Zum Inhalt springen
DEEN

5,0/5 Google · 167 BewertungenBewertungen über uns auf anderen Plattformen, die wir nicht wörtlich zitieren, prüfen wir nicht auf ihre Echtheit. Sie können daher auch von Personen stammen, die nicht unsere Mandanten sind. Es gelten die Regeln der jeweiligen Plattform. Bewertungen, die wir auf unserer Website wörtlich zitieren, haben wir dagegen auf ihre Echtheit im Sinne des § 5b Abs. 3 UWG geprüft: Wir haben die Namen der Bewertenden mit unserem Mandantenverzeichnis abgeglichen. Außerdem haben wir die jeweilige Plattform gebeten, die Bewertungen auf ihre Echtheit zu prüfen.Zeitraum: Oktober 2016 bis heute · Stand: 06.11.2026

Hilfe bei Datenpanne

Besonnen handeln, aber nicht abwarten.

Fehlversand, kompromittierter Account, offener Cloud-Link, Ransomware oder Dienstleistervorfall. Sobald personenbezogene Daten betroffen sein können, entsteht Zeitdruck. Wir helfen Ihnen, eine belastbare Linie für Meldung und Kommunikation zu finden.

Ohne Rückruf anfragen

Der Erstkontakt ist kostenfrei. Bevor für Sie Kosten entstehen, informieren wir Sie ausdrücklich.

Zum Datenpannen-Risiko-Check

Stand: 23.10.2026

Schematische Darstellung eines Vorfallverlaufs. Beispiel vereinfacht.

Wir begleiten Datenpannen bei

  • Mittelstand
  • SaaS-Anbietern
  • Gesundheitswesen
  • Plattformen
  • Agenturen

Was sollten Sie jetzt sofort tun?

  • Notieren Sie, wann der Vorfall bekannt wurde. Eine Meldung an die Aufsichtsbehörde ist möglichst binnen 72 Stunden ab Kenntnis abzugeben. Art. 33 DSGVO
  • Isolieren Sie betroffene Systeme, ohne Logdateien und Spuren zu löschen.
  • Dokumentieren Sie jeden Schritt mit Uhrzeit. Diese Dokumentation verlangt die DSGVO auch dann, wenn keine Meldung nötig ist.

Das Wichtigste in Kürze

  • Nicht jede Datenpanne ist meldepflichtig, aber jede Datenpanne muss sauber geprüft und dokumentiert werden.
  • Eine Meldung an die Aufsichtsbehörde ist nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden ab Kenntnis nötig, wenn ein Risiko für Betroffene nicht unwahrscheinlich ist.
  • Bei ITMR klären wir Risiko, Meldung, Betroffeneninformation und Kommunikation in einer abgestimmten Linie.
  • Über das Formular können Sie direkt einen Rückruf anfordern.
  • Ansprechpartner ist Dominik Skornia und sein Team. Er ist AI-Privacy-Expert (GDDcert. EU). Rückmeldung an Werktagen innerhalb von 24 Stunden.
DSGVO
Datenschutz-Grundverordnung der EU. Sie regelt, wie Unternehmen personenbezogene Daten verarbeiten dürfen.
SaaS
Software as a Service. Software, die über das Internet genutzt und nicht installiert wird.
AVV
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er regelt, wie ein Dienstleister Daten im Auftrag verarbeitet.
TOM
Technische und organisatorische Maßnahmen. Damit schützen Unternehmen personenbezogene Daten.

Akute Datenpanne

Woran kippt eine Datenpanne in der Praxis?

Bei einer Datenpanne geht es nach unserer Erfahrung selten nur um die Frage, ob irgendetwas gemeldet wird. Kritisch wird die Lage, wenn Frist, Sachverhalt, Risikobewertung, Dienstleisterinformationen und externe Kommunikation nicht zusammenpassen.

Sobald die 72-Stunden-Frist läuft, sollte jeder Schritt dokumentiert und mit der Meldung abgestimmt werden.

Eine Datenschutzverletzung ist kein bloßes IT-Problem. Sobald personenbezogene Daten vernichtet, verloren, verändert, offengelegt oder unbefugt zugänglich geworden sein können, muss das Unternehmen prüfen, ob eine Meldung an die Aufsichtsbehörde und eine Benachrichtigung Betroffener erforderlich sind.

