E-Mail an falschen Empfänger: Wann liegt eine Datenpanne vor?

Eine E-Mail an den falschen Empfänger kann eine Datenpanne sein, auch wenn nur eine einzige Nachricht betroffen ist. Entscheidend ist, welche personenbezogenen Daten offengelegt wurden, wer sie erhalten hat und ob sich das Risiko durch rasches Handeln begrenzen lässt. Art 4 Abs 12 DSGVO erfasst auch eine unbeabsichtigte Offenlegung. Unternehmen sollten deshalb nicht zuerst nach einer pauschalen „72-Stunden-Regel“ suchen, sondern den Vorfall sichern, bewerten und dokumentieren.

Dieser Beitrag zeigt, welche Schritte nach einem Fehlversand in Österreich sinnvoll sind. Er behandelt die Abgrenzung zwischen einer dokumentationspflichtigen Verletzung und einer meldepflichtigen Datenpanne, die Risikofaktoren sowie die Information betroffener Personen nach Art 34 DSGVO.

Eine Verletzung des Schutzes personenbezogener Daten liegt nach Art 4 Abs 12 DSGVO vor, wenn eine Sicherheitsverletzung zur unbefugten Offenlegung oder zum unbefugten Zugang führt. Das gilt auch dann, wenn niemand vorsätzlich gehandelt hat. Eine falsch adressierte E-Mail mit Namen, Kontaktdaten, Vertragsunterlagen, Gesundheitsinformationen oder internen Bemerkungen kann daher eine Verletzung der Vertraulichkeit sein.

Ob zusätzlich eine Meldung an die Aufsichtsbehörde erforderlich ist, hängt nicht allein vom technischen Fehler ab. Maßgeblich ist, ob die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Eine unabsichtliche Offenlegung bleibt auch dann ein Vorfall, wenn der Empfänger die Nachricht nach einer Aufforderung löscht.

Sichern Sie zuerst die Fakten. Notieren Sie den Versandzeitpunkt, den Zeitpunkt der Entdeckung, die verwendete Adresse, den Inhalt der Nachricht und die Anlagen. Prüfen Sie, ob die E-Mail geöffnet wurde, ob ein Download erfolgte und ob weitere Empfänger in Kopie standen. Eine technische Rückholung kann helfen, ersetzt aber keine Risikobewertung.

Kontaktieren Sie den falschen Empfänger kontrolliert und verlangen Sie, die Nachricht nicht zu verwenden, nicht weiterzuleiten und einschließlich Anlagen zu löschen. Bitten Sie um eine nachvollziehbare Bestätigung. Bei einem unbekannten Empfänger sind Rückholung und Beweissicherung schwieriger. Dann sollte die interne Zuständigkeit ohne Verzögerung feststehen. Für die erste Strukturierung hilft der Datenpannen-Erstcheck.

Bei der Risikobewertung zählen mehrere Umstände zusammen. Fragen Sie, wie sensibel die Daten sind, wie viele Personen und Datensätze betroffen sind, ob Kinder oder besonders schutzbedürftige Personen betroffen sein können und ob die Daten für Identitätsmissbrauch, Erpressung, Diskriminierung oder andere Nachteile genutzt werden könnten. Auch die Dauer des möglichen Zugriffs ist relevant.

Der Empfänger ist ein eigener Risikofaktor. Ein bekannter Auftragsverarbeiter oder eine andere vertraglich gebundene Stelle kann die Daten unter Umständen verlässlich löschen und den Vorfall nicht weiterverfolgen. Ein unbekannter Empfänger, ein privates Postfach oder ein Empfänger mit eigenem Interesse an den Daten ist anders zu beurteilen. Der EDSA nennt den Versand an eine falsche Abteilung oder einen vertrauten Dienstleister als Fall, in dem die Vertrauensbeziehung das Risiko senken kann. Sie beseitigt aber nicht die Pflicht, den Vorfall zu dokumentieren.

