Ein Kontaktformular schickt Anfragen seit drei Wochen an ein aufgelöstes Postfach. Ein Redaktionszugang wird übernommen. Ein Dienstleister meldet, dass sein System verschlüsselt wurde und Ihre Kundenliste mit darin lag. In allen drei Fällen beginnt in dem Moment, in dem Sie es mit hinreichender Sicherheit wissen, eine Frist von höchstens 72 Stunden (Europäischer Datenschutzausschuss). Das ist kein Konzernthema: Beim Bundesbeauftragten für den Datenschutz gingen im Berichtsjahr 2025 insgesamt 9.170 Meldungen von Datenschutzverstößen ein (BfDI), in Bayern allein 3.603 Datenpannenmeldungen (BayLDA). Dieser Beitrag beschreibt, wann die Uhr zu laufen beginnt, was in die Meldung gehört, wann zusätzlich die Betroffenen zu benachrichtigen sind und welcher Teil der Vorbereitung auf der eigenen Website liegt.
Die Uhr läuft ab Kenntnis, nicht ab Aufklärung
Die Regel steht in Artikel 33 der Datenschutz-Grundverordnung und ist kürzer als ihr Ruf. Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten ohne schuldhaftes Zögern und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich (Europäischer Datenschutzausschuss). Darin stecken zwei Aussagen. Die Meldung ist der Regelfall, das Unterlassen die begründungsbedürftige Ausnahme. Und die Frist ist eine Obergrenze, keine Bearbeitungszeit: Wer nach sechs Stunden weiß, was passiert ist, meldet nach sechs Stunden.
Der schwierigere Teil ist der Fristbeginn. Der Europäische Datenschutzausschuss setzt ihn auf den Zeitpunkt, an dem der Verantwortliche mit hinreichender Sicherheit davon ausgeht, dass ein Sicherheitsvorfall stattgefunden hat, der personenbezogene Daten beeinträchtigt hat (Europäischer Datenschutzausschuss). Das ist weder der erste vage Verdacht noch der Abschluss der Aufklärung. Wer freitags eine merkwürdige Fehlermeldung sieht, hat noch keine Kenntnis. Wer montags den Protokollen entnimmt, dass ein fremdes Gerät zwei Wochen lang das Postfach mitgelesen hat, hat sie. Ab diesem Montag laufen die 72 Stunden, auch wenn die vollständige Liste der betroffenen Nachrichten erst später vorliegt.
Wird die Frist überschritten, verfällt sie nicht, sondern wird begründungspflichtig: Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen (Europäischer Datenschutzausschuss). Eine späte Meldung mit nachvollziehbarem Grund ist damit besser als keine. Sie heißt aber auch, dass diese Begründung Teil der Akte wird und im Zweifel gelesen wird. Der Satz, der Protokolldaten seien beim Dienstleister erst am Montag verfügbar gewesen, ist eine Begründung. Urlaub ist keine.
Der Fristbeginn ist ein Zeitpunkt, kein Gefühl
Wie häufig eine Datenpanne tatsächlich ist
Die Meldung ist Alltag geworden. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit nahm im Berichtsjahr 2025 insgesamt 9.170 Meldungen von Datenschutzverstößen entgegen (BfDI), davon 9.110 nach Art. 33 DSGVO (BfDI). Sein Zuständigkeitsbereich ist eng zugeschnitten auf Bund, Post und Telekommunikation; Betriebe mit einer eigenen Website melden fast durchweg an eine Landesbehörde. Dass die Aufsicht nicht nur zählt, zeigt eine zweite Zahl aus demselben Bericht: 129 aufsichtsrechtliche Maßnahmen wie Verwarnungen, Anweisungen oder die Festsetzung von Zwangsgeldern im selben Jahr (BfDI).
In den Ländern sind die Zahlen größer und die Richtung ist dieselbe. Beim Bayerischen Landesamt für Datenschutzaufsicht gingen 2025 3.603 Datenpannenmeldungen ein (BayLDA), ein Plus von 23 Prozent gegenüber dem Vorjahr (BayLDA). Baden-Württemberg meldet für dasselbe Jahr einen Anstieg der Datenpannenmeldungen um knapp 20 Prozent und beinahe eine Verdopplung der Beschwerden von 4.034 auf 7.673 (LfDI Baden-Württemberg). In Nordrhein-Westfalen stiegen die Eingaben insgesamt auf 18.062 (LDI NRW), die Datenschutzbeschwerden darin von 7.539 um mehr als 67 Prozent auf 12.592 (LDI NRW).
