1.245 Datenschutzmeldungen in Niedersachsen – warum Sie Vorfälle sauber dokumentieren müssen

Im ersten Halbjahr 2026 meldete der LfD Niedersachsen 1.245 Datenschutzverletzungen, 58 Prozent mehr als im Vorjahreszeitraum. Für Unternehmen zählt dabei nicht nur die Zahl: Auch ein Fehlversand ohne kriminellen Angriff muss als möglicher Datenschutzvorfall bewertet und dokumentiert werden.

Die Statistik zeigt mehr als eine Zunahme von Vorfällen

Der Landesbeauftragte für den Datenschutz Niedersachsen verzeichnete im Vorjahreszeitraum 786 Meldungen. 66 Prozent der Meldungen im ersten Halbjahr 2026 kamen aus dem nicht-⁠öffentlichen Bereich, also von Unternehmen. Die übrigen 34 Prozent entfielen auf öffentliche Stellen. Im Unternehmensbereich stiegen die Meldungen branchenübergreifend.

Diese Zahlen sind kein einfacher Maßstab dafür, ob Unternehmen heute unsicherer arbeiten. Der LfD weist auch darauf hin, dass Organisationen ihre Pflichten inzwischen stärker kennen und Vorfälle melden, die früher möglicherweise intern als „ist ja nichts passiert“ eingeordnet worden wären. Die Statistik kann deshalb sowohl mehr Datenschutzverletzungen als auch eine konsequentere Meldedisziplin abbilden. Wer allein auf die Gesamtzahl schaut, übersieht diesen Unterschied.

Viele Pannen entstehen im normalen Tagesgeschäft

Zu den häufigsten Fällen zählen Fehlversände und versehentliche Offenlegungen. Ein Dokument geht an die falsche Adresse, eine Anlage wird vertauscht oder Empfänger werden für andere sichtbar. Solche Fehler brauchen keinen externen Angreifer. Gerade weil sie bei alltäglichen Abläufen entstehen, sollte ein Unternehmen sie nicht erst dann ernst nehmen, wenn ein größerer Schaden offensichtlich ist.

Daneben berichtet der LfD von einer Häufung gekaperter Microsoft-⁠365-⁠Konten nach authentisch wirkenden Phishing-⁠Mails. Nach einer Übernahme können Angreifer Adressbücher auslesen oder weitere Phishing-⁠Mails an gespeicherte Kontakte verschicken. Ein einzelnes kompromittiertes Konto kann so weitere Personen und Organisationen in den Vorfall hineinziehen.

Auch ein Angriff auf einen Dienstleister für professionelle Fotografie zeigt, dass die Folgen über das unmittelbar angegriffene Unternehmen hinausreichen können: Mehr als 50 niedersächsische Fotostudios meldeten sich eigenständig bei der Aufsichtsbehörde, weil sie dieselbe Software nutzten. Für die eigene Bewertung ist deshalb nicht nur entscheidend, wo ein Vorfall begonnen hat, sondern auch, welche Daten und Personen tatsächlich betroffen sein könnten.

Die Meldeentscheidung braucht eine nachvollziehbare Grundlage

Nach Artikel 33 DSGVO ist eine Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden nach Kenntnis der zuständigen Aufsichtsbehörde zu melden. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Diese Einschätzung sollte nicht aus dem Bauch heraus erfolgen. Sie muss sich auf den konkreten Vorfall beziehen.

Für die Bewertung sind vor allem diese Fragen relevant:

• Welche Datenkategorien sind betroffen, und befinden sich darunter besonders sensible Angaben?
• Wie viele Personen sind betroffen, und lassen sie sich identifizieren?
• Welcher Schaden kann entstehen oder ist bereits eingetreten?
• Hat ein Dritter tatsächlich Kenntnis von den Daten erlangt, oder ließ sich der Vorfall eindämmen?
• Waren die Daten verschlüsselt oder anderweitig geschützt?

Ergibt die Prüfung ein hohes Risiko, kommt zusätzlich Artikel 34 DSGVO ins Spiel: Die betroffenen Personen sind unverzüglich zu informieren. Die Mitteilung soll mögliche Folgen und die ergriffenen Maßnahmen enthalten. Auch wenn die Prüfung ergibt, dass keine Meldung an die Aufsichtsbehörde erforderlich ist, bleibt die Dokumentation wichtig. Artikel 33 Absatz 5 verlangt die Dokumentation sämtlicher Datenschutzverletzungen, also auch der nicht gemeldeten.

Der Ablauf sollte stehen, bevor eine Meldung nötig wird

Ein belastbarer Prozess beginnt mit einer klaren Anlaufstelle. Beschäftigte müssen einen möglichen Vorfall intern melden können, ohne vorher selbst entscheiden zu müssen, ob er meldepflichtig ist. Für die anschließende Prüfung sollten Zeitpunkt der Kenntnis, Art der betroffenen Daten, mögliche Empfänger und bereits ergriffene Eindämmungsmaßnahmen festgehalten werden. So lässt sich die Risikobewertung auf konkrete Informationen stützen, statt unter Zeitdruck nach Erinnerungen zu suchen.

Ebenso wichtig ist eine klare Zuständigkeit für die Entscheidung und die Kommunikation. Auftragsverarbeiter müssen den Verantwortlichen unverzüglich über einen Vorfall informieren. Die Meldung an die Aufsichtsbehörde bleibt Aufgabe des Verantwortlichen. Bei einem gemeinsamen Vorfall sollten Unternehmen deshalb früh klären, wer welche Informationen liefert und wer die Meldung bearbeitet.

Die Zahl aus Niedersachsen ist ein guter Anlass, den eigenen Ablauf an einem realistischen Fehlversand oder einem kompromittierten E-⁠Mail-⁠Konto durchzuspielen. Entscheidend ist, dass Sie einen Vorfall erfassen, das Risiko begründet bewerten und die Entscheidung samt Maßnahmen nachvollziehbar dokumentieren.

Quellen: Dr. Datenschutz – „Datenschutzvorfälle: Immer öfter meldepflichtig!“ (https://www.dr-datenschutz.de/datenschutzvorfaelle-immer-oefter-meldepflichtig/)