Datenschutzverletzungen: Was Unternehmen wissen müssen, wenn personenbezogene Daten in falsche Hände geraten
Es ist Freitagnachmittag. Eine Mitarbeiterin möchte ihrem Abteilungsleiter eine Datei zur Freigabe schicken. Im E-Mail-Programm tippt sie die ersten Buchstaben seines Namens, bestätigt den vorgeschlagenen Empfänger und versendet die Nachricht. Wenig später meldet sich eine Mitarbeiterin eines ehemaligen Lieferanten: Die E-Mail sei offenbar nicht für sie bestimmt gewesen. Im Anhang befanden sich Name, Funktion, Telefonnummer und E-Mail-Adresse eines Kollegen.
Ein Klassiker – und zugleich der Einstieg in ein Thema, das für viele Unternehmen abstrakt bleibt, bis es sie selbst trifft: die Datenschutzverletzung. Der folgende Beitrag zeigt, wann überhaupt eine vorliegt, welche Pflichten daraus entstehen und was in den ersten Stunden nach der Entdeckung zählt.
Der in der DSGVO verwendete Begriff lautet vollständig „Verletzung des Schutzes personenbezogener Daten“. Art. 4 Nr. 12 DSGVO definiert ihn als eine Verletzung der Sicherheit, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt – unabhängig davon, ob die Daten übermittelt, gespeichert oder anderweitig verarbeitet wurden. Damit ist der Begriff deutlich weiter gefasst, als viele annehmen: Nicht nur der spektakuläre Hackerangriff fällt darunter, sondern auch die versehentliche Löschung einer Datei oder ein vorübergehender Systemausfall.
Für die Erstprüfung reicht im Grunde eine einzige Frage: Wurden personenbezogene Daten unbefugt offengelegt, sind sie verloren gegangen, wurden sie unbeabsichtigt verändert oder gelöscht, oder hat jemand Unbefugtes Zugriff erhalten? Sobald eine dieser Fragen zu bejahen ist, liegt grundsätzlich eine Datenschutzverletzung vor – ob sie auch gemeldet werden muss, ist eine davon zu trennende, zweite Frage.
Wichtig ist dabei die Abgrenzung: Nicht jeder DSGVO-Verstoß ist automatisch eine Datenschutzverletzung. Eine unvollständige Datenschutzinformation etwa verstößt gegen Art. 13 oder 14 DSGVO, betrifft aber nicht zwangsläufig die Sicherheit von Daten. Und auch nicht jeder IT-Sicherheitsvorfall ist relevant – fällt ein System aus, das ausschließlich anonyme Maschinendaten verarbeitet, ist zwar die Informationssicherheit, nicht aber der Datenschutz betroffen.
Vertraulichkeit, Integrität, Verfügbarkeit
Der Europäische Datenschutzausschuss unterscheidet drei Grundtypen von Datenschutzverletzungen, die sich in der Praxis auch überschneiden können. Am bekanntesten ist die Verletzung der Vertraulichkeit, wenn Daten unbefugten Personen zugänglich werden – etwa durch eine falsch adressierte E-Mail, einen offenen Verteiler im CC-Feld statt BCC, einen verlorenen USB-Stick oder einen erfolgreichen Phishing-Angriff. Weniger im Bewusstsein ist die Verletzung der Integrität, also die unbefugte oder unbeabsichtigte Veränderung von Daten: eine falsch geänderte Bankverbindung kann zu einer Fehlüberweisung führen, ein fehlerhafter Datenimport zur Verwechslung von Kundendaten. Und schließlich die Verletzung der Verfügbarkeit, wenn Daten nicht mehr oder nicht rechtzeitig genutzt werden können – etwa durch Ransomware oder eine versehentliche Löschung ohne funktionierendes Backup. Entscheidend ist hier nicht allein, ob die Daten später wiederhergestellt werden können, sondern ob die Verfügbarkeit tatsächlich beeinträchtigt war und welche Folgen dies für die betroffenen Personen haben konnte.
Datenschutzverletzungen können die Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten betreffen – häufig sind auch mehrere Bereiche gleichzeitig betroffen.
