Was das Land sich selbst schuldete:
Pflichten, Einstufung und Haftung im Berliner Fall

01Kapitel 1 von 4

Die Pflichten, die es schon gab

Welche Pflicht zur Informationssicherheit galt für Ihr Haus am Tag vor dem letzten Vorfall, und wer könnte sie aus dem Stand nennen, mit Datum und Fundstelle?

Die Serie von ProSec Global hat beschrieben, welche Entscheidungen der Fall beim Land Berlin der Führung abverlangt.²⁹ Dieser Beitrag nimmt die Sicht der Governance: welche Pflichten galten, welche nach der Beleglage mangelhaft erfüllt waren, und was daraus für die Haftung und für Ihr eigenes Haus folgt. Jede Aussage trägt ihre Belegmarke. Er ist keine Rechtsberatung.

Ein Gesetz, eine Leitlinie, eine Strategie

Drei amtliche Texte, alle älter als der Vorfall, ergeben zusammen die Pflicht, die am 7. August 2026 galt:

Elf Monate vor dem Abfluss lag damit das Zielbild vor, in dem ein SOC den Verkehr des Landesnetzes beobachtet. Was davon am 7. August umgesetzt und dokumentiert war, sagt keine der abgerufenen Quellen. Genau das ist die erste Frage der Governance an jeden Fall: nicht, ob es eine Regel gab, sondern welchen Stand der Nachweis am Tag davor hatte.

Nachweis: Gesetz, Leitlinie und Strategie mit Datum; der Umsetzungsstand des ISMS je Behörde am Tag vor dem Vorfall.

Berlin belegtBelege 1, 2, 3

NIS2 gilt hier nicht, und genau das ist der Punkt

Unsere Einordnung: Die Melde- und Registrierungspflichten des BSI-Gesetzes treffen eine Landesverwaltung nicht. § 29 erfasst die Bundesverwaltung, und die Auffangregel des § 28 verlangt, dass eine Einrichtung anderen entgeltlich Waren oder Dienstleistungen anbietet, was auf zwei Senatsverwaltungen in ihrer Verwaltungstätigkeit nicht zutrifft.⁵ Für ein Unternehmen im selben Fall liefen dagegen die Fristen des § 32.⁶ Die Strategie des Landes leitet aus Art. 7 der Richtlinie ab, dass jedes Land seine eigene Strategie erlässt.³

Ein Gastkommentar vom 18. September beschreibt, was daraus folgt: Kommunen sind nicht in NIS2 einbezogen, jedes Land bestimmt die wichtigen Einrichtungen seiner Verwaltung selbst, und das Rundschreiben der Senatskanzlei vom 30. Mai 2025 regelt, wer wem meldet, nicht, was eine Behörde tun muss, damit es nichts zu melden gibt. Für den Betreiber der Wasserversorgung gilt eine nachweispflichtige Angriffserkennung; für die Behörde, in deren Ablage seine Risikoanalyse lag, gilt sie nicht. Der Autor nennt das die KRITIS-Lücke.²⁶ Das ist eine Meinung, kein amtlicher Befund, und sie trifft den Kern: Der Maßstab für Berlin ist das Landesrecht, und das verlangt seit Jahren, was NIS2 für Unternehmen erst 2025 verbindlich machte, nämlich ein ISMS, Meldewege und die Verantwortung der Leitung.

Für Ihr Haus heißt das: Bevor Sie Maßnahmen bewerten, klären Sie den Regelkreis. Landesrecht, BSI-Gesetz, DORA oder eine Aufsicht des Sektors, jeweils mit den Fristen, die daraus folgen.

Nachweis: Ein Verzeichnis der Regelkreise Ihres Hauses mit Rechtsgrundlage, Frist und der Stelle, die meldet.

EinordnungBelege 3, 5, 6, 26 Der Gastkommentar (26) wird als behauptet geführt.

Was ein ISMS nach Grundschutz bewirkt hätte

Ein ISMS ist kein Ordner, sondern ein Prozess:²⁷²⁸

1. 1Inventar der Informationen und Werte
2. 2Schutzbedarf je Verfahren
3. 3Maßnahmen je Baustein
4. 4Nachweis der Umsetzung
5. 5Wiedervorlage

Die Leitlinie verlangt dafür Sicherheitskonzepte je Behörde und ein Informationssicherheitsmanagement-Team, wo die Behörde groß ist.² Die vier Stellen, an denen dieser Fall groß wurde, stehen in genau den Bausteinen, die ein solches ISMS führt: Identitäts- und Berechtigungsmanagement, Protokollierung, Detektion, Active Directory und Windows-Clients.²⁷ Das zweite Kapitel ordnet jede Stelle dem Control und dem Baustein zu.