Im Mittelpunkt steht die belastbare Risikobewertung. Welche Daten sind betroffen, wie sensibel sind sie, wer hatte Zugriff, wie wahrscheinlich ist ein Missbrauch, welche Gegenmaßnahmen greifen und welche Folgen drohen für betroffene Personen? Die erste Reaktion beeinflusst zudem spätere Bußgeld-, Schadensersatz-, Vertrags- und Reputationslagen.

Trifft ein Cyber-Incident zugleich Datenschutz, Kommunikation und Verträge, ordnet unser Legal War Room für Akutlagen die Lage. Für eine schnelle Vorstrukturierung von Vorfall, Datenarten und Meldefrist können Sie unseren Datenpannen-Risiko-Check nutzen.

Fristbeginn unklar
Niemand kann sicher sagen, wann das Unternehmen ausreichend Kenntnis vom Vorfall hatte.
Sachverhalt lückenhaft
IT, Datenschutz, Management und Dienstleister arbeiten mit unterschiedlichen Informationen zu Systemen, Datenarten und Ursache.
Kommunikation unter Druck
Kunden, Betroffene, Aufsicht, Versicherer oder Medien fragen, bevor die interne Linie belastbar steht.
Dienstleister betroffen
Ein Auftragsverarbeiter, Cloud-Anbieter oder SaaS-Tool meldet spät, knapp oder widersprüchlich.
Hohe Risikonähe
Zugangsdaten, Kommunikationsinhalte, Beschäftigten-, Gesundheits- oder Zahlungsdaten erhöhen den Entscheidungsdruck.

Die richtige Reihenfolge schützt mehr als hektische Vollständigkeit

Sachverhalt sichern

Vorfallart, Datenarten, Betroffenenkreis, Systeme, Dienstleister, Zeitpunkte und Gegenmaßnahmen erfassen.

Risiko bewerten

Wahrscheinlichkeit und Schwere möglicher Folgen für betroffene Personen strukturiert bewerten und über die Meldung entscheiden.

Linie dokumentieren

Behörde, Betroffene, Kunden, Dienstleister und Versicherer auseinanderhalten und Entscheidungen, Maßnahmen und Freigaben belastbar festhalten.

Rückruf direkt anfordern

Geben Sie oben oder im Formular Ihre Nummer ein und beschreiben Sie den Vorfall kurz. Wir melden uns telefonisch, um die nächsten Schritte abzustimmen.

So einfach funktioniert es

Wie entsteht in drei Schritten die Reaktionslinie?

Sie fordern einen Rückruf an. Im Gespräch klären wir Lage, Frist und nächste Schritte.

  1. 01

    Vorfall sichern

    Sie schildern, was passiert ist, wann der Vorfall bekannt wurde und welche Systeme, Daten, Personen, Dienstleister und bisherigen Maßnahmen betroffen sind.

    • KenntnisMo 09:12
    • DatenKundenexport

  2. 02

    Meldepflicht klären

    Wir prüfen Art. 33 und 34 DSGVO, Risikostufe, Frist, Zuständigkeit, Inhalt einer Meldung, Betroffeneninformation und externe Kommunikation.

    Art. 33
    Meldung naheliegend
    Art. 34
    noch prüfen

  3. 03

    Reaktion umsetzen

    Sie erhalten eine klare Linie für Meldung, Dokumentation, Maßnahmen, interne Freigabe und den Umgang mit Behörde, Betroffenen, Kunden oder Dienstleistern.

Die Reaktion im Detail

  1. 1Triage

    Wir erfassen den Vorfall mit betroffenen Daten, Personen, Systemen und Zeitpunkten.

  2. 2Risiko

    Wahrscheinlichkeit und Schwere möglicher Folgen für betroffene Personen strukturiert bewerten.

  3. 3Kommunikation

    Behörde, Betroffene, Kunden, Dienstleister, Versicherer und interne Stakeholder sauber auseinanderhalten.

  4. 4Nachweis

    Entscheidungen, Maßnahmen, Freigaben und offene Punkte belastbar dokumentieren.

Unterstützung

Wie unterstützen wir Sie in der akuten Lage?

