I. Vom Ratschlag zum Prüfmaßstab
2Wortmann rückt neben technischen Schutzmaßnahmen die Organisation und den Umgang mit Vorfällen in den Vordergrund. Das ist ein sinnvoller Ausgangspunkt, beantwortet aber noch nicht, welche Maßnahmen für eine bestimmte Kanzlei angemessen sind. Seine Empfehlungen sind deshalb als Orientierung zu lesen, nicht als rechtliches Gütesiegel für ihre bloße Übernahme.1
3Der gesetzliche Anknüpfungspunkt ist risikobezogen: Art. 32 Abs. 1 und 2 DSGVO verlangt geeignete Maßnahmen unter Berücksichtigung unter anderem von Technikstand, Kosten und Verarbeitungsrisiken. Wiederherstellbarkeit und regelmäßige Wirksamkeitsprüfung gehören ausdrücklich zum Maßstab. Daneben besteht die anwaltliche Verschwiegenheitspflicht; die datenschutzrechtliche und die berufsrechtliche Betrachtung sind nicht austauschbar.24
II. Die entscheidende Gegenprobe
4Für die Kanzleipraxis sollte jede organisatorische Zusage eine überprüfbare Gegenprobe erhalten. Wer kann nach einem Systemausfall die erforderlichen Akten wieder zugänglich machen? Welche Rechte bleiben einem ausgeschiedenen Mitarbeiter? Wer entscheidet über eine Eskalation, wenn die zuständige Person fehlt? Die Qualität eines Konzepts zeigt sich daran, ob solche Fragen anhand tatsächlicher Abläufe beantwortet werden können.
5Gegen eine überbordende Dokumentation spricht der begrenzte Ressourcenrahmen kleiner Einheiten. Daraus folgt jedoch nicht, dass eine ungetestete Sicherung einer nachweislich funktionierenden Wiederherstellung gleichsteht. Als redaktioneller Vorschlag bietet sich eine kurze, wiederkehrende Prüfung weniger kritischer Abläufe an, mit benanntem Verantwortlichen und festgehaltenem Ergebnis. Das ist keine gesetzlich vorgegebene Einheitscheckliste.
III. Vorfall und praktische Konsequenz
6Prävention ersetzt außerdem nicht die Reaktion auf eine Datenschutzverletzung. Art. 33 Abs. 1 DSGVO verlangt grundsätzlich eine unverzügliche Meldung möglichst binnen 72 Stunden ab Kenntnis, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Absatz 5 verlangt die Dokumentation. Nicht jedes technische Problem ist schon ein meldepflichtiger Vorfall. Praktisch sollten Wiederanlauf, rechtliche Bewertung und Entscheidung über eine Meldung als getrennte Aufgaben vorbereitet werden. Ob konkrete Versäumnisse einen Regressanspruch tragen, bleibt einer eigenständigen Prüfung von Pflichtverletzung, Schaden und Kausalität vorbehalten.3
Fußnoten
- Markus Wortmann, Cybersecurity für KMU – Wie real sind die Gefahren?, Anwaltsblatt online, 18.09.2026, Abschnitte zur Datensicherung, zu Notfallplänen und zur Unternehmensstrategie; bibliographischer Stand des Redaktionsberichts vom 19.09.2026. ↩
- Art. 32 Abs. 1, insbesondere Buchst. c und d, sowie Abs. 2 DSGVO, Verordnung (EU) 2016/679, ABl. L 119 vom 04.05.2016, S. 1; amtlicher Normtext. ↩
- Art. 33 Abs. 1 und 5 DSGVO; unverzügliche Meldung möglichst binnen 72 Stunden, Risikovorbehalt und Dokumentation. ↩
- § 43a Abs. 2 BRAO; anwaltliche Verschwiegenheitspflicht. ↩
Quelle und Einordnung
Quellenbezogene Praxiseinordnung zum Beitrag von Markus Wortmann und zu den bezeichneten Normen, Stand 19.09.2026. Maßgeblich für das Datum des Ausgangsbeitrags ist die in der Tagesrecherche dokumentierte sichtbare Datumszeile; abweichende Abrufmetadaten werden nicht als zweites Veröffentlichungsdatum behandelt. Keine eigene Produktprüfung und keine Aussage zur Versicherungsdeckung oder zu konkreten NIS2-Pflichten. Kommentarvolltexte zu Art. 32/33 DSGVO und § 43a Abs. 2 BRAO wurden nicht selbst ausgewertet.