Wir sagen nicht, dass ein ISMS den Klick auf die Prüfseite verhindert hätte. Wir sagen: Ein ISMS hätte die vier Stellen als Pflichtmaßnahmen geführt, ihren Stand nachweisbar gemacht und die Lücke vor dem Vorfall sichtbar werden lassen, im Bericht des Landesbeauftragten für Informationssicherheit, der nach der Leitlinie regelmäßig über den Stand berichtet.² Am 8. Juli 2026, einen Monat vor dem Abfluss, vereinbarten BSI und Land eine Kooperation über acht Handlungsfelder mit dem Satz, die Cybersicherheitslage sei angespannt.¹⁵ Welche Felder bis August umgesetzt waren, ist nicht belegt.

Nachweis: Das Sicherheitskonzept der betroffenen Ablage, der letzte Bericht zum Stand der Informationssicherheit, der Stand der acht Handlungsfelder.

EinordnungBelege 2, 15, 27, 28

02Kapitel 2 von 4

Vier Versäumnisse, vier Controls

Sie können jedes Versäumnis dieses Falls einer Maßnahme zuordnen, die es in Ihrem Haus gibt oder fehlt, mit dem Control der ISO 27001 und dem Baustein des Grundschutzes dahinter.

Die vier Stellen, an denen der Fall groß wurde, stehen in der Beschreibung des BSI zur Kampagne, in Berichten zum Berliner Fall und in Warnungen zu früheren Fällen der Gruppe. Je Stelle steht hier zuerst, was die Norm verlangt, dann der Beleg mit seiner Marke, dann die Wirkung, die die Maßnahme gehabt hätte. Die Zuordnung ist unsere Einordnung, keine Rechtsberatung.

EinordnungDie Zuordnung zu Controls und Bausteinen ist unsere Lesart auf Grundlage der Belege 27 und 28.

1 Mangelhaftes Rechte- und Rollenkonzept

Die Norm Zugangssteuerung, Zugangsrechte je Aufgabe und eine eigene Behandlung privilegierter Rechte (ISO/IEC 27001, Anhang A 5.15, 5.18 und 8.2); der Grundschutz führt das im Baustein ORP.4 Identitäts- und Berechtigungsmanagement und für den Verzeichnisdienst in APP.2.2.²⁷²⁸ In einem Satz: Jedes Konto liest nur, was seine Aufgabe braucht, jedes Recht hat einen Eigentümer und eine Wiedervorlage.

Der Beleg Das BSI beschreibt für die Kampagne, dass die Angreifer Domänen, Rechtevergaben, das Active Directory, Server und Backup-Systeme ausspähen, um den Wert des Systems für weitere Schritte zu bestimmen.¹⁴ Microsoft nennt die Abfragen im Einzelnen: Domänenvertrauensstellungen, Mitglieder der Domänen-Admins, Computer- und Benutzerobjekte.¹⁶ Für Berlin selbst nennt keine Quelle diesen Schritt; wir lesen ihn aus dem Muster der Kampagne. Warum der Verzeichnisdienst das hergibt, führt der Beitrag von ProSec Networks aus; in welchem Protokoll die Abfragen stünden, der Beitrag von ProSec Defense.

Die Wirkung Ein wirksames Rechtekonzept hätte die Erkundung auf die wenigen Konten begrenzt, die solche Abfragen brauchen, und die Abfrage der Domänen-Admins zu einem Ereignis gemacht, das jemand quittiert. Ist es mangelhaft umgesetzt, ist jedes Konto ein Leser, und der erste Klick öffnet die ganze Karte.

Nachweis: Ein Rechtekonzept mit Eigentümer, das Datum der letzten Wiedervorlage und die Liste der Konten, die mehr lesen dürfen, als ihre Aufgabe verlangt.