Tabelle waagerecht wischen
| Aufsichtsbehörde | Kennzahl aus dem Berichtsjahr 2025 | Was daraus für einen kleinen Betrieb folgt |
|---|---|---|
| Bundesbeauftragter für den Datenschutz | 9.110 Meldungen nach Art. 33 DSGVO (BfDI) | Die Meldung ist ein Massenvorgang, kein Skandal |
| Bundesbeauftragter für den Datenschutz | 129 aufsichtsrechtliche Maßnahmen (BfDI) | Die Aufsicht zählt nicht nur, sie handelt auch |
| Bayerisches Landesamt für Datenschutzaufsicht | 3.603 Datenpannenmeldungen, plus 23 Prozent (BayLDA) | Auch die Landesaufsicht bearbeitet Tausende Meldungen im Jahr |
| Landesbeauftragter Baden-Württemberg | Datenpannen plus knapp 20 Prozent (LfDI Baden-Württemberg) | Der Anstieg ist kein bayerischer Sonderweg |
| Landesbeauftragte Nordrhein-Westfalen | 18.062 Eingaben, darin 12.592 Beschwerden (LDI NRW) | Betroffene beschweren sich häufiger und schneller |
| Landesbeauftragte Nordrhein-Westfalen | Geldbußen nahe einer halben Million Euro (LDI NRW) | Ein Verstoß bleibt in der Regel nicht folgenlos |
Aus diesen Zahlen folgt keine Panik, sondern eine Erwartungshaltung. Eine Behörde, die im Jahr mehrere tausend Meldungen bearbeitet, sucht Muster, keine Schuldigen. Sie liest eine kurze, sortierte Meldung mit klaren Angaben deutlich lieber als eine lange Erklärung, und sie sieht dieselben Betriebe wieder, wenn die Ursache nicht abgestellt wurde. Wer daneben Auskunftsersuchen nach der DSGVO sauber beantwortet, hat die dafür nötigen Verzeichnisse ohnehin angelegt.
Der häufigste Auslöser ist kein Angriff
Wer an Datenpanne denkt, denkt an einen Angriff von außen. Die Aufsicht sieht etwas anderes. Der Landesbeauftragte in Baden-Württemberg hält für 2025 fest, dass der Fehlversand ganzer Schreiben und ihrer Anlagen einen Schwerpunkt der eingegangenen Datenpannenmeldungen nach Art. 33 DSGVO bildete (LfDI Baden-Württemberg). Das ist die Sammelmail an sechzig Adressen im offenen Verteiler, das Angebot im falschen Umschlag, der Serienbrief mit verrutschtem Adressfeld. Sie kostet weder Angreifer noch Schadsoftware, sondern zwei unaufmerksame Minuten, und sie ist meldepflichtig wie jede andere, sobald ein Risiko für die Betroffenen besteht.
Angriffe gibt es daneben reichlich. Beim bayerischen Landesamt gingen 2025 524 Meldungen ein, in denen Verantwortliche oder deren Dienstleister von Ransomware betroffen waren (BayLDA). Knapp 400 Meldungen betrafen gekaperte Cloud-Plattformen und E-Mail-Konten (BayLDA). Der zweite Fall ist der unterschätzte: Aus einem übernommenen Postfach wurden in vielen Fällen 1.000 bis 10.000 weitere Konten angeschrieben, auch die fremder Organisationen (BayLDA). Die eigene Panne wird damit zur Panne der Geschäftspartner, und im Absenderfeld steht der eigene Betrieb. Wie sich geschäftliche Post absichern lässt, steht bei der Zustellung geschäftlicher E-Mail.
Formular an die falsche Adresse
Nach einem Anbieterwechsel läuft der Empfänger des Kontaktformulars ins Leere oder in ein fremdes Postfach. Auffällig wird das oft erst Wochen später.
Verzeichnis ohne Zugriffsschutz
Ein Ordner mit Angeboten, Bewerbungen oder Rechnungen liegt ohne Anmeldung im Web und taucht in einer Suchmaschine auf.
