Ein Mitarbeiter öffnet einen Phishing-Link, Kundendaten werden versehentlich an den falschen Verteiler übermittelt, ein Laptop mit unverschlüsselten Personaldaten geht auf der Zugfahrt verloren – Datenpannen treffen mittelständische Unternehmen in der Praxis unvermutet und mit erheblichem Handlungsdruck. Die Uhr beginnt in diesem Moment zu laufen.
Sobald einem Verantwortlichen eine Verletzung der Sicherheit personenbezogener Daten bekannt wird, greift Art. 33 DSGVO: Die Meldung an die zuständige Datenschutzaufsichtsbehörde muss binnen 72 Stunden nach Bekanntwerden erfolgen. Unterbleibt die Meldung oder wird sie verspätet abgegeben, droht ein Bußgeld von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes – bei schwerwiegenden Verstößen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach Art. 83 DSGVO. Für Geschäftsführer im Mittelstand ist die Fähigkeit, innerhalb dieser engen Frist strukturiert und rechtssicher zu handeln, kein Luxus, sondern eine Compliance-Mindestanforderung.
Dieser Leitfaden führt Sie Schritt für Schritt durch den Meldeprozess: von der Erstbewertung des Vorfalls über die inhaltlichen Anforderungen an die Meldung bis zur Dokumentation und zur Folgepflicht gegenüber den betroffenen Personen.
Was gilt als meldepflichtige Datenpanne nach Art. 33 DSGVO?
Eine „Verletzung der Sicherheit personenbezogener Daten" im Sinne des Art. 33 DSGVO liegt vor, wenn es zu einem Sicherheitsvorfall kommt, der zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Diese Definition ist bewusst weit gefasst – sie erfasst nicht nur klassische Cyberangriffe, sondern auch interne Fehler, Fahrlässigkeit und physische Ereignisse.
In der Mandatspraxis sehen wir, dass Geschäftsführer die Meldepflicht häufig erst dann erwägen, wenn ein externer Angriff vorliegt. Tatsächlich sind es oft unscheinbarere Vorgänge, die den Tatbestand erfüllen: eine falsch adressierte E-Mail mit Kundendaten, die unbeabsichtigte Veröffentlichung einer Datei über einen öffentlich zugänglichen Cloud-Link oder der Diebstahl eines unverschlüsselten Mobiltelefons. Der Datenverlust muss nicht endgültig sein – auch eine temporäre Nichtverfügbarkeit kann meldepflichtig sein, wenn personenbezogene Daten betroffen sind.
Nicht jede Datenpanne ist jedoch automatisch meldepflichtig. Art. 33 Abs. 1 DSGVO formuliert eine Ausnahme: Sofern die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, entfällt die Meldepflicht. Diese Risikoprüfung ist kein Ermessensspielraum, sondern eine rechtlich strukturierte Bewertung, die dokumentiert werden muss. Der Verantwortliche trägt die Beweislast dafür, dass ein Risiko ausgeschlossen werden konnte.
Welche Faktoren bestimmen das Risikopotenzial? Entscheidend sind Kategorie und Sensitivität der betroffenen Daten, Umfang des Vorfalls, Identifizierbarkeit der Betroffenen sowie die Wahrscheinlichkeit des Missbrauchs. Gesundheitsdaten, Bankverbindungen oder politische Überzeugungen erhöhen das Risiko typischerweise erheblich; Namen ohne weiteren Kontext können – je nach Konstellation – anders zu beurteilen sein.
Schritt 1: Vorfall identifizieren und intern eskalieren
Die 72-Stunden-Frist beginnt nicht erst dann, wenn ein Unternehmen den Vorfall vollständig aufgeklärt hat – sie beginnt, sobald der Verantwortliche Kenntnis von einem Vorfall erlangt, der möglicherweise eine Datenpanne darstellt. Diese Formulierung der DSGVO hat unmittelbare praktische Konsequenzen für die interne Organisation.