KampagneISO 27001 A 5.15, 5.18, 8.2 Grundschutz ORP.4, APP.2.2 Belege 14, 16, 27, 28

2 Passwörter im Klartext in gemeinsamen Ablagen

Die Norm Authentisierungsinformationen werden geschützt gespeichert und verwaltet (Anhang A 5.17); der Grundschutz fordert es in ORP.4.²⁷²⁸

Der Beleg Laut heise wurden bei den Berliner Behörden Passwortlisten im Klartext geführt; die Senatsverwaltung bestätigte am 1. September, dass auch Passwörter abgeflossen sind, und in der Nacht zum 6. September veröffentlichten die Täter ein weiteres Paket, unter anderem mit Zugangsdaten.¹⁹ Das Land selbst nennt als Quelle des Abflusses überwiegend unstrukturierte Daten aus gemeinsam genutzten und persönlichen Verzeichnissen.¹⁸

Die Wirkung Ein Passwortmanager mit Rechtekonzept macht aus dem Lesezugriff auf eine Ablage keinen Zugriff auf Konten. Ohne ihn gilt nach dem Leitfaden des BSI nach einem Vorfall jede auf betroffenen Systemen gespeicherte Zugangsdatei als kompromittiert, ausdrücklich auch die Passwörter für Fachverfahren.¹³ In Berlin hieß das laut heise, dass die Beschäftigten der beiden Verwaltungen vorerst nicht aus dem Homeoffice arbeiten konnten.¹⁹ Die Regel, die das verhindert, ist eine Zeile: Zugangsdaten werden nur im dafür vorgesehenen Passwortmanager gespeichert. Sie legt die Leitung fest, nicht die IT.

Nachweis: Die Regel mit Datum, ein Suchlauf über die Ablagen nach Zugangsdaten mit Ergebnis, die Liste der seit dem Vorfall gewechselten Konten.

Berlin belegtISO 27001 A 5.17 Grundschutz ORP.4 Belege 13, 18, 19, 27, 28

3 Mangelhafte Protokollierung, die den Einstieg nicht zeigte

Die Norm Protokollierung und Überwachung (Anhang A 8.15 und 8.16); der Grundschutz fordert es in OPS.1.1.5 Protokollierung und DER.1 Detektion von sicherheitsrelevanten Ereignissen.²⁷²⁸ Der Leitfaden des BSI nennt die Quellen, auf die es ankommt: E-Mail-Server, HTTP-Proxy, Firewall, DNS und die Windows-Ereignisse, dazu die Frage, wie weit sie zurückreichen.¹³ Die Strategie des Landes beschreibt ein SOC, das die Infrastruktur kontinuierlich überwacht.³

Der Beleg Laut heise begann der Angriff lange vor dem 7. August, der Zeitpunkt des Eindringens ist offen, und seit dem 1. September werden alle 12.000 Systeme des Landes rund um die Uhr geprüft.¹⁹ Ein Meinungsbeitrag bei heise nennt als begünstigende Umstände ein über Jahrzehnte gewachsenes Durcheinander an Systemen, einen nur nebenamtlich besetzten CDO-Posten und ein Dienstleistungszentrum, dem Aufgaben, aber nicht die Finanzierung zugewiesen wurden.²⁰ Die AG KRITIS behauptet, 2024 seien die IT-Ausgaben um 50 Prozent gekürzt und zwei Millionen Euro für Angriffs- und Einbruchserkennung gestoppt worden; Haushaltsunterlagen dazu haben wir nicht abgerufen, die Zahl bleibt behauptet.²⁴ Was für die Kampagne beschrieben ist: Befehle, die über die nachgeladene Python-Umgebung laufen, werden unter Umständen nicht protokolliert.¹⁴

Die Wirkung Protokolle mit Rückblick hätten den Zeitpunkt des Eindringens benannt und die Prüfung von 12.000 Systemen auf die betroffenen begrenzt. Welche Protokolle den Einstieg gezeigt hätten und welche Einstellung dafür nötig ist, steht Schritt für Schritt im Beitrag von ProSec Defense.

Nachweis: Die Liste der Protokollquellen, die Aufbewahrungsfrist je Quelle, die Stelle, die sie liest, und der Haushaltsposten dafür.

KampagneISO 27001 A 8.15, 8.16 Grundschutz OPS.1.1.5, DER.1 Belege 3, 13, 14, 19, 20, 24, 27, 28 Meinungsbeitrag (20) und Verband (24) als behauptet geführt.