Übernommener Zugang
Ein Redaktionskonto ohne zweiten Faktor wird gekapert. Der Angreifer liest mit, lange bevor er etwas verändert.
Eingeschleustes Skript
Ein manipuliertes Skript im Seitenkopf greift Formulareingaben ab. Das Formular arbeitet weiter, deshalb fällt zunächst nichts auf.
Panne beim Dienstleister
Der Hoster oder das Buchungssystem meldet einen Vorfall. Verantwortlich für die Meldung an die Aufsicht bleibt trotzdem Ihr Betrieb.
Alte Daten, die noch da sind
Bewerbungen von vor drei Jahren, ein Newsletter-Export auf dem Laptop, ein Backup ohne Löschfrist. Was gelöscht ist, kann nicht abfließen.
Wie groß der Datenabfluss insgesamt ist, misst der Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik. Im Berichtszeitraum von Juli 2024 bis Juni 2025 wurden 461 Datenleaks mit Daten deutscher Institutionen und Verbraucher bekannt (BSI). Betroffen waren dabei unter anderem Geburtsdaten in 92 Prozent, Postadressen in 72 Prozent und E-Mail-Adressen in 63 Prozent der Fälle (BSI). Die je Quartal gezählte Zahl der Leak-Geschädigten erreichte im ersten Quartal 2025 mit 78 einen Höchststand (BSI), während die beim Bundeskriminalamt angezeigten Ransomware-Angriffe mit 950 weitgehend unverändert blieben (BSI). Europaweit wertete die EU-Cybersicherheitsagentur für denselben Zeitraum 4.875 Vorfälle aus (ENISA); Deutschland wird darin mit 23,4 Prozent am häufigsten genannt (ENISA).
Ihr Formular sammelt genau die Felder, die in den Leaks stecken
Vier Stufen: Kenntnis, Bewertung, Meldung, Benachrichtigung
Die Verordnung kennt keine Eskalationsstufen, der Ablauf hat aber vier davon. Sie greifen ineinander, und jede Stufe erzeugt eine Angabe, die auf der nächsten gebraucht wird. Wer diese vier Schritte einmal auf einem Blatt hat, verliert im Ernstfall keine Zeit mit der Frage, wer jetzt was entscheidet.
- Kenntnis. Ein Vorfall ist erkannt und mit hinreichender Sicherheit als Beeinträchtigung personenbezogener Daten eingeordnet (Europäischer Datenschutzausschuss). Festgehalten werden Datum, Uhrzeit, meldende Person und Entdeckungsweg. Ab hier läuft die Frist.
- Bewertung. Welche Datenarten, welcher Personenkreis, welche möglichen Folgen? Daraus ergibt sich, ob überhaupt gemeldet wird: Meldepflichtig sind Datenschutzverletzungen nur dann, wenn ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht (BayLDA).
- Meldung an die Aufsichtsbehörde. Binnen höchstens 72 Stunden (Europäischer Datenschutzausschuss), in der Regel über das Online-Formular der zuständigen Landesbehörde. Eine fehlende Angabe wird nachgereicht, nicht abgewartet.
- Benachrichtigung der Betroffenen. Nur bei voraussichtlich hohem Risiko, dann aber ohne schuldhaftes Zögern und in klarer, einfacher Sprache. Diese Stufe ist die sichtbare: Sie trifft Kunden, Bewerber und Geschäftspartner direkt.
Die Trennung zwischen Stufe zwei und Stufe vier trägt die meiste Unsicherheit. Sie lässt sich mit einer einzigen Frage abkürzen: Was könnte einer betroffenen Person mit diesen Daten geschehen? Bei einer verlorenen Terminliste mit Vornamen ist die Antwort kurz. Bei einer Bewerberliste mit Anschrift, Geburtsdatum und Angaben zur bisherigen Anstellung ist sie es nicht. Wie sich Bewerberdaten mit Fristen und Löschregeln annehmen lassen, beschreibt der Beitrag Bewerbungen online annehmen.