Die ersten Stunden entscheiden
Nach Bekanntwerden eines Vorfalls laufen mehrere Aufgaben parallel: Die Verletzung muss gestoppt und ihre Folgen begrenzt werden – etwa durch Sperren eines Kontos, Widerruf von Zugangstoken oder Kontaktaufnahme mit einem falschen Empfänger. Gleichzeitig muss der Sachverhalt von Anfang an mit genauen Zeitangaben dokumentiert werden, denn genau hier beginnt die berühmte 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO. Sie läuft nicht zwingend ab jedem unbestätigten technischen Hinweis, sondern erst, wenn mit einem vernünftigen Grad an Gewissheit feststeht, dass ein Sicherheitsvorfall eingetreten ist und personenbezogene Daten betroffen sind. Interne Organisationsmängel – ein unbeaufsichtigtes Funktionspostfach, eine fehlende Wochenendvertretung – verschieben diesen Fristbeginn dagegen nicht. Die Frist läuft auch an Wochenenden und Feiertagen, und ist die Prüfung noch nicht abgeschlossen, ist eine vorläufige Meldung mit Nachreichung der fehlenden Angaben (Art. 33 Abs. 4 DSGVO) besser als eine verspätete, vermeintlich perfekte.
Wann muss gemeldet, wann muss benachrichtigt werden?
Nicht jede Datenschutzverletzung landet bei der Aufsichtsbehörde. Die DSGVO kennt hier ein dreistufiges System: Jede Verletzung muss intern dokumentiert werden – unabhängig vom Risiko. Besteht mehr als ein geringes Risiko für die Rechte und Freiheiten der Betroffenen, kommt die Meldung an die Aufsichtsbehörde hinzu. Und nur bei einem voraussichtlich hohen Risiko müssen zusätzlich auch die betroffenen Personen selbst benachrichtigt werden. Für diese Einstufung zählt ausdrücklich nicht der mögliche Schaden für das Unternehmen – Umsatzeinbußen oder Reputationsschäden spielen bei der rechtlichen Bewertung keine Rolle –, sondern allein die möglichen Folgen für die betroffenen Menschen: von Identitätsdiebstahl über finanzielle Verluste bis zu Diskriminierung oder psychischen Belastungen.
Bei der Risikoeinschätzung spielen mehrere Faktoren zusammen: die Sensibilität der Daten, ihre Kombinierbarkeit (eine einzelne Kontaktdaten-Zeile ist unkritischer als die Kombination aus Name, Geburtsdatum, Kontonummer und Ausweiskopie), die Anzahl der Betroffenen, wer die Daten erhalten hat und ob eine glaubhafte Löschbestätigung vorliegt. Eine solche Bestätigung kann das Risiko zwar erheblich senken – sie beseitigt die Datenschutzverletzung aber nicht rückwirkend und ist kein unumstößlicher Beweis dafür, dass keine Kopie angefertigt wurde.
Ein Punkt, der in der Praxis häufig missverstanden wird: Eine per TLS transportverschlüsselte E-Mail ist bei einem Fehlversand keineswegs automatisch unproblematisch. Die Transportverschlüsselung schützt nur den Übertragungsweg, nicht aber davor, dass der falsche Empfänger die Nachricht nach dem Eingang lesen kann. Wirklich risikomindernd wirkt erst eine echte Inhaltsverschlüsselung oder ein zugriffsgeschützter Link anstelle einer offenen Anlage.
Auch Dienstleister sind in der Pflicht
Datenschutzverletzungen ereignen sich nicht selten bei externen Dienstleistern – bei Cloud-Anbietern, Lohnabrechnungsdienstleistern oder IT-Support. Nach Art. 33 Abs. 2 DSGVO muss der Auftragsverarbeiter den Verantwortlichen unverzüglich informieren, sobald er von einem Vorfall Kenntnis erlangt – ohne eigenen Risikofilter und ohne die Meldung mit der Begründung zurückzuhalten, der Vorfall sei „nicht schlimm genug“. Die Entscheidung über Meldung und Benachrichtigung bleibt beim Verantwortlichen selbst, der sich bei einem Vorfall, der mehrere Kunden eines Dienstleisters betrifft, nicht blind auf eine „Sammelmeldung“ des Anbieters verlassen sollte.