4 Fernzugang ohne zweiten Faktor

Die Norm Sichere Authentisierung (Anhang A 8.5); der Grundschutz fordert sie in ORP.4.²⁷²⁸

Der Beleg Der Beleg stammt aus früheren Fällen: Die CISA beschreibt, dass sich Rhysida-Akteure mit kompromittierten, gültigen Zugangsdaten an VPN-Zugängen anmeldeten, begünstigt dadurch, dass keine Mehrfaktor-Authentisierung voreingestellt war.¹⁷ Für Berlin nennt keine Quelle diesen Weg; der Einstieg lief nach BSI und heise über die gefälschte Prüfseite.¹⁴¹⁹

Die Wirkung Die Wirkung liegt hier auf dem Rückweg: Seit dem 6. September stehen Zugangsdaten des Landes im Netz.¹⁹ Ein zweiter Faktor ist die Maßnahme, die ein bekanntes Passwort wertlos macht, und die CISA nennt ihn als erste Sofortmaßnahme für alle Dienste, besonders VPN und Webmail.¹⁷

Nachweis: Die Liste der von außen erreichbaren Dienste Ihres Hauses mit dem Stand des zweiten Faktors je Dienst.

Frühere FälleISO 27001 A 8.5 Grundschutz ORP.4 Belege 14, 17, 19, 27, 28

03Kapitel 3 von 4

Eingestufte Unterlagen in offenen Ablagen

Wo liegt bei Ihnen die Unterlage, die im Verteidigungsfall nicht in fremde Hände gehören darf, und wer kann sie heute lesen?

Für den überwiegenden Teil der abgeflossenen Daten gilt das Datenschutzrecht. Für einen Teil gilt mehr: die Verschlusssachenanweisung des Landes. Dieses Kapitel sagt, was veröffentlicht wurde, was die Anweisung verlangt, und welche Frage die Quellen offenlassen. Keine Rechtsberatung.

Was veröffentlicht wurde

Das Land beschreibt den Abfluss als überwiegend unstrukturierte Daten aus gemeinsam genutzten und persönlichen Verzeichnissen mit personenbezogenen Daten von Beschäftigten, Bürgerinnen, Bürgern und Unternehmen.¹⁸ Nach dpa, rbb24 und Tagesspiegel enthielt das veröffentlichte Paket zwei sehr verschiedene Arten von Unterlagen:²²

Die Berliner Wasserbetriebe nehmen den Vorfall nach eigener Aussage sehr ernst, die Senatskanzlei antwortete bis Redaktionsschluss nicht, und der Chaos Computer Club sieht eine mittelbare, mittelfristige Gefahr.²³

Am 7. September erklärte der Digitalstaatssekretär im Innenausschuss des Abgeordnetenhauses laut Tagesspiegel, die gestohlenen Daten seien in der Stufe VS-NfD eingestuft gewesen, der niedrigsten von vier Geheimhaltungsstufen; es seien keine Daten mit erhöhter Sicherheitsrelevanz betroffen und nach derzeitigem Stand keine, die für die nationale Sicherheit wichtig sind. Die Sichtung dauere noch Wochen.²¹ Die AG KRITIS liest dieselben Zivilschutzdaten als Informationen, deren Folgen für die betroffenen Einrichtungen über Jahre bestehen bleiben.²⁴

Nachweis: Ein Verzeichnis der eingestuften Unterlagen je Ablage, mit Grad und Eigentümer.

Berlin belegtBelege 18, 21, 22, 23, 24 Die Einschätzung der AG KRITIS (24) als behauptet geführt.

Was die Verschlusssachenanweisung verlangt

Die Verschlusssachenanweisung des Landes vom 24. April 2024 kennt vier Geheimhaltungsgrade. VS-NUR FÜR DEN DIENSTGEBRAUCH ist der niedrigste und gilt, wenn die Kenntnisnahme durch Unbefugte für die Interessen des Bundes oder eines Landes nachteilig sein kann; der Grad bleibt auch bestehen, wenn die Verschlusssache unrechtmäßig bekannt geworden ist.⁴ Für alle Grade gilt der Grundsatz Kenntnis nur, wenn nötig: Keine Person darf über eine Verschlusssache umfassender oder eher unterrichtet werden, als ihre Aufgabe es verlangt.⁴

Für VS-NfD ist die Anweisung großzügig und streng zugleich.