Jedes Unternehmen, das personenbezogene Daten verarbeitet, sollte einen internen Meldekanal eingerichtet haben, über den Mitarbeiter Sicherheitsvorfälle unverzüglich an den Datenschutzbeauftragten (sofern vorhanden) oder an die Geschäftsleitung melden. Die Kenntnis des Mitarbeiters wird der Organisation nicht automatisch zugerechnet, solange keine interne Meldestelle existiert – in der Praxis können Aufsichtsbehörden jedoch anders urteilen, wenn klare organisatorische Defizite sichtbar werden.
Nach unserer Erfahrung verstreichen in mittelständischen Unternehmen ohne klare Eskalationsstruktur oft 24 bis 48 Stunden, bevor der Vorfall die Geschäftsführung erreicht. Die Frist ist dann bereits zur Hälfte oder mehr aufgebraucht. Die Einrichtung einer klaren internen Eskalationskette – mit definierten Ansprechpartnern, Rufbereitschaft und einem Incident-Response-Plan – ist daher keine technische Spielerei, sondern eine rechtliche Notwendigkeit.
Sobald die Information bei der verantwortlichen Stelle eingeht, sind erste Sofortmaßnahmen einzuleiten: Sicherung von Protokolldaten und Nachweisen, Unterbrechung eines laufenden Datenzugriffs, vorläufige Sperrung betroffener Systeme. Diese Schritte dienen nicht nur der Schadenbegrenzung, sondern erleichtern die spätere Meldung an die Aufsichtsbehörde erheblich.
Schritt 2: Risikobewertung – meldepflichtig oder nicht?
Ob ein Vorfall die Meldepflicht auslöst, hängt von einer strukturierten Risikoanalyse ab. Diese Analyse muss dokumentiert sein – unabhängig davon, ob sie zur Meldung oder zur Nicht-Meldung führt. Stellt sich ein ursprünglich als nicht meldepflichtig eingestufter Vorfall später als meldepflichtig heraus, kann eine nachgeholte Meldung noch zulässig sein; die verspätete Meldung muss dann begründet werden.
Zwei Schwellen unterscheidet die DSGVO: Das einfache Risiko für Rechte und Freiheiten löst die Meldepflicht gegenüber der Aufsichtsbehörde aus (Art. 33 DSGVO). Das hohe Risiko verpflichtet zusätzlich zur Benachrichtigung der betroffenen Personen selbst (Art. 34 DSGVO). Diese Unterscheidung ist für die interne Reaktion unmittelbar relevant, da beide Pflichten unterschiedliche Fristen und Inhalte kennen.
Praktisch empfiehlt es sich, die Risikobewertung entlang einer Checkliste vorzunehmen: Art der betroffenen Daten, Anzahl der betroffenen Personen, technische und organisatorische Sicherheitsmaßnahmen (Verschlüsselung, Zugriffsbeschränkungen), Identität der potenziell empfangenden Dritten sowie die Reversibilität des Vorfalls. Die Datenschutz-Aufsichtsbehörden der Länder stellen teilweise eigene Risikobewertungs-Orientierungshilfen zur Verfügung, die als Ausgangspunkt genutzt werden können – ersetzten jedoch keine Einzelfallprüfung.
Ergibt die Analyse, dass ein Risiko nicht ausgeschlossen werden kann, ist die Meldung zu erstatten. Im Zweifel empfehlen wir unseren Mandanten, zu melden. Eine unnötige Meldung hat praktisch keine negativen Folgen. Eine unterlassene Meldung hingegen kann Bußgelder in erheblicher Höhe nach sich ziehen.
Schritt 3: Die Meldung an die Aufsichtsbehörde – Inhalt und Form
Art. 33 Abs. 3 DSGVO legt den Mindestinhalt der Meldung fest. Fehlt eines dieser Elemente ohne nachvollziehbaren Grund, kann die Aufsichtsbehörde die Meldung als unvollständig zurückweisen oder ein Verfahren einleiten. Die Meldung muss enthalten:
- Eine Beschreibung der Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze;
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, bei der weitere Informationen eingeholt werden können;
- Eine Beschreibung der wahrscheinlichen Folgen der Datenpanne;
- Eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Datenpanne und zur Abmilderung ihrer Folgen.