Leistungspaket Hilfe bei Datenpanne

  1. Rechtliche Ersttriage

    Einordnung des Vorfalls anhand von DSGVO, Behördenmaßstäben und tatsächlichem Lagebild.

  2. Meldeentscheidung

    Prüfung, ob eine Meldung an die Aufsichtsbehörde erforderlich ist oder ob eine Nichtmeldung belastbar begründet und dokumentiert werden kann.

  3. Meldung nach Art. 33 DSGVO

    Entwurf oder Prüfung der Meldung einschließlich offener Punkte und geplanter Nachmeldungen.

  4. Be­trof­fe­nen­in­for­ma­tion

    Bewertung, ob und wie betroffene Personen nach Art. 34 DSGVO informiert werden müssen.

  5. Kommunikationslinie

    Abstimmung gegenüber Kunden, Dienstleistern, Versicherern, Aufsicht und internen Gremien.

  6. Dokumentation

    Festhalten von Risikobewertung, Maßnahmen und Freigaben für spätere Nachweis- und Verteidigungslagen.

Für wen
Unternehmen und Organisationen mit einem möglichen Datenschutzvorfall
Leistung
Ersttriage, Meldeentscheidung, Meldung, Betroffeneninformation und Kommunikationslinie
Kontakt
Rückruf über das Formular, Telefonnummer ist Pflichtfeld
Erstkontakt
kostenfrei, zur Klärung von Lage und nächstem Schritt
Kosten
Wir weisen Sie vorher ausdrücklich hin. Erst dann entscheiden Sie.
Nicht im Paket
Technische Forensik und Incident Response. Das ist eine separate Leistung, auf Anfrage und nach Bedarf.
Rückruf anfordern

Wer was liefert und wer entscheidet

Was Sie liefern
  • Incident-Timeline und Kenntniszeitpunkte
  • Technische Erstbewertung und betroffene Systeme
  • Datenkategorien und Zahl Betroffener
  • Dienstleisterinformationen, AVV und TOM
Was wir übernehmen
  • Rechtliche Risikobewertung
  • Meldung und Nachmeldungen
  • Betroffenen- und Kundenkommunikation
  • Dokumentation der Entscheidungen
Wer entscheidet
  • Ihre Geschäftsleitung über Meldung und Kommunikation
  • Die Aufsichtsbehörde über weitere Maßnahmen

Wie läuft die Beauftragung ab?

  1. 1
    Erste Einschätzung

    Wir sichten Ihre Angaben und sagen Ihnen, ob das Paket passt oder ein anderer Weg sinnvoller ist.

  2. 2
    Angebot für das Paket

    Passt das Paket, erhalten Sie ein Angebot für Ersteinschätzung, Meldeentwurf und Kommunikationslinie. Wir beginnen erst nach Ihrer Zustimmung.

  3. 3
    Gerichtliche Schritte gesondert

    Verfahren vor der Aufsichtsbehörde oder vor Gericht und die Vertretung darin sind nicht Teil des Pakets. Diese Schritte vereinbaren wir gesondert.

Erste Einordnung

Was muss in den ersten Stunden rechtlich sitzen?

Unter Zeitdruck ist nicht die längste Stellungnahme entscheidend, sondern ein kontrollierter Ablauf, der später gegenüber Aufsicht, Betroffenen, Kunden oder Gericht nachvollziehbar bleibt.