Großzügig Solche Unterlagen dürfen in offenen Registraturen verwaltet und dauerhaft aufbewahrt werden, ein Einzelnachweis ist nicht nötig, allerdings unter Beachtung von Kenntnis nur, wenn nötig.⁴

Streng Die Verarbeitung von Verschlusssachen ist nur mit VS-IT zulässig, die dafür freigegeben ist. Voraussetzung der Freigabe ist die Einhaltung der BSI-Standards, für VS-NfD insbesondere eine ISO-27001-Zertifizierung auf Basis des IT-Grundschutzes einschließlich der Anforderungen des Geheimschutzbausteins; die Dienststellenleitung erteilt die Freigabe, nachdem die Geheimschutzbeauftragten die Umsetzung geprüft haben.⁴

Niedrigste Stufe heißt also nicht keine Stufe. Sie heißt: Ablage mit Zugriffsbegrenzung auf einem System, das jemand geprüft und freigegeben hat.

Nachweis: Die Freigabe der VS-IT mit Datum und die Liste der Zugriffsberechtigten je Ablage.

Berlin belegtBeleg 4

Die Frage, die keine Quelle beantwortet

Unsere Einordnung: Lagen Unterlagen mit Einstufung zu Zivilschutz und Wasserversorgung in denselben gemeinsam genutzten Verzeichnissen, aus denen der Abfluss kam, dann stellen sich zwei Fragen, die keine abgerufene Quelle beantwortet.

1. War der Zugriff auf die Personen beschränkt, die ihn für ihre Aufgabe brauchten?
2. War die Ablage als VS-IT freigegeben, mit dem Nachweis nach BSI-Standards, den die Anweisung verlangt?

Ein Sammelbericht zitiert einen Protokollfund vom 24. Februar 2026, wonach digitaler Geheimschutz im strengen Sinne in der Berliner Verwaltung nicht möglich sei, weil die dafür vorgesehene Infrastruktur nicht umgesetzt wurde; die Primärquelle haben wir nicht abgerufen, der Befund bleibt behauptet.²⁵

Die Wirkung einer getrennten, freigegebenen Ablage wäre begrenzt gewesen und deshalb so wertvoll: Der Abfluss hätte Verwaltungsdaten getroffen, nicht die Objektlisten für den Verteidigungsfall. Für ein Unternehmen gilt dieselbe Logik ohne Verschlusssachenanweisung: Verträge mit Vertraulichkeitsklauseln, Notfallpläne und Zugangskonzepte gehören in eine Ablage mit eigenem Zugriffskreis, und wer sie nach einem Abfluss als bekannt behandeln muss, weiß dann sofort, welche.

Nachweis: Die Einstufungsentscheidung je Unterlage, die Ablage, in der sie liegt, und der Zugriffskreis, in einer Liste.

EinordnungBeleg 25, als behauptet geführt.

Was das Bundesamt schuldet und was es tat

Nach § 3 des BSI-Gesetzes unterstützt das Bundesamt die zuständigen Stellen der Länder in Fragen der Gefahrenabwehr auf deren Ersuchen und berät, informiert und warnt die Länder wie die Bundesverwaltung.⁷ Eine Pflicht, von sich aus in einer Landesverwaltung tätig zu werden, steht dort nicht. Belegt ist die Zeitfolge:

Unsere Einordnung: Ob und wann das Land das Bundesamt um Unterstützung ersucht hat, ist nicht belegt; welche der acht Handlungsfelder bis August umgesetzt waren, ebenso wenig. Eine Pflichtverletzung des Bundesamts lässt sich aus den Quellen nicht ableiten, belegt ist nur die Zeitfolge. Die Frage, die daraus für jedes Haus folgt, ist eine andere: Wer in Ihrem Haus darf ein Ersuchen an eine Behörde stellen, und liegt der Kontakt vor dem Vorfall bereit? Welche Warnungen zu dieser Gruppe seit 2021 vorlagen, führt der Beitrag von ProSec Intelligence aus.

Nachweis: Das Datum des Ersuchens an das Bundesamt, der Stand der acht Handlungsfelder, die Kontaktstelle mit Vertretung.

Berlin belegtBelege 7, 14, 15, 16, 18, 19, 21, 22

04Kapitel 4 von 4

Was ein Kontrollverlust kostet: Haftung, Rollen und der Nachweis

Sie wissen, was ein Kontrollverlust je betroffener Person kostet, wer in Ihrem Haus dafür geradesteht und welchen Nachweis Sie am Tag danach vorlegen.

