Symbolbild zur Benachrichtigung, keine Aufnahme einer vom Berliner Datenleck betroffenen Person. Bildquelle: Pexels, Foto 7318931, CC0-Lizenz.

Wer einer Berliner Senatsverwaltung Unterlagen geschickt hat, weiß nach dem Hackerangriff unter Umständen noch immer nicht, ob eigene Daten veröffentlicht wurden. Der Senat hat nun eine Anlaufstelle für möglicherweise betroffene Bürger und Unternehmen angekündigt. Die persönliche Benachrichtigung könnte dagegen noch Wochen dauern. Für Unternehmen mit Behördenkontakten stellt sich deshalb eine praktische Frage: Welche Unterlagen lassen sich bereits selbst eingrenzen, bevor eine konkrete Warnung eintrifft?

Die Datenschutz-Grundverordnung verpflichtet Verantwortliche bei voraussichtlich hohem Risiko zur unverzüglichen Benachrichtigung betroffener Menschen. Sie sollen erfahren, was passiert ist und wie sie sich schützen können. Eine noch laufende technische Untersuchung wirft dabei andere Fragen auf als eine bereits geklärte Liste aller Betroffenen.

Stand: 08.09.2026.

Eine Anlaufstelle ist angekündigt, die Details sind noch offen

Wie dpa nach der Senatssitzung berichtet, kündigte der Regierende Bürgermeister Kai Wegner die Hilfe am Dienstag an. Nach Angaben von Digitalstaatssekretär Florian Hauer ist zunächst ein zentraler E-Mail-Kontakt geplant. Auch eine Telefon-Hotline sei denkbar. Eine bereits eröffnete Kontaktstelle oder eine konkrete neue Adresse nennt der Bericht nicht.

Der Angriff auf die Senatsverwaltungen für Bauen und Verkehr war Mitte August bekannt geworden. Neu ist jetzt die angekündigte Hilfe für Menschen und Unternehmen, deren Daten abgeflossen sein könnten. Hauer nannte als Beispiel Kontakte wegen einer Baugenehmigung. Die große Datenmenge erschwere es, Betroffene zu identifizieren und gezielt zu informieren. Dieser Prozess könne Wochen dauern. Eine externe Anwaltskanzlei und die Berliner Datenschutzbeauftragte unterstützen nach dem Bericht beratend.

Die geplante Anlaufstelle soll allgemeine Hinweise geben und Kriterien nennen, anhand derer Menschen eine mögliche Betroffenheit einschätzen können. Für eine Firma, die Bauunterlagen oder personenbezogene Anlagen eingereicht hat, ist das relevant. Aus einem früheren Behördenkontakt allein folgt allerdings noch kein bestätigter Abfluss ihrer Unterlagen.

Bei hohem Risiko verlangt das Gesetz unverzügliche Information

Artikel 34 DSGVO knüpft die Benachrichtigung an ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen. Die Mitteilung muss in klarer und einfacher Sprache die Art der Verletzung beschreiben. Hinzu kommen unter anderem eine Kontaktmöglichkeit, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Eine pauschale Wartefrist von mehreren Wochen steht dort nicht.

Aus der angekündigten Dauer der Berliner Auswertung lässt sich trotzdem kein abschließendes Urteil über die Rechtmäßigkeit einzelner Benachrichtigungen ableiten. Dafür fehlen öffentlich unter anderem die Zuordnung konkreter Daten und die jeweiligen Risikobewertungen. Entscheidend für die betriebliche Vorbereitung ist, bereits belastbare Erkenntnisse von offenen Fragen zu trennen. Wer auf die letzte forensische Einzelheit wartet, muss prüfen, ob zuvor schon eine Informationspflicht entstanden ist.

Das Gesetz sieht Ausnahmen vor, etwa wenn wirksame Schutzmaßnahmen das hohe Risiko beseitigen. Wäre eine individuelle Benachrichtigung mit unverhältnismäßigem Aufwand verbunden, verlangt Artikel 34 stattdessen eine öffentliche Bekanntmachung oder eine ähnlich wirksame Information. Eine lediglich angekündigte Hotline belegt für sich genommen noch nicht, dass diese Voraussetzungen erfüllt sind. Auch eine erfolgreiche technische Eindämmung beantwortet nicht, welche Folgen bereits veröffentlichte Daten für Menschen haben. Wie eng Zugriffsschutz und Betroffeneninformation zusammenhängen, zeigt auch der Fall des französischen Klinikdatenzugriffs.

Behördenkontakte prüfen, ohne weitere Daten preiszugeben

Unternehmen können ihre eigenen Vorgänge bereits sichten: Welche Abteilung hatte mit den beiden Senatsverwaltungen Kontakt, welche Anlagen wurden eingereicht und welche personenbezogenen Angaben waren enthalten? Die zuständigen Beschäftigten sollten vorhandene Versandnachweise und Aktenzeichen zusammenführen. Ein solcher Abgleich liefert eine Grundlage für Rückfragen, ohne eine bestätigte Betroffenheit vorzutäuschen.

Für Rückfragen sollten ausschließlich verifizierte Behördenkontakte verwendet werden. Ausweise, vollständige Personalunterlagen oder zusätzliche sensible Anlagen ungefragt an eine vermeintliche Hilfsadresse zu schicken, würde ein neues Risiko schaffen. Geht eine Nachricht zum Vorfall ein, lässt sich ihre Echtheit über einen unabhängig recherchierten Kontakt prüfen. Drängt sie auf eine Zahlung oder die Eingabe von Zugangsdaten, sollte die zuständige Sicherheitsstelle eingeschaltet werden.

Intern braucht es eine Person, die neue Behördeninformationen sammelt und mit Datenschutzverantwortlichen bewertet. Dabei ist getrennt zu prüfen, ob eigene Pflichten des Unternehmens entstehen. Die angekündigte Berliner Anlaufstelle kann Orientierung bieten. Eine nachvollziehbare Zuordnung der eigenen Unterlagen und eine dokumentierte Entscheidung über erforderliche Warnungen bleiben jedoch konkrete Arbeit, die Unternehmen schon vor einer persönlichen Nachricht vorbereiten können.