PrüffrageWorauf es ankommtTypischer Fehler
Liegt eine Verletzung des Schutzes personenbezogener Daten vor?Betroffen sein können Vertraulichkeit, Integrität oder Verfügbarkeit. Auch Fehlversand, Verlust, falsche Berechtigung, offener Link oder unbefugter Zugriff können reichen.Der Vorfall wird als rein technisches Problem behandelt, obwohl DSGVO-Pflichten mitlaufen.
Ist eine Meldung nach Art. 33 DSGVO erforderlich?Eine Meldung kommt in Betracht, wenn ein Risiko für Rechte und Freiheiten natürlicher Personen nicht unwahrscheinlich ist.Es wird vorschnell nicht gemeldet, ohne die Risikoabwägung nachvollziehbar zu dokumentieren.
Müssen Betroffene nach Art. 34 DSGVO informiert werden?Die Benachrichtigung wird relevant, wenn voraussichtlich ein hohes Risiko besteht. Inhalt, Tonalität und Zeitpunkt müssen zur Risikolage passen.Betroffene werden zu früh, zu spät oder mit widersprüchlichen Aussagen informiert.
Welche Informationen fehlen noch?Eine gestufte Meldung kann sinnvoll sein, wenn der Sachverhalt noch nicht feststeht, eine meldepflichtige Lage aber wahrscheinlich ist.Das Unternehmen wartet auf perfekte technische Gewissheit und verliert die Fristkontrolle.
Wer muss intern freigeben?Legal, Datenschutz, IT-Security, Geschäftsleitung, Kommunikation und betroffene Fachbereiche müssen auf einer Linie arbeiten.Ein Bereich kommuniziert extern, während andere noch von anderen Tatsachen ausgehen.

Typische Fallgruppen

Typische Data-Breach-Fälle in Unternehmen

Die Auslöser sind unterschiedlich. Die rechtliche Prüfung folgt in allen Fällen derselben Logik aus Daten, Risiko, Frist und Kommunikation.

  1. Fehlversand und Fehlzugriff

    E-Mails, Anhänge, Bewerber-, Beschäftigten- oder Kundendaten landen bei falschen Empfängern oder in zu weit berechtigten Gruppen.

  2. Kompromittierte Accounts

    Phishing, gestohlene Zugangsdaten, unklare Login-Aktivitäten oder Admin-Zugriffe machen die Frage akut, welche Daten betroffen sein können.

  3. Offene Links und Cloud-Freigaben

    Speicherorte, Ticketsysteme, Kollaborationstools oder Datenräume sind falsch freigegeben oder länger offen als gedacht.

  4. Ransomware und Cyberangriff

    Incident Response und Datenschutzrecht laufen zusammen, wenn Daten verschlüsselt, kopiert, veröffentlicht oder exfiltriert sein können.

  5. Dienstleister- und AVV-Vorfälle

    Auftragsverarbeiter melden einen Vorfall, liefern aber keine ausreichenden Informationen für die eigene Risikobewertung.

  6. Daten- und Geräteverlust

    Laptops, Datenträger, Smartphones, Ausdrucke oder Backups gehen verloren. Entscheidend werden Verschlüsselung, Zugriffsschutz und Missbrauchsrisiko.

Nach der ersten Reaktion

Was folgt nach der ersten Reaktion?

Viele Datenpannen sind nach der ersten Meldung nicht erledigt. Aufsichtsbehörden fragen nach, Betroffene verlangen Auskunft oder Schadensersatz, Kunden erwarten Erklärungen und interne Prozesse müssen sichtbar verbessert werden.

Behördenfest

Sachverhalt, Risiko, Maßnahmen und offene Punkte werden so geordnet, dass Nachfragen beantwortbar bleiben.

Kommunikationsfest

Betroffene, Kunden, Management, Kundendienst und Öffentlichkeit erhalten keine widersprüchlichen Aussagen.

Verteidigungsfest

Dokumentation, Freigaben und Maßnahmen helfen, Vorwürfe, Forderungen und spätere Eskalationen einzuordnen.

Die rechtliche Begleitung soll den technischen Vorfall nicht verlangsamen. Sie übersetzt technische Erkenntnisse in eine widerspruchsfeste, risikoadäquate und anschlussfähige Entscheidungslinie.

Belastbare Ausgangspunkte

Rechtsgrundlagen für Meldung und Benachrichtigung

Für die erste rechtliche Linie zählen insbesondere Art. 4 Nr. 12, Art. 33 und Art. 34 DSGVO sowie die Leitlinien des Europäischen Datenschutzausschusses zur Meldung von Datenschutzverletzungen.

Die Frist von 72 Stunden beginnt, sobald der Verantwortliche Kenntnis von der Verletzung hat. Eine Meldung kann schrittweise ergänzt werden, wenn noch nicht alle Informationen vorliegen.

Quellen

Schnittstellen

Wann passt eine andere ITMR-Seite besser?

Nicht jede Lage nach einem Vorfall ist ein Akutfall. Diese Routen passen, wenn der Schwerpunkt woanders liegt.