Tabelle waagerecht wischen
| Schritt | Frist | Adressat | Wenn die Frist reißt |
|---|---|---|---|
| Kenntnis dokumentieren | sofort | eigene Akte | Der Fristbeginn ist später nicht belegbar |
| Risiko bewerten | innerhalb der 72 Stunden | eigene Akte | Die Meldung geht ohne Einschätzung heraus |
| Meldung nach Art. 33 DSGVO | höchstens 72 Stunden (Europäischer Datenschutzausschuss) | zuständige Aufsichtsbehörde | Der Meldung ist eine Begründung für die Verzögerung beizufügen (Europäischer Datenschutzausschuss) |
| Benachrichtigung nach Art. 34 DSGVO | ohne schuldhaftes Zögern | betroffene Personen | Die Aufsicht kann die Benachrichtigung anordnen |
| Erstmeldung nach dem BSI-Gesetz | 24 Stunden nach Kenntniserlangung (BSI) | Bundesamt für Sicherheit in der Informationstechnik | Gilt nur für regulierte Einrichtungen |
| Abschlussmeldung nach dem BSI-Gesetz | spätestens nach einem Monat (BSI) | Bundesamt für Sicherheit in der Informationstechnik | Gilt nur für regulierte Einrichtungen |
Was in die Meldung gehört
Das Meldeformular der Aufsichtsbehörden folgt dem Aufbau von Art. 33 Abs. 3 DSGVO. Es fragt vier Blöcke ab, und keiner davon verlangt technisches Fachvokabular. Wer die Angaben in der Bewertungsphase notiert hat, füllt das Formular in zwanzig Minuten aus.
- Art der Verletzung. Was ist passiert, in einem Satz. Dazu die Kategorien und die ungefähre Zahl der betroffenen Personen sowie der betroffenen Datensätze.
- Ansprechpartner. Name und Kontaktdaten der Stelle, bei der weitere Informationen zu erhalten sind. In kleinen Betrieben ist das die Geschäftsführung, nicht der Dienstleister.
- Wahrscheinliche Folgen. Was der Vorfall für die Betroffenen bedeuten kann: unerwünschte Werbung, Identitätsmissbrauch, Rückschlüsse auf besonders geschützte Daten.
- Ergriffene Maßnahmen. Was Sie getan haben, um die Verletzung zu beheben und ihre Folgen abzumildern. Zugang gesperrt, Adresse korrigiert, Empfänger zur Löschung aufgefordert.
- Bei Verzögerung: die Begründung. Warum die Meldung länger als 72 Stunden gebraucht hat (Europäischer Datenschutzausschuss).
- Der Zeitstempel der Kenntnis. Ohne ihn kann die Behörde die Rechtzeitigkeit nicht beurteilen und fragt nach.
Schnelligkeit vor Vollständigkeit
Dokumentiert wird auch, was nicht gemeldet wird
Die stillste Pflicht der Verordnung ist die, an der eine Prüfung am schnellsten hängen bleibt. Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller damit zusammenhängenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen; diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung ermöglichen (Europäischer Datenschutzausschuss). Das gilt für jede Verletzung, auch für die, die Sie nach der Risikobewertung bewusst nicht melden. Wer nichts dokumentiert, kann auch nicht belegen, dass die Nichtmeldung eine begründete Entscheidung war und keine Unterlassung.
Vorfall 2026-03-14 Kontaktformular an aufgelöstes Postfach
Kenntnis 2026-03-14 09:20 Uhr, gemeldet durch die Buchhaltung
Entdeckungsweg Rückfrage einer Kundin, Antwort blieb aus
Zeitraum 2026-02-21 bis 2026-03-14
Datenarten Name, E-Mail, Anschrift, Freitext der Anfrage
Betroffene ca. 40 Personen, 41 Datensätze
Empfänger Postfach beim vorherigen Anbieter, abgeschaltet
Risiko gering: kein Abruf nachweisbar, Postfach inaktiv
Entscheidung keine Meldung nach Art. 33, Doku nach Absatz 5
Abhilfe Adresse korrigiert, Testeinsendung kontrolliert
Freigabe Geschäftsführung, 2026-03-14 11:05 UhrWer die Melde- und Dokumentationspflichten verletzt, bewegt sich im unteren Bußgeldrahmen der Verordnung. Bei Verstößen gegen die Artikel 25 bis 39 werden Geldbußen von bis zu 10 Millionen Euro oder von bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes verhängt, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Für einen Handwerks- oder Handelsbetrieb ist der Prozentsatz die relevantere Größe, und die Aufsicht schöpft den Rahmen bei kooperativen Betrieben in der Regel nicht aus. Die Zahl steht hier trotzdem, weil sie erklärt, warum eine dreizeilige Notiz am Tag des Vorfalls eine gute Investition ist.
