Databehandleren skal uden unødig forsinkelse underrette den dataansvarlige efter at være blevet opmærksom på et brud. Databehandleren anmelder ikke selv til tilsynsmyndigheden.
At leverandøren klarer anmeldelsen. Kæden går gennem den dataansvarlige — og 72-timersfristen løber fra det tidspunkt, hvor den dataansvarlige er blevet bekendt med bruddet.