Was die Rechtsprechung klargestellt hat
Der Europäische Gerichtshof hat die Praxis in den vergangenen zwei Jahren in mehreren Verfahren konkretisiert. In der Rechtssache C-340/21 (Urteil vom 14.12.2023) – ein Hackerangriff auf eine bulgarische Steuerbehörde – stellte er klar, dass eine eingetretene Datenschutzverletzung allein noch nicht beweist, dass die Sicherheitsmaßnahmen ungeeignet waren. Das Unternehmen muss aber darlegen und nachweisen können, warum seine Maßnahmen angemessen waren. In der Rechtssache C-687/21 (Urteil vom 25.01.2024, „MediaMarktSaturn“) ging es um Kauf- und Finanzierungsunterlagen, die versehentlich einem falschen Kunden ausgehändigt und wenige Minuten später zurückgegeben wurden. Der EuGH entschied hier zugunsten des Unternehmens: Ein rein hypothetisches Missbrauchsrisiko begründet keinen Schadensersatzanspruch, wenn feststeht, dass der Dritte die Daten gar nicht zur Kenntnis genommen hat. Für die betriebliche Praxis heißt das: Die Dauer eines Kontrollverlusts ist relevant, aber nicht allein entscheidend – es kommt darauf an, ob der unbefugte Empfänger die Daten tatsächlich wahrgenommen haben kann. Und in der Rechtssache C-741/21 (Urteil vom 11.04.2024, „juris“) machte der Gerichtshof deutlich, dass sich ein Unternehmen nicht allein damit entlasten kann, ein Mitarbeiter habe gegen interne Weisungen verstoßen – eine unterschriebene Richtlinie allein genügt nicht, entscheidend ist, ob die Vorgabe auch verständlich, geschult und kontrolliert wurde.
Wie teuer eine schlechte Aufarbeitung werden kann, zeigen zwei bekannte Fälle: Die irische Datenschutzbehörde verhängte gegen Twitter ein Bußgeld von 450.000 Euro – nicht wegen des Vorfalls selbst, sondern wegen verspäteter Meldung und unzureichender Dokumentation. Die niederländische Aufsichtsbehörde sanktionierte Booking.com mit 475.000 Euro, weil ein Datendiebstahl erst nach rund drei Wochen statt binnen 72 Stunden gemeldet wurde. In beiden Fällen war also nicht der ursprüngliche Sicherheitsvorfall das Problem, sondern der Umgang danach.
Jede Panne muss dokumentiert werden – auch die kleine
Art. 33 Abs. 5 DSGVO verlangt die Dokumentation jeder Datenschutzverletzung, selbst wenn kein Risiko festgestellt wurde und keine Meldung erfolgt. Das ist kein bürokratischer Selbstzweck: Eine gut geführte interne Dokumentation macht Muster sichtbar. Häufen sich Fehlversendungen in einer Abteilung, deutet das eher auf ein systematisches Problem als auf individuelles Fehlverhalten hin. Wie wichtig funktionierende interne Meldewege sind, zeigte im April 2026 eine Prüfung der Landesbeauftragten für Datenschutz in Nordrhein-Westfalen: Zwölf von 33 befragten Kliniken gaben an, über zwei Jahre hinweg keine einzige Panne festgestellt zu haben – ein Ergebnis, das die Behörde als unwahrscheinlich einstufte und eher als Hinweis auf lückenhafte interne Meldewege wertete.
Vom versehentlichen Fehlversand bis zur Meldeentscheidung: Die Grafik zeigt, welche Schritte Unternehmen nach einer falsch adressierten E-Mail mit personenbezogenen Daten unverzüglich einleiten sollten.
Was ein Unternehmen konkret vorbereiten sollte
Ein belastbares Datenpannenmanagement braucht kein umfangreiches Handbuch, sondern wenige verlässliche Bausteine:
eine zentrale, auch im Urlaubs- und Krankheitsfall erreichbare Meldestelle für alle Mitarbeitenden,
eine klare Anweisung, jeden Verdachtsfall sofort weiterzugeben, ohne eigene Vorbewertung,
ein kurzer Erstmeldebogen, der auch mit unvollständigen Angaben genutzt werden kann,
ein kleines, vorab definiertes Reaktionsteam aus Geschäftsführung, Datenschutzverantwortlichem und IT, und
eine Routine, die drei Zeitpunkte sofort festhält: Vorfall, Entdeckung und hinreichend sichere Kenntnis – denn genau daran hängt die 72-Stunden-Frist.
Zusammenfassung
Eine Datenschutzverletzung ist kein Synonym für den spektakulären Datendiebstahl. Schon eine falsch adressierte E-Mail oder eine versehentliche Löschung kann den Tatbestand erfüllen – und genau deshalb betrifft das Thema nicht nur die IT-Abteilung, sondern jeden Arbeitsplatz im Unternehmen. Wer vorbereitet ist, verliert im Ernstfall keine Zeit mit der Frage, wer zuständig ist, sondern kann sich auf das Wesentliche konzentrieren: den Vorfall eindämmen, das Risiko für die betroffenen Personen realistisch einschätzen und die eigenen Pflichten fristgerecht erfüllen. Genau das unterscheidet am Ende ein gut aufgestelltes Unternehmen von einem, das erst im Krisenfall lernt, wie die DSGVO funktioniert.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
