Datenschutzvorfälle zählen zu den Dauerbrennern im Datenschutz, und die Zahl der gemeldeten Datenschutzverletzungen steigt weiter. Fehlversand, versehentliche Offenlegung und Phishing treffen Unternehmen und Behörden gleichermaßen. Der Beitrag ordnet die aktuelle Auswertung des LfD Niedersachsen ein und zeigt, wann die Meldepflicht nach Art. 33 und 34 DSGVO greift.
Warum steigt die Zahl der Datenschutzvorfälle so deutlich?
Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hat seine Zahlen für das erste Halbjahr 2026 ausgewertet, und das Ergebnis fällt eindeutig aus: 1.245 gemeldete Datenschutzverletzungen. Im Vorjahreszeitraum waren es 786, was einem Anstieg von 58 Prozent entspricht. Da sich der Trend über den Sommer fortsetzte, liegt die Behörde inzwischen bereits über dem Wert des gesamten Jahres 2025 (1.607 Meldungen). Parallel dazu nehmen auch die Beschwerden von Bürgerinnen und Bürgern zu.
Interessant ist dabei auch die Verteilung: 66 Prozent der Meldungen stammten aus dem nicht-öffentlichen Bereich, also von Unternehmen jeder Größe, vom kleinen Betrieb bis zum Konzern. Die verbleibenden 34 Prozent kamen von öffentlichen Stellen wie Gemeinden, Schulen, Behörden oder kommunalen Krankenhäusern. Auffällig war dort eine Häufung in den Sektoren Gesundheit, Soziales und Kommunen. Im Unternehmensbereich betraf die Steigerung dagegen sämtliche Branchen.
Der Landesdatenschutzbeauftragte Denis Lehmkemper führt dazu wie folgt aus:
„Wir nehmen den starken Anstieg sehr ernst, zumal auch die bei uns eingehenden Beschwerden von Bürgerinnen und Bürgern deutlich zunehmen. Viele der uns gemeldeten Datenschutzverletzungen sind vermeidbar, durch technische Maßnahmen wie Zwei-Faktor-Authentifizierung und Prozessautomatisierung, aber auch ganz klassisch durch Grundlagenschulungen von Beschäftigten.“
Hier wäre es sicherlich auch spannend gewesen zu erfahren, welchen konkreten Anteil Herr Lehmkemper den vermeidbaren Datenschutzvorfällen zugeschrieben hätte. Schließlich ist der „Human Factor“ oft genug das entscheidende Problem bei Datenpannen. Leider gab es hierzu keine genauere Einschätzung.
Wo lauern die Klassiker unter den Datenpannen?
Den Großteil der Vorfälle machen laut LfD Fehlversande und versehentliche Offenlegungen aus. Sie kennen die Konstellation sicherlich: Die Klinik, der Händler oder die Behörde schickt Dokumente mit personenbezogenen Daten an die falsche Adresse. Vertauschte Anlagen, offene Empfängerlisten, ein zu schnell bestätigter Autovervollständigungsvorschlag im Mailprogramm, diese Pannen entstehen im ganz normalen Tagesgeschäft und nicht durch kriminelle Energie von außen. Genau das macht sie für das Vorfallmanagement so relevant.
Daneben nehmen Cyberangriffe zu, insbesondere erfolgreiche Phishing-Attacken auf E-Mail-Konten. Der LfD berichtet von einer Häufung gekaperter Microsoft-365-Konten durch authentisch wirkende Phishing-Mails. Ist das Konto einmal übernommen, werden häufig Adressbücher ausgelesen oder gleich weitere Phishing-Mails an die dort hinterlegten Kontakte verschickt. Aus einem Vorfall werden so schnell mehrere. Wie stark einzelne Ereignisse durchschlagen können, zeigt ein weiterer Fall: Nach einem Angriff auf einen Dienstleister für professionelle Fotografie meldeten sich über 50 niedersächsische Fotostudios eigenständig bei der Aufsichtsbehörde, weil sie dieselbe Software nutzten.