In der Praxis ist es häufig der Fall, dass zum Zeitpunkt der Meldung nicht alle Informationen vollständig vorliegen. Art. 33 Abs. 4 DSGVO lässt ausdrücklich eine stufenweise Meldung zu: Die erste Meldung kann mit unvollständigen Informationen erstattet werden, sofern diese unverzüglich nachgereicht werden. Dies entbindet den Verantwortlichen aber nicht davon, zum Zeitpunkt der Erstmeldung zumindest die bekannten Fakten vollständig darzustellen.
Die Meldung erfolgt in Deutschland je nach Zuständigkeit bei der Landesdatenschutzbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Für Unternehmen mit grenzüberschreitender Verarbeitung kann die Zuständigkeit der federführenden Aufsichtsbehörde nach Art. 56 DSGVO relevant werden. Praktisch werden die Meldungen über Online-Portale der jeweiligen Behörden entgegengenommen; die technische Übermittlung sollte in der Incident-Response-Planung vorab festgelegt worden sein.
Was ist bei der Fristberechnung zu beachten? Die 72 Stunden beginnen mit dem Zeitpunkt der Kenntnisnahme durch den Verantwortlichen. Fällt das Ende der Frist auf ein Wochenende oder einen gesetzlichen Feiertag, schiebt sich die Frist nach ganz überwiegender Auffassung nicht automatisch heraus – im Gegenteil: Die Aufsichtsbehörden erhalten die Meldung unabhängig von Öffnungszeiten über die Online-Portale. Einige Behörden bieten zudem telefonische Notfallkontakte an.
Schritt 4: Betroffene Personen benachrichtigen – wann und wie?
Liegt ein voraussichtlich hohes Risiko für die Rechte und Freiheiten der betroffenen Personen vor, entsteht nach Art. 34 DSGVO eine eigenständige Benachrichtigungspflicht gegenüber diesen Personen selbst. Diese Pflicht besteht unabhängig von – und ergänzend zur – Meldung an die Aufsichtsbehörde.
Die Benachrichtigung der Betroffenen muss „unverzüglich" erfolgen. Eine konkrete Stundenfrist fehlt in Art. 34 DSGVO, die Orientierung an der 72-Stunden-Frist des Art. 33 DSGVO ist jedoch naheliegend. Inhaltlich muss die Benachrichtigung in klarer und einfacher Sprache formuliert sein und mindestens enthalten: Art des Vorfalls, Kontaktdaten des Datenschutzbeauftragten, wahrscheinliche Folgen sowie ergriffene Abhilfemaßnahmen.
Drei Ausnahmen schränken die Benachrichtigungspflicht ein. Erstens: Der Verantwortliche hat geeignete technische und organisatorische Schutzmaßnahmen getroffen, und diese Maßnahmen wurden auf die betroffenen Daten angewendet (insbesondere Verschlüsselung). Zweitens: Durch nachfolgende Maßnahmen wurde sichergestellt, dass das hohe Risiko voraussichtlich nicht mehr eintreten wird. Drittens: Die Benachrichtigung würde einen unverhältnismäßigen Aufwand erfordern; in diesem Fall ist eine öffentliche Bekanntmachung zulässig.
Nach unserer Erfahrung neigen Unternehmen dazu, die Ausnahmen zu weit auszulegen. Insbesondere wird die Verschlüsselungsausnahme mitunter geltend gemacht, ohne dass tatsächlich lückenlose Verschlüsselung der betroffenen Datensätze nachgewiesen werden kann. Im Zweifel gilt: Benachrichtigen ist die sichere Variante; die Entscheidung gegen eine Benachrichtigung sollte sorgfältig dokumentiert und rechtlich abgesichert sein.