Wann die Betroffenen selbst benachrichtigt werden
Die zweite Meldung geht nicht an eine Behörde, sondern an Menschen. Sie wird fällig, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge hat. Der Maßstab ist derselbe wie bei der Meldung an die Aufsicht, nur eine Stufe höher angesetzt. Die Untergrenze formuliert das bayerische Landesamt eindeutig: Meldepflichtig sind Datenschutzverletzungen nur dann, wenn ein Risiko für die Rechte und Freiheiten der vom Vorfall betroffenen Personen besteht (BayLDA). Ohne Risiko keine Meldung, ohne hohes Risiko keine Benachrichtigung.
Praktisch entscheidet dieser Teil über den Ruf. Die Benachrichtigung erreicht Kunden, Bewerber und Lieferanten und wird weitergereicht. Ein Text, der den Vorfall benennt, die Folgen einordnet und eine konkrete Empfehlung gibt, wird als Zeichen von Ernsthaftigkeit gelesen; einer, der beschwichtigt, wird kommentiert. Dieser Text entsteht besser vorher als in der Nacht danach, und er gehört auf dieselbe Seite wie Ihre Rechtstexte und die Datenschutzerklärung.
- Was passiert ist, in einfacher Sprache. Ein Satz ohne Fachbegriffe, dazu Zeitraum und Datenarten.
- Was das für die einzelne Person bedeutet. Konkret statt abstrakt: womit zu rechnen ist und womit nicht.
- Was Sie getan haben. Zugang gesperrt, Adresse korrigiert, Dienstleister gewechselt.
- Was die Person selbst tun sollte. Passwort ändern, auf ungewöhnliche Post achten, Kontoauszüge sichten.
- Wer erreichbar ist. Name, Rufnummer und Adresse für Rückfragen, für einige Tage auch außerhalb der Bürozeiten.
- Wo der Stand nachzulesen ist. Eine schlichte Seite auf der eigenen Website trägt weiter als eine Serienmail mit Anhang.
Die zweite Uhr: für regulierte Einrichtungen
Neben der datenschutzrechtlichen Frist läuft eine kürzere, die nicht jeden betrifft. Für Einrichtungen, die unter das BSI-Gesetz in seiner Fassung nach der europäischen Richtlinie zur Netz- und Informationssicherheit fallen, ist die Erstmeldung eines erheblichen Sicherheitsvorfalls innerhalb von 24 Stunden nach Kenntniserlangung fällig (BSI). Die Kette endet dort nicht: Spätestens nach einem Monat nach Meldung ist eine Abschlussmeldung abzugeben (BSI).
Für den typischen Handwerks-, Handels- oder Dienstleistungsbetrieb mit einer Website gilt diese zweite Uhr in der Regel nicht. Wichtig ist die Unterscheidung trotzdem, weil sie in Verträgen auftaucht. Wer als Nachunternehmer für ein Energieversorgungsunternehmen, ein Krankenhaus oder einen Logistiker arbeitet, findet in Rahmenverträgen zunehmend Meldefristen von 24 Stunden, die vertraglich gelten, unabhängig von der eigenen Einstufung. Wer sich um öffentliche Aufträge bewirbt, sollte solche Klauseln vor der Angebotsabgabe lesen, denn sie binden ab dem Zuschlag.
Was die Website vorher leisten kann
Die wirksamste Vorsorge ist Datensparsamkeit, und sie kostet nichts. Ein Formular mit vier Feldern erzeugt einen kleineren Vorfall als eines mit vierzehn. Ein Bewerbungsverfahren mit klarer Löschfrist erzeugt nach zwei Jahren gar keinen mehr. Und eine Seite, die ohne Cookie-Banner auskommt, weil sie datensparsam gebaut ist, hat im Ernstfall weniger Datenwege zu dokumentieren.