  1. 1
    Cybersecurity

    Für Ransomware, NIS-2, IT-Sicherheitsrecht, Leitungspflichten, Lieferkette und Incident-Response-Struktur.

  2. 2

    DSGVO-Schadensersatz abwehren

    Wenn nach der Datenpanne Forderungen, Anspruchsschreiben, Klagen oder massenhafte Betroffenenansprüche drohen.

  3. 3
    Privacy Litigation

    Wenn Bußgeldverfahren, gerichtliche Verteidigung oder eine prozessfeste Linie im Vordergrund stehen.

  4. 4

    Datenschutz-Audit

    Wenn nach dem Vorfall Prozesse, Nachweise, TOM, Rollen und Schulungen strukturiert nachgeschärft werden müssen.

Fehler, die Data-Breach-Fälle unnötig teuer machen

  • Zu spät juristisch eingebunden. Der Vorfall wird technisch bearbeitet, während Frist, Behörde, Betroffene und Dokumentation erst später mitgedacht werden.
  • Unklare Kenntniszeitpunkte. Interne Hinweise, Dienstleistermeldungen, Ticketstände und Managementinformationen werden nicht sauber zeitlich festgehalten.
  • Zu pauschale Meldung. Die Meldung beschreibt den Vorfall ohne klare Risikobewertung, Maßnahmenstand, offene Punkte und Plan für Nachmeldungen.
  • Zu schnelle Entwarnung. Es wird kein Risiko angenommen, obwohl Datenart, Zugriffsmöglichkeit, Umfang oder Betroffenenkreis noch nicht geklärt sind.
  • Widersprüchliche Kommunikation. Behörde, Betroffene, Kunden, Kundendienst, Vertrieb und Management erhalten Aussagen, die nicht derselben Linie folgen.
  • Schwache Nachbereitung. Maßnahmen, Verantwortlichkeiten, AVV-Themen, TOM, Schulungen und Prozesskorrekturen bleiben offen.

Ihr Ansprechpartner

Dominik Skornia, LL.B.

Rechtsanwalt · AI-Privacy-Expert (GDDcert. EU) · Externer Datenschutzbeauftragter

Profil von Dominik Skornia Düsseldorf, Schirmerstraße 80 · Hamburg, Palmaille 124

Bei ITMR führen Jean Paul Bohne, Andreas Buchholz und Dr. Alexander Pleh die Bezeichnung Fachanwalt für Informationstechnologierecht.

Bewertungen

Was Mandanten sagen

5,0 von 5 · 167 Google-BewertungenZeitraum: Oktober 2016 bis heute · Stand: 06.11.2026

5,0 von 5 · 71 Bewertungen auf anwalt.deZeitraum: Oktober 2018 bis heute · Stand: 06.11.2026

„Mein Anliegen wurde nicht nur extrem schnell, sondern auch fachlich auf höchstem Niveau geklärt. Die Kommunikation war klar, freundlich und effizient.“
Yoan Orgel-Demange · Google
„Eine absolute Empfehlung. Absolute Zuverlässigkeit und hohe Mandantenbetreuung stehen hier an erster Stelle. Dauerhafte Erreichbarkeit und qualifizierte Mitarbeiter, die einen bestens auf den Fall vorbereiten.“
Artur Runge · Google
„…nach etwa 2 Wochen, war mein Profil wieder offen und fast vollständig nutzbar… Nachdem ich 4 Jahre lang immer wieder versucht hatte eine Lösung über den META Support oder eigenständig zu finden, und schon am verzweifeln war, war dies die einzig richtige Entscheidung.“
Reinhard von Wegen · Google

FAQ

Häufige Fragen zur Datenpanne

Muss jede Datenpanne an die Aufsichtsbehörde gemeldet werden?

Nein. Es kommt darauf an, ob die Verletzung voraussichtlich zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Ohne belastbare Risikobewertung ist eine Nichtmeldung aber gefährlich, weil das Unternehmen später erklären muss, warum keine Meldung erforderlich war.

Quelle: Art. 33 DSGVO

Wann beginnt die 72-Stunden-Frist?

