober 2026 vor.

„Hongkong hat keine gesetzliche Frist, weil es keine gesetzliche Pflicht gibt." Die Meldung von Datenschutzverletzungen ist in Hongkong nach der PDPO vollständig freiwillig; die Leitlinie des Privacy Commissioner, die eine umgehende Meldung empfiehlt, ist unverbindlich.

„Argentinien kennt überhaupt keine Meldepflicht bei Datenschutzverletzungen." Gesetz 25.326 enthält eine allgemeine Sicherheitspflicht, aber keine Vorschrift zur Meldung von Verletzungen. Die 72-Stunden-Empfehlung der AAIP ist genau das, eine Empfehlung, keine gesetzliche Pflicht.

„Kuwait: Es sollte keine Zahl veröffentlicht werden." Seriöse Sekundärquellen widersprechen sich direkt zwischen 24 und 72 Stunden für dieselbe Vorschrift (Regulation Nr. 26 von 2024, Art. 4(15)), und die Vorschrift gilt nur beschränkt für CITRA-lizenzierte Telekommunikations- und IT-Anbieter, nicht als wirtschaftsweites Gesetz.

Sektorspezifische Überlagerungen: Regeln, die zusätzlich zum allgemeinen Recht gelten

Mehrere Regelungen legen eigene, oft kürzere Fristen für die Meldung von Verletzungen oder Vorfällen für bestimmte Sektoren fest, zusätzlich zu (nicht anstelle von) der bereits geltenden allgemeinen Datenschutzfrist.

• NIS2-Richtlinie (EU 2022/2555), Art. 23. gilt für „wesentliche" und „wichtige" Einrichtungen: kritische Infrastruktur, digitale Infrastruktur, Gesundheitswesen, Energie und ähnliche Sektoren, nicht für Verantwortliche im Allgemeinen. Eine dreistufige Kaskade: eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von einem Monat.
• DORA (EU 2022/2554), Art. 20 und die zugehörigen technischen Durchführungsstandards. gilt für den Finanzsektor: Banken, Versicherer, Wertpapierfirmen und kritische IKT-Drittdienstleister. Direkt aus den technischen Regulierungsstandards bestätigt: ein Erstbericht innerhalb von 4 Stunden nach Einstufung eines Vorfalls als schwerwiegend (in jedem Fall binnen 24 Stunden nach Kenntniserlangung), ein Zwischenbericht innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von einem Monat.
• eIDAS-Verordnung (EU 910/2014), Art. 19 Abs. 2. Vertrauensdiensteanbieter (E-Signatur, E-Siegel, Website-Authentifizierungsanbieter) müssen ihre nationale Aufsichtsstelle innerhalb von 24 Stunden benachrichtigen, getrennt vom 72-Stunden-DSGVO-Weg, diese Pflicht gilt über das beibehaltene eIDAS-Regime auch im Vereinigten Königreich.
• EU-ePrivacy-Sektorverordnung (611/2013). Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste EU-weit benachrichtigen ihre nationale Telekommunikationsaufsicht innerhalb von 24 Stunden, soweit möglich, die EU-weite Regel, die dem oben beschriebenen deutschen TKG-Beispiel zugrunde liegt.
• HIPAA (US-Gesundheitsdaten), 45 CFR § 164.404. betroffene Einrichtungen müssen betroffene Personen ohne unangemessene Verzögerung und spätestens 60 Kalendertage nach Entdeckung benachrichtigen. Verletzungen mit 500 oder mehr betroffenen Personen erfordern zudem eine Meldung an das HHS und in vielen Fällen an prominente lokale Medien, ebenfalls binnen 60 Tagen; kleinere Verletzungen werden protokolliert und dem HHS jährlich gemeldet.
• SEC, Item 1.05 des Form 8-K (US-Börsenunternehmen). offengelegt wird ein wesentlicher Cybersicherheitsvorfall innerhalb von 4 Werktagen nach Feststellung der Wesentlichkeit, nicht ab Entdeckung des Vorfalls selbst. Die Frist beginnt mit der Wesentlichkeitsfeststellung, die ihrerseits „ohne unangemessene Verzögerung" zu treffen ist.
• CERT-In vs. DPA, das schärfste Beispiel dieser gesamten Übersicht: Indien. Die 6-Stunden-Regel von CERT-In für Cybersicherheitsvorfälle ist heute geltend und verbindlich. Die datenschutzspezifische Meldepflicht des DPDP Act mit ihrer eigenen „ohne Verzögerung"-Klausel plus 72-Stunden-Bericht an das Board ist verabschiedet, tritt aber erst um den 13. Mai 2027 in Kraft. Ein indisches Unternehmen, das aktuell mit einer Verletzung konfrontiert ist, unterliegt der 6-Stunden-Frist von CERT-In, nicht irgendeiner DPDP-Zahl, egal wie oft „Indiens Meldefrist" fälschlich mit 72 Stunden angegeben wird.

USA: Zusammenfassung nach Bundesstaat

In den USA gibt es kein einheitliches bundesweites Gesetz zur Meldung von Datenschutzverletzungen. Alle 50 Bundesstaaten, der District of Columbia und die US-Territorien haben eigene Gesetze, und die Website führt für jeden eine vollständige Seite unter /us-laws/data-privacy-laws/{state}-data-privacy-laws/data-breach-notification/. Dieser Abschnitt fasst das Muster zusammen, anstatt 51 Zeilen zu wiederholen.