Die Rechnung dieses Kapitels ist keine Rechtsberatung. Sie zeigt, wie Gerichte den Schaden bemessen, den ein Abfluss auslöst, welche Rollen das Landesrecht vorsieht und welche Fristen liefen.

Die Haftung beginnt mit dem Kontrollverlust

Jede betroffene Person kann nach Art. 82 DSGVO Ersatz verlangen. Richtet sich der Anspruch gegen eine Behörde, ordnet ihn das Finanzgericht Berlin-Brandenburg materiell als Amtshaftung ein; zuständig sind die Zivilgerichte, weil die Durchsetzung gegen staatliche Stellen den Regeln des Mitgliedstaats für Amtspflichtverletzungen folgt.⁹ Nach Art. 34 des Grundgesetzes trifft die Verantwortung den Staat oder die Körperschaft, in deren Dienst die handelnde Person steht; der Rückgriff auf sie bleibt für Vorsatz und schweres Verschulden vorbehalten, im Wortlaut der Vorschrift.⁸ Der Bundesgerichtshof hat am 18. November 2024 entschieden, dass bereits der bloße und kurzzeitige Verlust der Kontrolle über eigene Daten ein immaterieller Schaden sein kann; ein nachgewiesener Missbrauch ist nicht nötig, und als Größenordnung nannte der Senat 100 Euro.¹⁰

Die AG KRITIS wirft dem Land vor, Risiken wissentlich in Kauf genommen zu haben; das ist die Bewertung eines Verbands, kein Urteil, und für den Rückgriff auf Beschäftigte zählt allein der Maßstab des Grundgesetzes.²⁴⁸ Der Leitfaden des BSI ergänzt eine Pflicht, die vor jeder Klage liegt: Wer eine Cyber-Versicherung hat, informiert sie frühzeitig, sonst zahlt sie nicht.¹³

Nachweis: Die Zahl der Betroffenen je Datenkategorie, das Datum der Information an die Versicherung, die Rückstellung.

Berlin belegtBelege 8, 9, 10, 13, 24 Das Rechenbeispiel ist unsere Einordnung; der Vorwurf der AG KRITIS (24) als behauptet geführt.

Die Rollen, die es gibt, und die Frage, wer gehandelt hat

Das Landesrecht kennt die Rollen:¹²

Was über das Handeln belegt ist, ist wenig und stammt aus Kommentaren. Nach einem Gastkommentar bemerkte das ITDZ ungewöhnliche Aktivitäten und schlug Alarm, obwohl es vermutlich nicht zuständig war; erst dadurch begannen forensische Untersuchungen. Der Digitalstaatssekretär sagte im Innenausschuss, was tatsächlich geleakt wurde, wisse man positiv erst seit dem 4. September um 15:35 Uhr.²⁶ Der Meinungsbeitrag bei heise nennt einen nebenamtlich besetzten CDO-Posten und ein Dienstleistungszentrum ohne Finanzierung seiner Aufgaben.²⁰ Unsere Einordnung: Die Rollen waren definiert. Die Leitlinie verlangt von den Behördenleitungen ausreichend finanzielle und personelle Ressourcen.² Ob das erfüllt war, ist die Frage an Haushalt und Innenausschuss, nicht an die Technik.

Nachweis: Ein Organigramm mit hauptamtlicher Informationssicherheit und Vortragsrecht, der Haushaltsposten für Detektion, das Protokoll der letzten Eskalation.

Berlin belegtBelege 1, 2, 20, 26 Gastkommentar (26) und Meinungsbeitrag (20) als behauptet geführt.

Die Fristen, die liefen

Bei einem Abfluss personenbezogener Daten ist die Meldung an die Aufsicht nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden abzugeben.¹¹ Die Berliner Beauftragte für Datenschutz sagt ausdrücklich, dass ein Cyberangriff mit Abgriff personenbezogener Daten ein solcher Vorfall ist, und nennt die Inhalte nach § 51 des Berliner Datenschutzgesetzes.¹²

Nachweis: Tag und Uhrzeit der Kenntnis, die Meldung mit Eingangsbestätigung, die Liste der informierten Betroffenen, das Aktenzeichen der Anzeige.

Berlin belegtBelege 11, 12, 13, 18, 19