Ein Teil des Anstiegs dürfte allerdings auch hausgemacht sein, und zwar im positiven Sinne. Acht Jahre nach Anwendbarkeit der DSGVO sind sich die meisten Unternehmen und Behörden ihrer Pflichten bewusst. Was früher intern unter „ist ja nichts passiert“ verbucht wurde, findet heute immer öfter den Weg zur Aufsichtsbehörde. Die Statistik misst also nicht nur mehr Vorfälle, sondern auch mehr Ehrlichkeit.
Wann greift die Meldepflicht nach Art. 33 DSGVO?
Hier kommt Art. 33 Abs. 1 DSGVO ins Spiel: Die Meldung an die zuständige Aufsichtsbehörde muss unverzüglich und möglichst binnen 72 Stunden nach Kenntnis erfolgen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Das ist eine dieser wunderbar dehnbaren Formulierungen der DSGVO, die im Einzelfall Kopfzerbrechen bereitet. Für die Bewertung sollten Sie mindestens folgende Fragen sauber beantworten und dokumentieren:
- Welche Datenkategorien sind betroffen, und sind besonders sensible Daten dabei (Gesundheitsdaten, Kontoinformationen, Sozialdaten)?
- Wie viele Personen sind betroffen, und lassen sie sich überhaupt identifizieren?
- Welcher Schaden kann entstehen, und ist er vielleicht schon eingetreten?
- Hat ein Dritter tatsächlich Kenntnis erlangt, oder ließ sich der Vorfall eindämmen?
- Sind die Daten verschlüsselt oder anderweitig geschützt gewesen?
Ergibt die Prüfung ein hohes Risiko, tritt zusätzlich Art. 34 DSGVO auf den Plan. Dann sind die betroffenen Personen unverzüglich zu informieren, und zwar nicht mit einem dürren Hinweis, sondern inklusive möglicher Folgen und der ergriffenen Maßnahmen. Unabhängig davon verlangt Art. 33 Abs. 5 DSGVO die Dokumentation sämtlicher Vorfälle, auch der nicht gemeldeten. Wer hier nachlässig ist, riskiert nach Art. 83 Abs. 4 Buchst. a DSGVO das sogenannte kleine Bußgeld von bis zu 10 Mio. EUR oder 2 Prozent des Jahresumsatzes, und das zusätzlich zur eigentlichen Datenschutzverletzung.
Zwei Punkte gehen in der Praxis gern unter. Erstens: Auftragsverarbeiter müssen den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren, die Meldung selbst bleibt aber Aufgabe der Verantwortlichen. Bei Sammelfällen wie dem oben genannten Dienstleisterangriff meldet jeder Verantwortliche für sich. Zweitens: Bei Cyberangriffen ersetzt die Meldung an den LfD nicht die Einbindung der Strafverfolgung. Die Behörde verweist ausdrücklich auf die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei Niedersachsen.
Wie erfüllen Sie die Meldepflicht ohne Hektik?
Wer jetzt Panik bekommt, sollte erst einmal tief durchatmen. Die Zahlen aus Niedersachsen zeigen vor allem, dass sich der Großteil der Vorfälle mit überschaubarem Aufwand verhindern lässt. Gegen Fehlversande helfen automatisierte und klar definierte Prozesse, das Vier-Augen-Prinzip beim Versand sensibler Daten und gezielte Schulungen der Beschäftigten. Gegen erfolgreiche Angriffe wirken technisch-organisatorische Maßnahmen, die den Wert gestohlener Zugangsdaten senken:
- Zwei-Faktor-Authentifizierung für alle Mail- und Cloud-Zugänge, möglichst phishing-resistent
- Protokollierung und Alarmierung bei auffälligen Anmeldungen und neu eingerichteten Weiterleitungsregeln
- Reduktion manueller Schritte überall dort, wo personenbezogene Daten das Haus verlassen
- Regelmäßige, praxisnahe Sensibilisierung statt einmaliger Pflichtunterweisung
- Prüfung der Auftragsverarbeiter samt vereinbarter Meldewege und Reaktionszeiten
Vorbereitung ist alles!