Schritt 5: Dokumentation nach Art. 33 Abs. 5 DSGVO
Unabhängig davon, ob die Meldung an die Aufsichtsbehörde erfolgt oder nicht, schreibt Art. 33 Abs. 5 DSGVO eine vollständige interne Dokumentation aller Datenpannen vor. Diese Pflicht gilt ausnahmslos – auch für Vorfälle, die nach der Risikoanalyse als nicht meldepflichtig eingestuft wurden.
Das Datenschutzverletzungsregister – in der Praxis oft als „Incident-Log" geführt – muss alle Fakten zu dem Vorfall, seine Auswirkungen und die ergriffenen Abhilfemaßnahmen enthalten. Aufsichtsbehörden prüfen dieses Register im Rahmen von Kontrollen, und eine lückenhafte oder nicht vorhandene Dokumentation gilt als eigenständiger Verstoß gegen die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO.
In der Mandatspraxis beobachten wir, dass die Dokumentation häufig entweder gar nicht geführt wird oder nach dem ersten Schock des Vorfalls nicht mehr konsequent fortgeschrieben wird. Gerade die Nachsorge – also die Dokumentation der Maßnahmen, die nach der Meldung ergriffen wurden, sowie der Kommunikation mit der Aufsichtsbehörde – wird vernachlässigt. Dies kann bei späteren Kontrollen oder Bußgeldverfahren nachteilig sein.
Empfehlung: Führen Sie das Incident-Log in einem eigenen, zugriffsgeschützten Dokument, das für die Geschäftsleitung, den Datenschutzbeauftragten und im Bedarfsfall für Berater zugänglich ist. Jeder Eintrag sollte Datum und Uhrzeit der Kenntnisnahme, verantwortliche Person, durchgeführte Schritte und Zeitstempel sowie das Ergebnis der Risikoanalyse enthalten.
Mikro-Fall: Datenpanne nach Phishing-Angriff
Ausgangslage: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Logistikunternehmen mit rund 180 Mitarbeitern. Ein Mitarbeiter der Debitorenbuchhaltung hatte auf eine gefälschte E-Mail geklickt und damit Angreifern Zugang zu einem freigegebenen Netzwerklaufwerk ermöglicht, auf dem Rechnungsdaten von Geschäftskunden sowie Namen und Bankverbindungen von Lieferanten gespeichert waren. Der Angriff wurde durch die IT-Abteilung zwei Tage nach dem initialen Ereignis entdeckt.
Vorgehen: Die Kanzlei unterstützte das Unternehmen zunächst bei der Feststellung des genauen Zeitpunkts der Kenntnisnahme im Sinne des Art. 33 DSGVO, da zwischen dem Angriffszeitpunkt und der internen Entdeckung zu unterscheiden war. Parallel wurden die Protokolldaten gesichert und der Umfang der möglicherweise exfiltrierten Daten eingegrenzt. Aufgrund der enthaltenen Bankverbindungsdaten wurde die Meldepflicht bejaht; die erste Meldung an die zuständige Landesbehörde erfolgte innerhalb der 72-Stunden-Frist. Wegen des potenziell hohen Risikos für die betroffenen Lieferanten wurde zudem eine Benachrichtigungspflicht nach Art. 34 DSGVO geprüft und im Ergebnis bejaht.
Ergebnis: Durch die strukturierte Reaktion, die vollständige Meldung und die proaktive Kooperation mit der Aufsichtsbehörde konnte das Unternehmen seinen Rechenschaftspflichten nachkommen. Die Behörde bestätigte den Eingang der Meldung und forderte ergänzende Informationen zu den ergriffenen technischen Maßnahmen an, die fristgerecht eingereicht wurden. Das Verfahren wurde ohne Bußgeld abgeschlossen; als Auflagenmaßnahme wurde eine Schulung der Belegschaft vereinbart.
Welche Folgen drohen bei verspäteter oder unterlassener Meldung?
Die Sanktionsmöglichkeiten der Aufsichtsbehörden sind erheblich. Nach Art. 83 Abs. 4 DSGVO kann ein Verstoß gegen die Meldepflicht des Art. 33 DSGVO mit einem Bußgeld von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt) geahndet werden. Liegt gleichzeitig ein Verstoß gegen Grundsätze der Datenverarbeitung nach Art. 5 DSGVO vor – was bei schwerwiegenden Datenpannen regelmäßig geprüft wird – können Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes verhängt werden.