Der häufigste Standard ist keine feste Zahl. Die meisten Bundesstaaten verwenden einen Maßstab wie „ohne unangemessene Verzögerung" oder „so schnell wie praktisch möglich", teils kombiniert mit einer äußeren Rückfallgrenze.

Wo Bundesstaaten eine numerische Obergrenze festlegen, liegt sie meist im Bereich von 30 bis 45 bis 60 Tagen. Washington verlangt eine Meldung innerhalb von 30 Kalendertagen (RCW 19.255.010), und Florida legt dieselben 30 Tage fest, mit einer bei triftigem Grund möglichen Verlängerung um 15 Tage, was die praktische Obergrenze auf 45 Tage anhebt. Colorado verwendet ebenfalls 30 Tage, mit einer niedrigeren Schwelle von 500 betroffenen Einwohnern für die Meldung an den Attorney General und einer separaten Schwelle von 1.000 Einwohnern für die Benachrichtigung landesweiter Auskunfteien.

Texas ist der Ausreißer, der besonders erwähnenswert ist, weil er nicht dem Muster entspricht, das die meisten Aggregatoren annehmen. Texas gewährt betroffenen Personen 60 Tage bis zur Benachrichtigung, verlangt aber eine Meldung an den Attorney General von Texas innerhalb der deutlich kürzeren Frist von 30 Tagen, wenn 250 oder mehr Einwohner von Texas betroffen sind, die Behördenfrist, nicht die Verbraucherfrist, ist hier die kürzere.

Die Schwellen für die Meldung an den Attorney General oder die Aufsichtsbehörde liegen am häufigsten bei 500 betroffenen Einwohnern (Florida, Washington und viele weitere) oder bei 1.000 Einwohnern (in manchen Bundesstaaten als eigenständiger Auslöser für die AG-Meldung, in Colorado als separater Auslöser für die Meldung an Auskunfteien).

Bundesweite sektorspezifische Regeln füllen einen Teil der Lücke, wo kein allgemeines Bundesgesetz existiert: die 60-Tage-Regel von HIPAA für Gesundheitsdaten und die 4-Werktage-Regel der SEC für börsennotierte Unternehmen (beide oben ausführlich beschrieben), sowie die FTC Safeguards Rule, die Nichtbanken-Finanzinstitute verpflichtet, die FTC, nicht die Verbraucher, innerhalb von 30 Tagen nach Entdeckung einer Verletzung zu benachrichtigen, die 500 oder mehr unverschlüsselte Verbraucherdatensätze betrifft. Diese FTC-Regel richtet sich nur an die Behörde; die Verbraucherbenachrichtigung richtet sich weiterhin nach dem jeweils anwendbaren einzelstaatlichen Recht.

Praktische Compliance-Hinweise

Identifizieren Sie beide Fristen getrennt, für jede Rechtsordnung, in der Sie tätig sind. Ein Notfallplan für Datenschutzverletzungen, der nur „die Frist" für ein Land verfolgt, statt die Frist gegenüber der Aufsichtsbehörde und die Frist gegenüber betroffenen Personen als zwei getrennte Uhren mit zwei getrennten Auslösern zu behandeln, wird genau in dem Moment versagen, in dem diese beiden Fristen auseinanderlaufen, was in dieser Übersicht die Norm ist, nicht die Ausnahme.

Lassen Sie die Frist jeder Rechtsordnung ab „Kenntniserlangung" laufen, nicht ab „Bestätigung". Die meisten der oben genannten Gesetze messen ab dem Zeitpunkt, an dem der Verantwortliche von einer Verletzung Kenntnis erlangte oder begründeten Anlass zur Annahme hatte, dass eine solche eingetreten ist, nicht ab dem Abschluss der Untersuchung. Auf vollständige Gewissheit zu warten, bevor die Frist zu laufen beginnt, ist einer der häufigsten Wege, wie Organisationen eine 72-Stunden-Frist versäumen.

Prüfen Sie, ob die Zahl, auf die Sie sich verlassen, im Gesetzestext, in einer untergeordneten Verordnung oder nur in einer Leitlinie steht, und ob sie tatsächlich schon in Kraft ist. Diese Übersicht kennzeichnet jeden Fall, in dem diese drei Dinge auseinanderfallen: Chile, Deutschland, die VAE, Neuseeland, Québec, Taiwan, Indien und Ägypten haben alle mindestens eine häufig zitierte Zahl, die sich als Leitlinie, als einem anderen Gesetz zugehörig oder als noch nicht in Kraft herausstellt.

Wo eine Rechtsordnung keine feste Zahl vorgibt, bleibt „so schnell wie möglich" ein durchsetzbarer Standard, keine Einladung zum Zögern. Aufsichtsbehörden in Rechtsordnungen ohne feste Frist, darunter die Schweizer FDPIC und Südafrikas Information Regulator, prüfen aktiv, ob die Verzögerung selbst angesichts der Umstände angemessen war, auch ohne eine klare Stundengrenze als Maßstab.

Multinationale Verletzungen lösen gleichzeitig die kürzeste anwendbare Frist in jeder betroffenen Rechtsordnung aus. Eine Verletzung, die EU-, indische und US-amerikanische betroffene Personen gleichzeitig betrifft, unterliegt gleichzeitig, nicht nacheinander, den 72 Stunden der DSGVO, den 6 Stunden von CERT-In und den jeweils anwendbaren US-Bundesstaats- und Sektorregeln. Bauen Sie den Reaktionsplan um die kürzeste Frist im Mix herum, nicht um den Durchschnitt.