Technisch ist die Lage im Web durchwachsen. Der Transport ist weitgehend gelöst: 97,3 Prozent der mobil aufgerufenen Startseiten laufen über HTTPS (Web Almanac). Der Rest ist es nicht. Nur 21,9 Prozent der Seiten setzen überhaupt eine Content-Security-Policy (Web Almanac), also die Regel, die ein eingeschleustes Skript daran hindern würde, Formulareingaben abzugreifen. Von den Seiten mit einer solchen Richtlinie erlauben 92 Prozent weiterhin unsafe-inline und heben den Schutz damit weitgehend auf (Web Almanac). Und nur 36 Prozent der mobil aufgerufenen Seiten senden einen HSTS-Header (Web Almanac), der den ersten Aufruf vor einem ungeschützten Umweg bewahrt.
- Das Kontaktformular erhebt nur Felder, die für die Antwort gebraucht werden; jedes weitere Feld hat einen benannten Zweck.
- Die Empfängeradresse des Formulars ist dokumentiert und wird nach jedem Anbieterwechsel mit einer Testeinsendung kontrolliert.
- Redaktionszugänge sind personengebunden, mit zweitem Faktor versehen und beim Ausscheiden entzogen; die Rollen und Rechte sind schriftlich festgelegt.
- Für jeden Dienstleister mit Datenzugriff liegt ein Auftragsverarbeitungsvertrag vor, samt Meldeweg und Reaktionszeit im Vorfall.
- Eingebundene fremde Inhalte sind bekannt und begründet; wie das ohne stille Datenabflüsse geht, steht bei Karten, Videos und Schriften.
- Die Angriffsfläche der Seite ist bewusst klein gehalten: wenig Fremdcode, wenige Zugänge, wenige Datenspeicher.
- Ein Vorfallsbogen liegt als Datei bereit, mit den Feldern aus dem Beispiel oben und einer benannten verantwortlichen Person.
- Der Link auf das Meldeformular der zuständigen Aufsichtsbehörde ist hinterlegt, damit er nicht innerhalb der Frist gesucht werden muss.
Diese acht Punkte sind an einem Vormittag erledigt und halten Jahre. Der Unterschied zwischen einem Betrieb, der eine Meldung in zwei Stunden abgibt, und einem, der drei Tage braucht, liegt fast vollständig in dieser Vorarbeit. Ein Blick auf die Leistungen im Überblick zeigt, welcher Teil davon in den Aufbau einer Seite gehört und welcher in den laufenden Betrieb.
Im Ernstfall entscheidet nicht, wie gut Ihre Technik war, sondern wie schnell Sie sagen können, was passiert ist.
Die ersten Stunden in fünf Schritten
Wenn es soweit ist, hilft eine kurze Reihenfolge mehr als ein Handbuch. Die folgenden fünf Schritte lassen sich von einer Person abarbeiten, die keine Fachkraft für Informationssicherheit ist.
- Stoppen und festhalten. Zugang sperren, Formular abschalten, Adresse korrigieren. Im selben Zug Datum, Uhrzeit und Entdeckungsweg notieren, denn ab diesem Zeitstempel läuft die Frist von 72 Stunden (Europäischer Datenschutzausschuss).
- Umfang schätzen, nicht ermitteln. Welche Datenarten, wie viele Personen, welcher Zeitraum? Eine begründete Schätzung reicht für die Meldung; die genaue Zahl wird nachgereicht.
- Risiko bewerten und entscheiden. Besteht ein Risiko für die Betroffenen, wird gemeldet (BayLDA). Besteht ein voraussichtlich hohes Risiko, kommt die Benachrichtigung der Betroffenen hinzu.
- Melden, auch mit Lücken. Das Online-Formular der zuständigen Landesbehörde ausfüllen und offene Punkte als offen kennzeichnen. Der Grundsatz lautet Schnelligkeit vor Vollständigkeit (BSI).
- Ursache abstellen und dokumentieren. Die Abhilfe gehört in dieselbe Datei wie die Kenntnis, denn die Dokumentation muss der Aufsicht die Überprüfung ermöglichen (Europäischer Datenschutzausschuss). Wer Unterstützung beim Aufbau der Seite und ihrer Datenwege sucht, findet den Weg über die Kontaktseite.
Quellen und Studien