notebooksbilliger.de-Datenleck: Auskunft und Löschung anfordern

Am Abend des 14. Oktober 2026 hat notebooksbilliger.de Kunden per E-Mail über einen Cyberangriff auf seine IT-Systeme informiert. Als betroffen nennt das Unternehmen E-Mail-Adressen. Dazu können Namen, Anschriften und die IBAN kommen, wenn du sie für eine Zahlung genutzt hast. Passwörter seien nach dem bisherigen Kenntnisstand nicht betroffen.

Nach einer Auskunft an ComputerBase vom 20. Oktober 2026 ist eine mittlere fünfstellige Zahl von Kunden betroffen. Das Unternehmen bestätigt dort, dass Unberechtigte auf Kundendaten zugegriffen haben. Ob und in welchem Umfang Daten abgeflossen sind, ist nach dieser Auskunft unklar. Der Brief behauptet deshalb keinen Diebstahl. Er fragt, ob deine Daten betroffen waren und was dazu bekannt ist.

Schreibe an notebooksbilliger.de AG, Wiedemannstraße 3, 31157 Sarstedt. Diese Anschrift nennt das Impressum des Unternehmens. Im Versandschritt bleibt als Zielland Deutschland ausgewählt, die beiden Adressblöcke bleiben bearbeitbar. Ob ein Versand möglich ist und welche Zustellart angeboten wird, entscheidet das Live-Angebot.

Der Brief verlangt nach Art. 15 DSGVO die Bestätigung, ob Daten zu dir verarbeitet werden, eine Kopie und die Pflichtangaben zu Zwecken, Kategorien, Empfängern, Speicherdauer und Herkunft. Zusätzlich bittet er um Angaben zum Vorfall, soweit das Unternehmen sie hat. Dazu kommt der Antrag auf Löschung nach Art. 17 DSGVO.

Die Löschbitte hat Grenzen. Unterlagen, die das Unternehmen aufgrund einer rechtlichen Verpflichtung behalten muss, etwa Rechnungen, fallen unter die Ausnahme in Art. 17 Abs. 3 DSGVO. Der Brief verlangt dafür keine Löschung, sondern eine Begründung je Datenkategorie. Eine Löschung kann außerdem bedeuten, dass du dein Kundenkonto nicht mehr nutzen kannst.

Für die Antwort gilt Art. 12 Abs. 3 DSGVO. Das Unternehmen muss dich unverzüglich und spätestens innerhalb eines Monats nach Eingang über die getroffenen Maßnahmen informieren. Eine Verlängerung um bis zu zwei weitere Monate ist möglich, wenn es dich innerhalb des ersten Monats mit Gründen darüber informiert.

Das Unternehmen warnt vor unberechtigten Abbuchungen und rät, die Kontoauszüge in den kommenden Monaten zu prüfen. Nach den Angaben der Deutschen Bundesbank kann eine SEPA-Basislastschrift innerhalb von acht Wochen nach der Belastung zurückgegeben werden. Bei einer Lastschrift ohne gültiges Mandat sind es 13 Monate. Das ist eine Regel des Zahlungsverkehrs und keine Rechtsberatung von uns. Frag im Zweifel deine Bank.

Eine handschriftliche Unterschrift ist für diesen Antrag nicht vorgeschrieben, und der Brief braucht keine Anlagen. Bei begründeten Zweifeln an deiner Identität darf das Unternehmen zusätzliche Angaben verlangen. Schick keine Ausweiskopie ungefragt mit. Lass dir sagen, was gebraucht wird und auf welchem Weg du es sicher übermittelst.

Bewahre eine Kopie des Briefs und den Versandnachweis auf. So kannst du später zeigen, wann du Auskunft und Löschung verlangt hast.