Maßgeblich ist, wann der Verantwortliche Kenntnis von der Verletzung hat. In der Praxis muss deshalb genau dokumentiert werden, wann welche Stelle oder welcher Dienstleister welche Informationen hatte und ab wann ein belastbares Vorfallbild vorlag.

Wie sich die Fristen nach DSGVO, NIS2, DORA und CRA überschneiden, zeigen wir im Beitrag Cybervorfall melden.

Können wir melden, obwohl noch nicht alle Details feststehen?

Ja, das kann sinnvoll sein. Liegt eine meldepflichtige Lage nahe, kann eine Erstmeldung mit späteren Nachmeldungen die bessere Linie sein als ein riskantes Zuwarten. Inhalt und Tonalität müssen dann besonders sorgfältig gesetzt werden.

Wann müssen betroffene Personen informiert werden?

Wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat. Maßgeblich sind Datenart, Umfang, Missbrauchsgefahr, Schutzmaßnahmen und mögliche Folgen wie Identitätsdiebstahl, finanzielle Schäden, Diskriminierung oder Reputationsschäden.

Quelle: Art. 34 DSGVO

Was tun, wenn ein Auftragsverarbeiter die Datenpanne meldet?

Das verantwortliche Unternehmen muss klären, ob die Angaben ausreichen, welche eigenen Pflichten ausgelöst werden und welche Informationen nachzufordern sind. AVV, TOM, Vorfallklauseln, Unterauftragnehmer und tatsächlicher Datenfluss werden dann relevant.

Ist Ransomware automatisch meldepflichtig?

Nicht automatisch, aber nach unserer Erfahrung sehr häufig prüfungsintensiv. Es kommt darauf an, ob personenbezogene Daten betroffen sind, ob Zugriff, Verlust, Verschlüsselung, Exfiltration oder Veröffentlichung möglich war und welche Risiken für Betroffene entstehen.

Sollten wir Betroffene vorsorglich informieren?

Vorsorgliche Kommunikation kann Vertrauen schaffen, aber auch Unruhe, Rückfragen, Forderungen oder Widersprüche auslösen. Die Entscheidung sollte an Risikolage, Kenntnisstand und einer abgestimmten Kommunikationslinie hängen.

Welche Unterlagen helfen für eine schnelle Prüfung?

Incident-Timeline, technische Erstbewertung, betroffene Systeme, Datenkategorien, Zahl Betroffener, Dienstleisterinformationen, bisherige Maßnahmen, AVV, TOM, interne Kommunikation und vorhandene Entwürfe für Meldung oder Betroffeneninformation.

Wie läuft der Rückruf ab?

Sie geben Ihre Telefonnummer und eine kurze Beschreibung im Formular ein. Wir rufen Sie zurück, klären den Sachverhalt und besprechen, welche Schritte zuerst anstehen. Vor kostenpflichtigen Leistungen weisen wir Sie ausdrücklich darauf hin.

Konkreter nächster Schritt

Datenpanne einordnen, bevor Aussagen Fakten schaffen

Wenn ein Vorfall bekannt ist, sollte die rechtliche Linie nicht nebenbei entstehen. Meldepflicht, Betroffenenkommunikation, Dokumentation, Dienstleisterinformationen und interne Freigaben gehören auf eine gemeinsame Grundlage.

Für den Rückruf hilfreich

  • Zeitpunkt der Kenntnis vom Vorfall
  • Betroffene Systeme und Datenarten
  • Geschätzte Zahl betroffener Personen
  • Meldung oder Hinweise des Dienstleisters
  • Bisherige Maßnahmen

Auch ein unvollständiges Bild reicht für den Rückruf. Den Rest klären wir im Gespräch.

Rückruf zur Datenpanne anfordern

Hinterlassen Sie Ihre Nummer und eine kurze Beschreibung des Vorfalls.

Ihre Kontaktdaten

Ihre Nachricht

z. B. Frist aus einer Abmahnung

Hilfreich sind Zeitpunkt der Kenntnis, betroffene Systeme und Datenarten sowie bisherige Maßnahmen.

Verwandte Leistungen

Aus unserem Blog: Datenpannen-Risiko-Check · Legal War Room für Akutlagen · Cybervorfall melden · EuGH zu Schaden und Beweislast

Weiterführende Inhalte

Aktuelle Beiträge

Passende Urteile