Bei einem Sicherheitsvorfall müssen technische Eindämmung, Beweissicherung und rechtliche Entscheidungen zusammenpassen. Wir unterstützen Unternehmen bei der rechtlichen Einordnung und koordinieren die nächsten Schritte mit den Verantwortlichen für IT und Datenschutz.
Den Vorfall erfassen
Welche Systeme und Daten sind betroffen, seit wann besteht Kenntnis und welche Maßnahmen wurden bereits ergriffen? Diese Fragen bilden die Grundlage für die rechtliche Bewertung. Zuständigkeiten, Kontaktwege und eine laufende Chronologie verhindern, dass wesentliche Informationen verloren gehen. Die technische Wiederherstellung gehört in die Hände der zuständigen IT-Fachleute.
Meldepflichten und Kommunikation prüfen
Eine Verletzung personenbezogener Daten kann eine Meldung an die zuständige Datenschutzaufsicht auslösen. Nach Artikel 33 DSGVO ist diese unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erforderlich, sofern die gesetzliche Ausnahme bei voraussichtlich fehlendem Risiko nicht greift. Die Benachrichtigung betroffener Personen folgt eigenen Voraussetzungen. Daneben können vertragliche und sektorspezifische Informationspflichten bestehen.
Verträge, Haftung und Versicherungen einbeziehen
Wir prüfen Verpflichtungen gegenüber Kunden, Dienstleistern und anderen Vertragspartnern. Dazu gehören vertragliche Sicherheitszusagen, Mitwirkungspflichten, Haftungsgrenzen und mögliche Ansprüche. Bei vorhandener Cyberversicherung sind Anzeige- und Abstimmungspflichten anhand der Police einzubeziehen. Öffentliche Aussagen sollten dem gesicherten Kenntnisstand entsprechen.
Datenschutz im laufenden Betrieb
Auch ohne akuten Vorfall können Rollenverteilung, Auftragsverarbeitung, Löschkonzepte und Beschäftigtendatenschutz rechtliche Fragen aufwerfen. Wir ordnen die Anforderungen anhand des konkreten Verarbeitungszwecks. Bei neuen Software- oder KI-Anwendungen werden Nutzungsrechte, Vertraulichkeit und Datenflüsse gemeinsam geprüft.
Vorbereitung und weitere Informationen
Für die Anfrage reichen zunächst eine knappe Vorfallsbeschreibung, die bekannten Zeitpunkte und die zuständigen Ansprechpartner. Übermitteln Sie keine kompromittierten Zugangsdaten. Informationen der niedersächsischen Datenschutzaufsicht und Compliance und interne Untersuchungen.
Ihr Anliegen besprechen
Nennen Sie uns die Beteiligten, das Vorhaben und laufende Fristen. Nach der Konfliktprüfung vereinbaren wir Leistungsumfang, Zuständigkeit und Vergütung. Eine Anfrage allein wahrt keine Frist.