Nachtrag vom 4. November 2026: PŸUR. Auch Kunden des Kabel- und Glasfaseranbieters PŸUR, der Endkundenmarke der Tele Columbus AG, haben eine Benachrichtigung über einen Cyberangriff bekommen. Nach heise online vom 2. November 2026 ging sie Ende Oktober per E-Mail raus. Betroffen sind danach unter anderem Vertragsnummer, Name und Kontodaten. Der Vorfall soll sich zwischen Mitte September und Anfang Oktober 2026 ereignet haben. Tele Columbus gibt laut heise an, Bundesnetzagentur, BSI und die zuständigen Datenschutzbehörden informiert und Anzeige gegen Unbekannt erstattet zu haben.

Am 4. November 2026 fanden wir auf den Websites von PŸUR und Tele Columbus keine eigene Mitteilung zu dem Vorfall. Die Angaben oben stammen aus dem Bericht von heise. Wie viele Kunden betroffen sind und welche Daten genau, kann nur PŸUR sagen. Der Brief fragt danach und behauptet nichts.

Wenn du PŸUR-Kunde bist, ändere im Brief zuerst den Empfänger. Nimm das Unternehmen aus deinem Vertrag oder deiner letzten Rechnung. Fehlt dir ein anderer Hinweis, ist es die PYUR Vertrieb & Service GmbH, Messe-Allee 2, 04356 Leipzig. Die Datenschutzerklärung von PŸUR nennt sie in Abschnitt 1.1 als Verantwortliche, das Impressum nennt dieselbe Anschrift. Abschnitt 1.3 sagt, dass ein Konzernunternehmen, mit dem du einen eigenen Vertrag hast, selbst für deine Daten verantwortlich ist. Dann gehört dieses Unternehmen in den Brief. Trage Firma und Anschrift an zwei Stellen ein. Im Block Empfänger steht die Firma im Feld Name, dazu kommen Straße, Hausnummer, Postleitzahl und Ort. Oben im Brieftext ersetzt du die vier Zeilen der notebooksbilliger.de AG durch die Firma, die Straße mit Hausnummer, die Postleitzahl mit Ort und Deutschland, jeweils in einer eigenen Zeile.

Als Zweites ersetzt du im Brieftext den Absatz zum Vorfall. Er beginnt mit "am Abend des 14. Oktober 2026" und gilt für notebooksbilliger.de. Markiere seine zwei Sätze und schreib stattdessen: "Ende Oktober 2026 haben Sie Kundinnen und Kunden per E-Mail über einen Cyberangriff auf Ihre IT-Systeme informiert. Danach sind unter anderem Vertragsnummer, Name und Kontodaten betroffen. Der Vorfall soll sich zwischen Mitte September und Anfang Oktober 2026 ereignet haben." Hast du keine Benachrichtigung bekommen, beginne mit "Medienberichten zufolge haben Sie Ende Oktober 2026".

Der nächste Absatz spricht von Bestellungen, bei PŸUR hast du einen Vertrag. Ersetze im Brieftext "bestellt oder ein Kundenkonto geführt" durch "einen Vertrag geschlossen", "Meine Bestellungen liegen im Zeitraum" durch "Mein Vertrag besteht oder bestand im Zeitraum" und "Kunden- oder Bestellnummer" durch "Vertragsnummer". In den Formularfeldern über dem Brief trägst du trotz der Beschriftung zu notebooksbilliger.de deine E-Mail-Adresse bei PŸUR, den Vertragszeitraum und die Vertragsnummer ein.

Bist du noch Kunde, begrenzt der Vertrag die Löschung. PŸUR braucht Vertrags- und Abrechnungsdaten, solange er läuft, und muss Unterlagen behalten, für die eine Aufbewahrungspflicht gilt. Art. 17 Abs. 3 Buchst. b DSGVO nimmt diese Verarbeitung von der Löschung aus. Der Brief beantragt die Löschung deshalb nur, soweit weder ein Vertrag noch eine Aufbewahrungspflicht dagegen steht. Die Auskunft nach Art. 15 DSGVO bleibt auch bei laufendem Vertrag Teil des Briefs.

Alles andere im Brief gilt für PŸUR unverändert, auch die Monatsfrist nach Art. 12 Abs. 3 DSGVO. Die DSGVO gilt für die PYUR Vertrieb & Service GmbH nach Art. 3 Abs. 1, weil sie ihren Sitz in Leipzig hat.