Für den Mittelstand bedeutet dies: Auch ein Unternehmen mit 15 Mio. € Jahresumsatz kann theoretisch mit einem Bußgeld von bis zu 600.000 € (4 %) konfrontiert werden. Die tatsächliche Höhe richtet sich nach den Umständen des Einzelfalls, insbesondere Schwere des Verstoßes, Grad der Fahrlässigkeit oder des Vorsatzes, ergriffene Maßnahmen, Kooperationsbereitschaft mit der Behörde und Maßnahmen zur Schadensminderung.
Neben dem Bußgeld drohen zivilrechtliche Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO. Die deutsche Rechtsprechung entwickelt sich hier fortlaufend; nach der gefestigten höchstrichterlichen Rechtsprechung des EuGH ist der bloße Kontrollverlust über personenbezogene Daten grundsätzlich geeignet, einen immateriellen Schaden zu begründen. Für Unternehmen, die Daten einer Vielzahl von Betroffenen verarbeiten, kann dies eine erhebliche Haftungskonzentration erzeugen.
Darüber hinaus birgt eine unterlassene Meldung reputationelle Risiken, die gerade für den inhabergeführten Mittelstand mit enger Kundenbindung schwer wiegend sind. Aufsichtsbehörden sind in bestimmten Fällen befugt, Datenpannen öffentlich bekanntzugeben.
Organisatorische Vorsorge: Was Geschäftsführer jetzt einrichten sollten
Die 72-Stunden-Frist ist nur einzuhalten, wenn die organisatorische Infrastruktur im Vorfeld aufgebaut wurde. Vier Maßnahmen sind aus anwaltlicher Sicht prioritär.
Erstens ein Incident-Response-Plan. Dieser Plan legt fest, wer bei einem Datenschutzvorfall informiert wird, in welcher Reihenfolge und mit welchen Befugnissen. Er sollte die Namen und Kontaktdaten des Datenschutzbeauftragten, der IT-Sicherheit und der externen Berater enthalten und für alle relevanten Mitarbeiter zugänglich sein – auch außerhalb der regulären Arbeitszeiten.
Zweitens eine klare Zuordnung der Meldezuständigkeit: Wer erstattet die Meldung an die Aufsichtsbehörde? In kleineren Unternehmen ohne eigenen Datenschutzbeauftragten liegt diese Aufgabe regelmäßig bei der Geschäftsführung selbst. Die Zugangsdaten für das Melde-Portal der zuständigen Behörde müssen bekannt und hinterlegt sein.
Drittens regelmäßige Schulungen der Belegschaft. Die häufigste Ursache von Datenpannen ist menschliches Fehlverhalten – Phishing, fehladressierte E-Mails, unsachgemäßer Umgang mit mobilen Geräten. Schulungen senken das Risiko und belegen im Bußgeldverfahren die präventive Sorgfalt des Unternehmens.
Viertens die Überprüfung und Anpassung bestehender Auftragsverarbeitungsverträge. Liegt eine Datenpanne beim Auftragsverarbeiter – also beim externen Dienstleister, der personenbezogene Daten im Auftrag verarbeitet – trifft die Meldepflicht den Verantwortlichen, also in der Regel das beauftragende Unternehmen. Der Auftragsverarbeiter ist nach Art. 33 Abs. 2 DSGVO verpflichtet, dem Verantwortlichen den Vorfall unverzüglich zu melden. Diese Pflicht sollte im Auftragsverarbeitungsvertrag konkret ausgestaltet sein.
Welche weiteren Vorkehrungen sind für Ihre spezifische Verarbeitungssituation geboten? Diese Frage lässt sich pauschal nicht beantworten – sie hängt von der Art der verarbeiteten Daten, dem eingesetzten IT-System und dem Kreis der Auftragsverarbeiter ab.
