Datenschutzverletzungen werden nicht immer vom Zuständigen für den Datenschutz oder dem Datenschutzbeauftragten zuerst entdeckt. Daher ist zunächst eine interne Meldung des Vorfalls notwendig, damit die zuständige Stelle die Situation beurteilen kann. Sofern ein meldepflichtiger Datenschutzvorfall vorliegt, ist die zuständige Aufsichtsbehörde (des jeweiligen Bundeslandes) zu fristgerecht informieren.