Ebenso wichtig ist die Vorbereitung auf den Ernstfall. Die Meldung selbst ist letztlich Formsache, entscheidend ist die Vorarbeit: eine dokumentierte Risikomethodik, definierte Eingangskanäle für interne Hinweise, klare Rollen und Erreichbarkeiten auch am Freitagabend. Denn die 72-Stunden-Frist läuft ab Kenntnis und nicht erst ab Montagmorgen. Ziehen Sie Ihren Datenschutzbeauftragten dabei frühzeitig hinzu, nicht erst, wenn die Mail schon unterwegs ist. Ist der Vorfall eingetreten, bleibt meist nur noch Schadensbegrenzung.
Ob sich die Entwicklung im kommenden Jahr fortsetzt, lässt sich derzeit nicht seriös abschätzen. Der Anstieg speist sich aus mehreren Quellen: fehleranfälligen Prozessen bei zunehmender Digitalisierung, professionelleren Phishing-Kampagnen und einem gewachsenen Meldebewusstsein. Alle drei Erklärungen führen zur gleichen Konsequenz. Vorfallmanagement ist kein Sonderfall mehr, sondern ein Regelprozess, der eingeübt, dokumentiert und regelmäßig überprüft werden sollte. Die Zahlen aus Niedersachsen sind ein guter Anlass, die eigenen Abläufe einmal in Ruhe daraufhin zu evaluieren.
Vielen Dank für dieses brandheiße Thema! Dazu ein paar Punkte:
– vor 8 Jahren sah es der BfDI noch als ausreichend an, wenn die Fälle intern nach den o.g. Kriterien geprüft, Maßnahmen getroffen und der Vorgang dokumentiert wird. Dann war eine Meldung nicht erforderlich. Hat jemand inzwischen andere Erfahrungen mit dem BfDI gemacht?
– Die Frist von 72h ist sehr kurz. Vor allem wenn das WE in der Frist liegt, ist sie nicht einhaltbar. Wir bekommen auf unsere Meldungen nie eine Antwort. Gibt es da auch andere Erfahrungen?
– M.W. werden die unter Hochdruck gemachten Meldungen beim BfDI oft erst nach Tagen angeschaut.
– Mit dem digitalen Omnibus Gesetz soll die Frist auf 98 h verlängert werden. Es wird noch mindestens 2 Jahre dauern, bis das in EU durch ist.
– Gibt es Erfahrungen damit, ab welcher Fristüberschreitung der BfDI diese verwarnt? Um seine Statistik in der Maßnahmen nach 58 Liste hochzujubeln, ist der BfDI stets ganz schnell mit solchen Maßnahmen dabei. Dahinter stecken oft lächerlich geringe Verstöße mit Null Nachteil für die Betroffenen, die oft nur Behörden sanktionieren wollen.
Vielen Dank für Ihren Kommentar, die von Ihnen genannten Punkte kennen wir ebenfalls nur allzu gut.
Dass auf Meldungen oftmals keine Antwort kommt, erleben wir behördenübergreifend genauso. Meist gibt es ein Aktenzeichen und danach Stille, solange die Meldung plausibel ist. Nach unserer Erfahrung ist entscheidend, dass die eigene Risikobewertung und die Entscheidung über eine etwaige Benachrichtigung nach Art. 34 DSGVO sauber dokumentiert sind, falls der Fall später doch noch aufgerufen wird.
Beim Digital Omnibus sind nach dem Kommissionsvorschlag 96 Stunden im Gespräch. Ihre Zeitschätzung dürfte grob passen. Eine feste Schwelle für Verwarnungen ist uns nicht bekannt. Nach unserem Eindruck zählt weniger die Dauer der Überschreitung als die Begründung nach Art. 33 Abs. 1 Satz 2 DSGVO: Ein (zu) spät informierender Dienstleister oder laufende forensische Ermittlungen bleiben meist folgenlos, eine unbegründete Verspätung eher nicht.
Sie schreiben: „Auftragsverarbeiter müssen den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren, die Meldung selbst bleibt aber ihre Aufgabe.“
Nicht IHRE Aufgabe, sondern SEINE Aufgabe (des Verantwortlichen)! Andernfalls würden die Auftragsverarbeiter gemeint sein, aber deren Aufgabe ist das Melden ja gerade nicht.
Vielen Dank für Ihren Hinweis, wir haben den Blog an dieser Stelle geändert. Mit „ihre“ waren die Verantwortlichen gemeint. Wir haben das nun sprachlich besser verständlich formuliert.