Die vorstehende Darstellung betrifft die Regelfälle des Meldepflichtrechts nach Art. 33 DSGVO. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungssituation, der eingesetzten Systeme und der bestehenden Vertragsdokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur Datenpanne und Meldepflicht binnen 72 Stunden
Wann beginnt die 72-Stunden-Frist nach Art. 33 DSGVO zu laufen?
Die Frist beginnt, sobald der Verantwortliche Kenntnis von einem Vorfall erlangt, der möglicherweise eine meldepflichtige Datenpanne darstellt. Maßgeblich ist nicht der Zeitpunkt des technischen Ereignisses, sondern der Zeitpunkt der Kenntnisnahme durch die Organisation. Bei großen Unternehmen mit Datenschutzbeauftragtem gilt die Kenntnis des Beauftragten regelmäßig als Kenntnis des Verantwortlichen. Eine vollständige Aufklärung des Vorfalls ist für den Fristbeginn nicht erforderlich.
Was passiert, wenn die 72 Stunden nicht ausreichen, um alle Informationen zusammenzustellen?
Art. 33 Abs. 4 DSGVO erlaubt ausdrücklich eine stufenweise Meldung. Die erste Meldung kann mit den zum Zeitpunkt verfügbaren Informationen erstattet werden; fehlende Angaben sind unverzüglich nachzureichen. Wichtig ist, in der Erstmeldung die Gründe für die Unvollständigkeit zu benennen. Die Aufsichtsbehörden akzeptieren dieses Vorgehen, sofern die Erstmeldung innerhalb der Frist eingeht und die Ergänzungen zügig folgen.
Muss jede Datenpanne auch den betroffenen Personen mitgeteilt werden?
Nein. Die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO setzt ein hohes Risiko für deren Rechte und Freiheiten voraus – eine höhere Schwelle als die einfache Meldepflicht gegenüber der Aufsichtsbehörde. Liegt lediglich ein „normales" Risiko vor, besteht nur die Behördenmeldepflicht. Ob ein hohes Risiko vorliegt, ist im Einzelfall zu bewerten und zu dokumentieren.
Gilt die Meldepflicht auch, wenn ein externer Dienstleister (Auftragsverarbeiter) betroffen ist?
Ja. Die Meldepflicht trifft den Verantwortlichen, also das beauftragende Unternehmen. Der Auftragsverarbeiter ist seinerseits verpflichtet, dem Verantwortlichen den Vorfall unverzüglich zu melden, damit dieser die 72-Stunden-Frist einhalten kann. Im Auftragsverarbeitungsvertrag sollten diese Meldewege und Fristen ausdrücklich geregelt sein; fehlt eine solche Regelung, droht dem Verantwortlichen ein Fristproblem.
Welche Behörde ist für die Datenpannenmeldung zuständig?
In Deutschland sind die Landesdatenschutzbehörden zuständig – grundsätzlich die Behörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat. Bei grenzüberschreitenden Verarbeitungen kann nach dem One-Stop-Shop-Prinzip des Art. 56 DSGVO die federführende Aufsichtsbehörde des Mitgliedstaats der Hauptniederlassung zuständig sein. Für rein inländisch tätige mittelständische Unternehmen ist regelmäßig die Landesbehörde des Unternehmenssitzes zutreffend.
Was droht bei einer unterlassenen oder verspäteten Meldung?
Aufsichtsbehörden können nach Art. 83 Abs. 4 DSGVO Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes verhängen. Hinzu kommen mögliche Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO sowie reputationelle Folgen. Die tatsächliche Höhe eines Bußgeldes hängt von den Umständen des Einzelfalls ab; kooperatives Verhalten gegenüber der Behörde wirkt sich regelmäßig mindernd aus.
Die vorstehende Darstellung gibt einen Überblick über die Anforderungen des Art. 33 DSGVO. Ihr konkreter Fall erfordert die Prüfung der Vorfallsumstände, der betroffenen Datenkategorien und der eingesetzten Sicherheitsmaßnahmen. Für eine erste Durchsicht Ihrer Unterlagen schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.