Ist eine E-Mail an den falschen Empfänger eine Datenpanne?

Eine falsch versendete E-Mail kann eine Datenschutzverletzung sein

Eine E-Mail, die an den falschen Empfänger geht, fällt unter die Definition einer Datenschutzverletzung gemäß DSGVO: Es liegt dann eine Verletzung der Sicherheit vor, die zu unbeabsichtigtem Zugriff auf personenbezogene Daten durch jemanden führt, der dazu nicht berechtigt ist. Ob es sich um einen Lebenslauf, eine Rechnung mit einer Adresse oder ein internes Memo mit Namen handelt — sobald personenbezogene Daten bei der falschen Person ankommen, ist die Einstufung als "Datenschutzverletzung" grundsätzlich einschlägig.

Dass etwas eine Datenschutzverletzung ist, bedeutet nicht automatisch, dass sie gemeldet werden muss. Artikel 33 der DSGVO koppelt die Meldepflicht gegenüber der Aufsichtsbehörde an das Risiko, das die Verletzung für die Rechte und Freiheiten des Betroffenen mit sich bringt: Wie sensibel sind die Daten, wie viele Personen sind betroffen, und wurde die E-Mail zurückgeholt oder ungeöffnet gelassen. Eine falsch versendete E-Mail mit nur einem Namen und einer Terminzeit wird anders bewertet als eine E-Mail mit Finanzdaten oder Gesundheitsinformationen an eine große Gruppe falscher Empfänger. Diese Abwägung trifft die Organisation, die den Fehler gemacht hat, selbst, und sie entscheidet auch selbst, ob sie meldet.

Dies ergibt sich aus Artikel 33 der DSGVO

Die Definition einer Verletzung der Sicherheit personenbezogener Daten und die Verbindung mit der Meldepflicht innerhalb von 72 Stunden stehen in Artikel 33 der DSGVO; die Autoriteit Persoonsgegevens erläutert auf ihrer Seite zur Meldung von Datenschutzverletzungen, wie diese Risikobewertung in der Praxis vorgenommen wird. Die DSGVO gilt als Verordnung unmittelbar in jedem Mitgliedstaat, daher ist dieser Kern überall gleich — was unterschiedlich ist, ist, wo die Meldung erfolgt. In den Niederlanden ist das die Autoriteit Persoonsgegevens, als einzige nationale Aufsichtsbehörde. In Deutschland ist das anders: Dort meldet eine Organisation bei der Aufsichtsbehörde des Bundeslandes, in dem sich die Niederlassung befindet, und es gibt sechzehn Landesaufsichtsbehörden neben dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.