Art 33 DSGVO verlangt eine Meldung an die zuständige Aufsichtsbehörde, wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen begründet. Die Meldung hat unverzüglich und möglichst binnen 72 Stunden nach Kenntnis zu erfolgen. In Österreich stellt die Datenschutzbehörde dafür ein Onlineformular bereit. Die Meldung darf nach Art 33 Abs 4 DSGVO erforderlichenfalls stufenweise ergänzt werden, wenn nicht alle Informationen sofort vorliegen.

Die Meldung muss unter anderem die Art der Verletzung, soweit möglich die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, eine Kontaktstelle, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen enthalten. Wenn die Prüfung ergibt, dass voraussichtlich kein Risiko besteht, ist keine Meldung an die Behörde nötig. Diese Entscheidung sollte mit den Tatsachen und der Begründung nachvollziehbar festgehalten werden. Die Übersicht zu Datenpannen und Meldepflichten ordnet diese Prüfung in den größeren Zusammenhang ein.

Art 34 DSGVO stellt eine höhere Schwelle auf. Betroffene Personen sind unverzüglich zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat. Eine Information ist daher nicht bei jedem Fehlversand automatisch nötig. Bei einer E-Mail an eine einzelne, vertrauenswürdige Stelle mit rascher Löschung kann die hohe Risikoschwelle fehlen. Bei Gesundheitsdaten, Zugangsdaten, einer großen Empfängerzahl oder einem unbekannten Empfänger kann sie hingegen erreicht sein.

Die Benachrichtigung soll die Art der Verletzung in klarer Sprache erklären und die wahrscheinlichen Folgen sowie die bereits gesetzten oder geplanten Maßnahmen nennen. Eine Information darf nicht durch eine allgemeine Nachricht oder einen regulären Newsletter verwässert werden. Prüfen Sie auch, ob eine Ausnahme nach Art 34 Abs 3 DSGVO greift, etwa weil geeignete technische Maßnahmen wie Verschlüsselung das hohe Risiko beseitigt haben.

Nach Art 33 Abs 5 DSGVO müssen Verantwortliche jede Verletzung dokumentieren. Die Dokumentation soll den Sachverhalt, die Auswirkungen und die Abhilfemaßnahmen so festhalten, dass die Datenschutzbehörde die Einhaltung der Vorgaben prüfen kann. Dazu gehört auch die begründete Entscheidung, keine Meldung oder keine Benachrichtigung zu versenden. Eine kurze Aktennotiz ohne Risikobegründung reicht bei einem umstrittenen Vorfall oft nicht aus.

Für die Zukunft helfen technische und organisatorische Maßnahmen: getrennte Felder für Empfänger und Kopie, Warnungen bei externen Adressen, eine zweite Kontrolle bei sensiblen Anlagen, Verschlüsselung und klare Regeln für Rückholung und Löschung. Die Checkliste zur Dokumentation einer Datenpanne unterstützt die erste Aufarbeitung. Für die organisatorische Einbettung ist auch die Seite zu Datenschutz-Governance und Compliance relevant.

Wurde die E-Mail durch einen Auftragsverarbeiter versendet oder entdeckt dieser den Vorfall zuerst, muss er den Verantwortlichen ohne unangemessene Verzögerung informieren. Die Entscheidung über die Meldung nach Art 33 DSGVO und über eine Benachrichtigung nach Art 34 DSGVO trifft grundsätzlich der Verantwortliche. Interne Zuständigkeiten dürfen die Prüfung nicht verzögern.

Auch ein Fehler einer einzelnen Mitarbeiterin oder eines einzelnen Mitarbeiters wird nicht dadurch erledigt, dass die Person zur Verschwiegenheit verpflichtet ist. Für die Organisation zählt, ob personenbezogene Daten an eine unbefugte Stelle gelangt sind und ob die technischen und organisatorischen Maßnahmen ausreichend waren. Eine sachliche Aufarbeitung hilft mehr als eine vorschnelle Schuldzuweisung.