1.  Jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten oder IT-Systemen angreift, gilt als Sicherheitsvorfall. Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten unrechtmäßig verändert werden, verloren gehen oder unbefugt eingesehen werden können.
  2.  Tritt ein Datenschutzverstoß ein, muss der datenschutzrechtlich Verantwortliche prüfen, welche Daten betroffen sind und welche Folgen für die betroffenen Personen entstehen können. Jeder Datenschutzvorfall muss dokumentiert werden, ebenso die Bewertung und die ergriffenen Maßnahmen.
  3.  Besteht ein Risiko für die Rechte und Freiheiten der betroffenen Personen, muss der Verantwortliche den Vorfall binnen 72 Stunden der Aufsichtsbehörde melden. Bei einem hohen Risiko müssen auch die betroffenen Personen informiert werden, um sich vor möglichen Folgen wie Betrugsversuchen oder Identitätsdiebstahl schützen zu können. Auftragsverarbeiter müssen den Auftraggeber informieren, damit dieser seinen Pflichten nachkommen kann.
  4.  Neben den datenschutzrechtlichen Vorgaben können je nach Branche und Art des Vorfalls weitere Meldepflichten bestehen, etwa für Finanzdienstleister oder aufgrund der NIS2Richtlinie. Wer den Vorfall verursacht hat, ist aus rechtlicher Sicht zunächst unerheblich. Verantwortlich im datenschutzrechtlichen Sinn ist stets die Stelle, die über die Datenverarbeitung entscheidet.